CVE-2025-24054 y CVE-2025-24071 - Fuga de hash NTLM mediante exploit .library-ms

Este PoC demuestra la explotación de la fuga de hash NTLM mediante archivos .library-ms en sistemas Windows sin parchear (Patch Tuesday de marzo de 2025).

⚠️ Esto es solo con fines educativos y de investigación. No lo utilices en sistemas de producción o no autorizados.

🧠 Descripción

Cuando un archivo .library-ms con una ruta UNC se abre (o se previsualiza) en el Explorador de Windows, se activa una solicitud de autenticación SMB al servidor especificado, filtrando el hash NTLMv2.

📁 Archivos

• generate_library_ms.py : genera el archivo .library-ms malicioso
• xd.library-ms : archivo malicioso de muestra (apunta a un servidor SMB configurable)
• Instructions_Responder.md : cómo configurar un servidor SMB falso con Responder

🧪 Cómo probarlo

1. Inicia Responder en tu máquina atacante:

   sudo responder -I eth0
   

2. En la VM Windows víctima:

   • Descarga o genera el archivo .library-ms
   • Previsualízalo en el Explorador de archivos

3. En el lado del atacante:

   • Observa el hash NTLM capturado en la salida de Responder

📸 Demo

PoC Demo

📚 Referencias

• Check Point Research – Análisis de CVE-2025-24054
• Notas de parche de Microsoft (marzo de 2025)

✅ Mitigación

• Aplica los parches de Microsoft de marzo de 2025
• Deshabilita NTLM cuando sea posible
• Educa a los usuarios para que eviten interactuar con archivos .library-ms de fuentes no confiables

🧑‍💻 Autor

PoC creado por Helidem