Script de verificación CVE-2025-33073

Este script de verificación PoC aproximado prueba objetivos para la vulnerabilidad CVE-2025-33073 al intentar realizar ataques de reflexión NTLM mediante la coerción de autenticación NTLM a través de samba RPC; para ello, necesitas tener una cuenta con acceso a samba.

También necesitas registrar un dominio localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA a la IP de tu atacante, como se describe a continuación en el DNS interno de Windows. Esto está habilitado por defecto para cualquier cuenta del dominio. También se puede usar el envenenamiento LLMNR en su lugar.

Antes de ejecutar este script, asegúrate de entender cómo funciona el ataque; consulta la explicación aquí.

Uso

# Usage: ./CVE-2025-33073-checker.sh -u USERNAME -p PASSWORD -d DOMAIN -i IP_FILE
# Example: 
./CVE-2025-33073-checker.sh -u Administrator -p Password123 -d example.local -i samba_list_ips.txt

Configuración

• Instala crackmapexec, netcat y python3
• Coloca PetitPotam.py en el mismo directorio que este script
• Registra un dominio localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA a la IP del atacante en DDNS. Puedes usar dnstool.py o powermad.

Recursos

• https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
• https://github.com/mverschu/CVE-2025-33073
• https://github.com/topotam/PetitPotam