CVE-2025-24071 - Fuite de hachage NTLM dans Windows File Explorer

📋 Aperçu

CVE-2025-24071 est une vulnérabilité dans Windows File Explorer qui permet la divulgation non autorisée de hachages NTLM. Lorsqu'un utilisateur extrait une archive .zip spécialement conçue contenant un fichier .library-ms malveillant, Windows Explorer analyse automatiquement le fichier et initie une requête d'authentification SMB vers un serveur contrôlé par l'attaquant, divulguant le hachage NTLM de la victime sans aucune interaction supplémentaire de l'utilisateur.

⚠️ Détails de la vulnérabilité

🔍 Fonctionnement

1. L'attaquant crée un fichier .library-ms malveillant pointant vers son serveur SMB
2. L'attaquant empaquette le fichier dans une archive .zip
3. La victime extrait l'archive sur une machine Windows
4. Windows Explorer analyse automatiquement le fichier .library-ms
5. Une requête SMB est envoyée au serveur de l'attaquant avec le hachage NTLM de la victime
6. L'attaquant capture le hachage pour un cassage hors ligne ou des attaques par relais

🎬 Démonstration du concept (PoC)

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Remarque : Si la vidéo ne se lit pas intégrée, téléchargez PoC.mp4 depuis ce dépôt.

🚀 Utilisation

Prérequis

• Python 3.x
• Écouteur SMB (par exemple, Responder, smbserver.py d'Impacket)

Étapes

1. Cloner le dépôt

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Démarrer votre écouteur SMB (sur la machine attaquante)

   root@kitploit:~

   # Avec Responder
   sudo responder -I eth0
   
   # Ou avec Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Générer l'exploit

   root@kitploit:~

   python exploit.py
   

4. Saisir votre IP d'attaquant lorsque demandé

5. Envoyer exploit.zip à la cible

6. Capturer le hachage NTLM lorsque la victime extrait l'archive

📁 Structure du dépôt

CVE-2025-24071/
├── exploit.py      # Générateur d'exploit PoC
├── PoC.mp4         # Démonstration vidéo
└── README.md       # Documentation

🛡️ Atténuation

• Appliquer les correctifs de sécurité Microsoft pour CVE-2025-24071
• Bloquer le trafic SMB sortant (ports 445, 139) au niveau du pare-feu
• Désactiver l'authentification NTLM lorsque possible
• Utiliser la signature SMB pour prévenir les attaques par relais
• Informer les utilisateurs des risques liés à l'extraction d'archives non fiables

⚖️ Avertissement légal

Cet outil est fourni uniquement à des fins éducatives et de tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est illégal. L'auteur n'est pas responsable de toute utilisation abusive ou des dommages causés par cet outil.

👤 Auteur

Nyx0r-PoC

📄 Licence

Ce projet est uniquement à des fins éducatives. Utilisez-le de manière responsable.

Mettez une étoile à ce dépôt si vous l'avez trouvé utile !