Preuve de Concept CVE-2025-24071 (Méthode d'extraction SMB + TAR)

Ceci est une Preuve de Concept (PoC) pour exploiter CVE-2025-24071, une vulnérabilité dans Windows qui permet la fuite de hachages NTLM via des fichiers .library-ms. Cette version diffère légèrement des autres en utilisant une archive .tar au lieu d'un .zip, ce qui améliore la compatibilité dans les environnements SMB uniquement.

📌 Pourquoi .tar au lieu de .zip ?

La plupart des PoCs publics utilisent .zip pour empaqueter le fichier .library-ms malveillant. Cependant, si vous travaillez dans un environnement SMB restreint (par exemple, accès uniquement via smbclient), les fichiers ZIP ne peuvent pas être extraits à distance. En utilisant une archive .tar, vous pouvez extraire la charge utile directement depuis le partage SMB en utilisant la commande tar intégrée à smbclient, permettant un déploiement à distance sans nécessiter d'interaction de l'utilisateur.

🔧 Prérequis

• Machine attaquante avec :
  • Responder installé et en cours d'exécution
  • Un serveur SMB (par exemple Responder, impacket-smbserver ou samba)
• Machine victime :
  • Windows avec accès SMB activé vers l'IP de l'attaquant

🧪 Étapes

1. Démarrer Responder

Démarrer Responder sur l'interface correcte :

sudo responder -I <interface>

Assurez-vous que l'IP dans la charge utile correspond à cette interface.

2. Générer le fichier .library-ms malveillant et l'empaqueter dans .tar

python3 create_tar_poc.py

Il vous sera demandé de saisir :

• Un nom de fichier (par exemple exploit)
• L'IP de l'attaquant (par exemple 192.168.1.100)

Cela génère :

• exploit.library-ms (inside exploit.tar)
• exploit.tar

3. Téléverser et extraire sur le partage SMB de la victime

Depuis votre machine attaquante, connectez-vous au partage SMB de la victime en utilisant smbclient :

smbclient //<victim_ip>/<sharename> -U <USERNAME>
put exploit.tar
tar x exploit.tar

Cela décompressera le fichier .library-ms dans le partage.

Lorsque l'archive exploit.tar est extraite, le fichier .library-ms contenant un XML malveillant se connectera à notre serveur SMB qui est le Responder actif sur notre machine, démarrant ainsi une tentative d'authentification utilisant NTLM en envoyant une requête contenant le nom d'utilisateur, le domaine et le hachage NTLM du mot de passe de l'utilisateur, que nous pourrons ensuite décrypter.

📽️ Vidéo de la PoC

Bientôt disponible...

🙏 Crédits

Daniel Miranda Barcelona alias Excal1bur | Basé sur le travail original de 0x6rss, adapté pour les déploiements SMB basés sur TAR dans des scénarios de laboratoire.