CVE-2025-24054 et CVE-2025-24071 - Fuite de hachage NTLM via l'exploitation de .library-ms

Ce PoC démontre l'exploitation de la fuite de hachage NTLM via les fichiers .library-ms sur des systèmes Windows non patchés (Patch Tuesday de mars 2025).

⚠️ Ceci est uniquement à des fins éducatives et de recherche. Ne pas utiliser sur des systèmes de production ou non autorisés.

🧠 Description

Lorsqu'un fichier .library-ms avec un chemin UNC est ouvert (ou prévisualisé) dans l'Explorateur Windows, il déclenche une requête d'authentification SMB vers le serveur spécifié, divulguant le hachage NTLMv2.

📁 Fichiers

• generate_library_ms.py : génère le fichier .library-ms malveillant
• xd.library-ms : exemple de fichier malveillant (pointe vers un serveur SMB configurable)
• Instructions_Responder.md : comment configurer un faux serveur SMB avec Responder

🧪 Comment tester

1. Lancez Responder sur votre machine attaquante :

   root@kitploit:~

   sudo responder -I eth0
   

2. Sur la VM Windows victime :

   • Téléchargez ou générez le fichier .library-ms
   • Prévisualisez-le dans l'Explorateur de fichiers

3. Côté attaquant :

   • Observez le hachage NTLM capturé dans la sortie de Responder

📸 Démo

PoC Demo

📚 Références

• Analyse CVE-2025-24054 par Check Point Research
• Notes de correctif Microsoft (mars 2025)

✅ Atténuation

• Appliquer les correctifs de Microsoft de mars 2025
• Désactiver NTLM si possible
• Sensibiliser les utilisateurs à éviter d'interagir avec les fichiers .library-ms provenant de sources non fiables

🧑‍💻 Auteur

PoC créé par Helidem