CVE-2025-24054 et CVE-2025-24071 - Fuite de hash NTLM via l'exploitation de .library-ms

Ce PoC démontre l'exploitation de la fuite de hash NTLM via les fichiers .library-ms sur des systèmes Windows non corrigés (Patch Tuesday de mars 2025).

⚠️ Ceci est uniquement à des fins éducatives et de recherche. Ne l'utilisez pas sur des systèmes de production ou non autorisés.

🧠 Description

Lorsqu'un fichier .library-ms contenant un chemin UNC est ouvert (ou prévisualisé) dans l'Explorateur Windows, cela déclenche une demande d'authentification SMB vers le serveur spécifié, divulguant le hash NTLMv2.

📁 Fichiers

• generate_library_ms.py : génère le fichier .library-ms malveillant
• xd.library-ms : exemple de fichier malveillant (pointe vers un serveur SMB configurable)
• Instructions_Responder.md : comment configurer un faux serveur SMB avec Responder

🧪 Comment tester

1. Lancez Responder sur votre machine attaquante :

   root@kitploit:~

   sudo responder -I eth0
   

2. Sur la machine virtuelle Windows victime :

   • Téléchargez ou générez le fichier .library-ms
   • Prévisualisez-le dans l'Explorateur de fichiers

3. Côté attaquant :

   • Observez le hash NTLM capturé dans la sortie de Responder

📸 Démo

PoC Demo

📚 Références

• Check Point Research – Analyse de CVE-2025-24054
• Notes de patch Microsoft (mars 2025)

✅ Atténuation

• Appliquez les correctifs de mars 2025 de Microsoft
• Désactivez NTLM lorsque c'est possible
• Sensibilisez les utilisateurs à ne pas interagir avec des fichiers .library-ms provenant de sources non fiables

🧑‍💻 Auteur

PoC créé par Helidem