CVE-2025-24054 और CVE-2025-24071 - .library-ms एक्सप्लॉइट के माध्यम से NTLM हैश लीक

यह PoC बिना पैच वाले Windows सिस्टम (मार्च 2025 पैच मंगलवार) पर .library-ms फ़ाइलों के माध्यम से NTLM हैश लीक के शोषण को प्रदर्शित करता है।

⚠️ यह केवल शैक्षिक और शोध उद्देश्यों के लिए है। इसे प्रोडक्शन या अनधिकृत सिस्टम पर उपयोग न करें।

🧠 विवरण

जब Windows Explorer में UNC पथ वाली .library-ms फ़ाइल खोली (या पूर्वावलोकन) जाती है, तो यह निर्दिष्ट सर्वर पर SMB प्रमाणीकरण अनुरोध ट्रिगर करता है, जिससे NTLMv2 हैश लीक हो जाता है।

📁 फ़ाइलें

• generate_library_ms.py : दुर्भावनापूर्ण .library-ms फ़ाइल उत्पन्न करता है
• xd.library-ms : नमूना दुर्भावनापूर्ण फ़ाइल (कॉन्फ़िगर करने योग्य SMB सर्वर की ओर इशारा करती है)
• Instructions_Responder.md : Responder के साथ नकली SMB सर्वर कैसे सेट करें

🧪 परीक्षण कैसे करें

1. अपने हमलावर मशीन पर Responder प्रारंभ करें:

   sudo responder -I eth0
   

2. पीड़ित Windows VM पर:

   • .library-ms फ़ाइल डाउनलोड या उत्पन्न करें
   • इसे File Explorer में पूर्वावलोकन करें

3. हमलावर पक्ष पर:

   • Responder के आउटपुट में कैप्चर किए गए NTLM हैश का निरीक्षण करें

📸 डेमो

PoC Demo

📚 संदर्भ

• Check Point Research – CVE-2025-24054 विश्लेषण
• माइक्रोसॉफ्ट पैच नोट्स (मार्च 2025)

✅ शमन

• माइक्रोसॉफ्ट के मार्च 2025 पैच लागू करें
• जहाँ संभव हो NTLM अक्षम करें
• उपयोगकर्ताओं को अविश्वसनीय स्रोतों से .library-ms फ़ाइलों के साथ इंटरैक्ट करने से बचने के लिए शिक्षित करें

🧑‍💻 लेखक

PoC Helidem द्वारा बनाया गया