CVE-2025-24054 और CVE-2025-24071 - .library-ms एक्सप्लॉइट के माध्यम से NTLM हैश लीक

यह PoC बिना पैच वाले Windows सिस्टम (मार्च 2025 पैच मंगलवार) पर .library-ms फाइलों के माध्यम से NTLM हैश लीक के शोषण को प्रदर्शित करता है।

⚠️ यह केवल शैक्षिक और शोध उद्देश्यों के लिए है। इसे उत्पादन या अनधिकृत सिस्टम पर उपयोग न करें।

🧠 विवरण

जब UNC पथ वाली .library-ms फ़ाइल को Windows Explorer में खोला (या पूर्वावलोकन किया) जाता है, तो यह निर्दिष्ट सर्वर को SMB प्रमाणीकरण अनुरोध ट्रिगर करता है, जिससे NTLMv2 हैश लीक होता है।

📁 फ़ाइलें

• generate_library_ms.py : दुर्भावनापूर्ण .library-ms फ़ाइल उत्पन्न करता है
• xd.library-ms : नमूना दुर्भावनापूर्ण फ़ाइल (एक कॉन्फ़िगर करने योग्य SMB सर्वर की ओर इशारा करती है)
• Instructions_Responder.md : Responder के साथ नकली SMB सर्वर कैसे सेट करें

🧪 परीक्षण कैसे करें

1. अपने हमलावर मशीन पर Responder प्रारंभ करें:

   root@kitploit:~

   sudo responder -I eth0
   

2. पीड़ित Windows VM पर:

   • .library-ms फ़ाइल डाउनलोड या उत्पन्न करें
   • इसे File Explorer में पूर्वावलोकन करें

3. हमलावर पक्ष पर:

   • Responder के आउटपुट में कैप्चर किए गए NTLM हैश का निरीक्षण करें

📸 डेमो

PoC Demo

📚 संदर्भ

• Check Point Research – CVE-2025-24054 विश्लेषण
• Microsoft पैच नोट्स (मार्च 2025)

✅ शमन

• Microsoft के मार्च 2025 पैच लागू करें
• जहाँ संभव हो NTLM अक्षम करें
• उपयोगकर्ताओं को शिक्षित करें कि अविश्वसनीय स्रोतों से .library-ms फ़ाइलों के साथ इंटरैक्ट करने से बचें

🧑‍💻 लेखक

PoC Helidem द्वारा निर्मित