CVE-2025-24071 - Perdita di hash NTLM di Windows File Explorer

📋 Panoramica

CVE-2025-24071 è una vulnerabilità in Windows File Explorer che consente la divulgazione non autorizzata di hash NTLM. Quando un utente estrae un archivio .zip appositamente predisposto contenente un file .library-ms dannoso, Windows Explorer analizza automaticamente il file e avvia una richiesta di autenticazione SMB verso un server controllato dall'attaccante, rilasciando l'hash NTLM della vittima senza alcuna ulteriore interazione da parte dell'utente.

⚠️ Dettagli della vulnerabilità

🔍 Come funziona

1. L'attaccante crea un file .library-ms dannoso che punta al proprio server SMB
2. L'attaccante impacchetta il file in un archivio .zip
3. La vittima estrae l'archivio su un computer Windows
4. Windows Explorer analizza automaticamente il file .library-ms
5. La richiesta SMB viene inviata al server dell'attaccante con l'hash NTLM della vittima
6. L'attaccante cattura l'hash per cracking offline o attacchi relay

🎬 Dimostrazione del Proof of Concept

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Nota: Se il video non viene riprodotto in linea, scarica PoC.mp4 da questo repository.

🚀 Utilizzo

Prerequisiti

• Python 3.x
• Listener SMB (es. Responder, smbserver.py di Impacket)

Passaggi

1. Clona il repository

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Avvia il tuo listener SMB (sulla macchina dell'attaccante)

   root@kitploit:~

   # Usando Responder
   sudo responder -I eth0
   
   # Oppure usando Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Genera l'exploit

   root@kitploit:~

   python exploit.py
   

4. Inserisci il tuo IP di attaccante quando richiesto

5. Invia exploit.zip al target

6. Cattura l'hash NTLM quando la vittima estrae l'archivio

📁 Struttura del repository

CVE-2025-24071/
├── exploit.py      # Generatore di exploit PoC
├── PoC.mp4         # Dimostrazione video
└── README.md       # Documentazione

🛡️ Mitigazione

• Applica le patch di sicurezza Microsoft per CVE-2025-24071
• Blocca il traffico SMB in uscita (porte 445, 139) sul firewall
• Disabilita l'autenticazione NTLM dove possibile
• Usa la firma SMB per prevenire attacchi relay
• Informa gli utenti sui rischi dell'estrazione di archivi non fidati

⚖️ Disclaimer

Questo strumento è fornito esclusivamente per scopi educativi e di test di sicurezza autorizzati. L'accesso non autorizzato a sistemi informatici è illegale. L'autore non è responsabile per eventuali usi impropri o danni causati da questo strumento.

👤 Autore

Nyx0r-PoC

📄 Licenza

Questo progetto è solo per scopi educativi. Usalo responsabilmente.

⭐ Metti una stella a questo repository se lo hai trovato utile!