CVE-2025-24054 e CVE-2025-24071 - Perdita di Hash NTLM tramite sfruttamento di .library-ms

Questa PoC dimostra lo sfruttamento della perdita di hash NTLM tramite file .library-ms su sistemi Windows non patchati (Patch Tuesday di marzo 2025).

⚠️ Questo è solo a scopo educativo e di ricerca. Non utilizzarlo su sistemi di produzione o non autorizzati.

🧠 Descrizione

Quando un file .library-ms con un percorso UNC viene aperto (o visualizzato in anteprima) in Esplora file di Windows, attiva una richiesta di autenticazione SMB al server specificato, perdendo l'hash NTLMv2.

📁 File

• generate_library_ms.py : genera il file .library-ms malintenzionato
• xd.library-ms : file malintenzionato di esempio (punta a un server SMB configurabile)
• Instructions_Responder.md : come configurare un server SMB falso con Responder

🧪 Come Testare

1. Avvia Responder sulla tua macchina attaccante:

   root@kitploit:~

   sudo responder -I eth0
   

2. Sulla VM Windows vittima:

   • Scarica o genera il file .library-ms
   • Visualizzalo in anteprima in Esplora file

3. Sul lato attaccante:

   • Osserva l'hash NTLM catturato nell'output di Responder

📸 Demo

PoC Demo

📚 Riferimenti

• Check Point Research – Analisi di CVE-2025-24054
• Note di patch Microsoft (marzo 2025)

✅ Mitigazione

• Applica le patch di Microsoft di marzo 2025
• Disabilita NTLM dove possibile
• Educa gli utenti a evitare di interagire con file .library-ms provenienti da fonti non fidate

🧑‍💻 Autore

PoC creata da Helidem