CVE-2025-24054 및 CVE-2025-24071 - .library-ms 악용을 통한 NTLM 해시 유출

이 PoC는 패치되지 않은 Windows 시스템(2025년 3월 Patch Tuesday)에서 .library-ms 파일을 통한 NTLM 해시 유출 악용을 시연합니다.

⚠️ 이 내용은 교육 및 연구 목적으로만 제공됩니다. 프로덕션 또는 무단 시스템에서 사용하지 마십시오.

🧠 설명

UNC 경로가 포함된 .library-ms 파일이 Windows 탐색기에서 열리거나 미리 보기되면 지정된 서버로 SMB 인증 요청이 전송되어 NTLMv2 해시가 유출됩니다.

📁 파일

• generate_library_ms.py : 악성 .library-ms 파일 생성
• xd.library-ms : 샘플 악성 파일(구성 가능한 SMB 서버를 가리킴)
• Instructions_Responder.md : Responder로 가짜 SMB 서버를 설정하는 방법

🧪 테스트 방법

1. 공격자 머신에서 Responder를 시작합니다:

   root@kitploit:~

   sudo responder -I eth0
   

2. 피해자 Windows VM에서:

   • .library-ms 파일을 다운로드하거나 생성합니다
   • 파일 탐색기에서 미리 봅니다

3. 공격자 측에서:

   • Responder 출력에서 캡처된 NTLM 해시를 확인합니다

📸 데모

PoC Demo

📚 참고 자료

• Check Point Research – CVE-2025-24054 분석
• Microsoft 패치 노트(2025년 3월)

✅ 완화 방법

• Microsoft의 2025년 3월 패치를 적용합니다
• 가능한 경우 NTLM을 비활성화합니다
• 신뢰할 수 없는 출처의 .library-ms 파일과 상호작용하지 않도록 사용자에게 교육합니다

🧑‍💻 작성자

Helidem이 제작한 PoC