CVE-2025-24071 - Vazamento de Hash NTLM do Windows File Explorer

📋 Visão Geral

CVE-2025-24071 é uma vulnerabilidade no Windows File Explorer que permite a divulgação não autorizada de hashes NTLM. Quando um usuário extrai um arquivo .zip cuidadosamente criado contendo um arquivo .library-ms malicioso, o Windows Explorer analisa automaticamente o arquivo e inicia uma requisição de autenticação SMB para um servidor controlado pelo atacante, vazando o hash NTLM da vítima sem qualquer interação adicional do usuário.

⚠️ Detalhes da Vulnerabilidade

🔍 Como Funciona

1. Atacante cria um arquivo .library-ms malicioso apontando para seu servidor SMB
2. Atacante empacota o arquivo em um arquivo .zip
3. Vítima extrai o arquivo em uma máquina Windows
4. Windows Explorer analisa automaticamente o arquivo .library-ms
5. Requisição SMB é enviada ao servidor do atacante com o hash NTLM da vítima
6. Atacante captura o hash para quebra offline ou ataques de relay

🎬 Demonstração de Prova de Conceito

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Nota: Se o vídeo não tocar embutido, baixe o PoC.mp4 deste repositório.

🚀 Uso

Pré-requisitos

• Python 3.x
• Ouvinte SMB (ex.: Responder, smbserver.py do Impacket)

Passos

1. Clone o repositório

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Inicie seu ouvinte SMB (na máquina do atacante)

   root@kitploit:~

   # Usando Responder
   sudo responder -I eth0
   
   # Ou usando Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Gere o exploit

   root@kitploit:~

   python exploit.py
   

4. Digite o IP do atacante quando solicitado

5. Envie exploit.zip para o alvo

6. Capture o hash NTLM quando a vítima extrair o arquivo

📁 Estrutura do Repositório

CVE-2025-24071/
├── exploit.py      # Gerador de PoC do exploit
├── PoC.mp4         # Demonstração em vídeo
└── README.md       # Documentação

🛡️ Mitigação

• Aplique patches de segurança da Microsoft para CVE-2025-24071
• Bloqueie tráfego SMB de saída (portas 445, 139) no firewall
• Desabilite a autenticação NTLM quando possível
• Use assinatura SMB para prevenir ataques de relay
• Eduque os usuários sobre os riscos de extrair arquivos não confiáveis

⚖️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de teste de segurança autorizados. O acesso não autorizado a sistemas de computador é ilegal. O autor não é responsável por qualquer uso indevido ou dano causado por esta ferramenta.

👤 Autor

Nyx0r-PoC

📄 Licença

Este projeto é apenas para fins educacionais. Use com responsabilidade.

⭐ Dê uma estrela neste repositório se achou útil!