CVE-2025-24054 e CVE-2025-24071 - Vazamento de Hash NTLM via Exploit .library-ms

Este PoC demonstra a exploração do vazamento de hash NTLM via arquivos .library-ms em sistemas Windows sem patch (Patch Tuesday de março de 2025).

⚠️ Isto é apenas para fins educacionais e de pesquisa. Não use isto em sistemas de produção ou não autorizados.

🧠 Descrição

Quando um arquivo .library-ms com um caminho UNC é aberto (ou pré-visualizado) no Windows Explorer, ele aciona uma solicitação de autenticação SMB para o servidor especificado, vazando o hash NTLMv2.

📁 Arquivos

• generate_library_ms.py : gera o arquivo .library-ms malicioso
• xd.library-ms : arquivo malicioso de exemplo (aponta para um servidor SMB configurável)
• Instructions_Responder.md : como configurar um servidor SMB falso com o Responder

🧪 Como Testar

1. Inicie o Responder na sua máquina atacante:

   root@kitploit:~

   sudo responder -I eth0
   

2. Na VM Windows da vítima:

   • Baixe ou gere o arquivo .library-ms
   • Pré-visualize-o no Explorador de Arquivos

3. No lado do atacante:

   • Observe o hash NTLM capturado na saída do Responder

📸 Demonstração

Demonstração do PoC

📚 Referências

• Check Point Research – Análise do CVE-2025-24054
• Notas de Patch da Microsoft (março de 2025)

✅ Mitigação

• Aplique os patches da Microsoft de março de 2025
• Desative o NTLM onde possível
• Eduque os usuários a evitar interagir com arquivos .library-ms de fontes não confiáveis

🧑‍💻 Autor

PoC criado por Helidem