CVE-2025-24054 e CVE-2025-24071 - Vazamento de Hash NTLM via Exploit .library-ms

Este PoC demonstra a exploração do vazamento de hash NTLM via arquivos .library-ms em sistemas Windows não corrigidos (Patch Tuesday de março de 2025).

⚠️ Isto é apenas para fins educacionais e de pesquisa. Não utilize em sistemas de produção ou não autorizados.

🧠 Descrição

Quando um arquivo .library-ms com um caminho UNC é aberto (ou visualizado) no Windows Explorer, ele dispara uma solicitação de autenticação SMB para o servidor especificado, vazando o hash NTLMv2.

📁 Arquivos

• generate_library_ms.py : gera o arquivo .library-ms malicioso
• xd.library-ms : arquivo malicioso de exemplo (aponta para um servidor SMB configurável)
• Instructions_Responder.md : como configurar um servidor SMB falso com o Responder

🧪 Como Testar

1. Inicie o Responder na sua máquina atacante:

   root@kitploit:~

   sudo responder -I eth0
   

2. Na VM Windows vítima:

   • Baixe ou gere o arquivo .library-ms
   • Visualize-o no Explorador de Arquivos

3. Do lado do atacante:

   • Observe o hash NTLM capturado na saída do Responder

📸 Demonstração

PoC Demo

📚 Referências

• Check Point Research – Análise do CVE-2025-24054
• Notas de Patch da Microsoft (Março de 2025)

✅ Mitigação

• Aplique as correções de março de 2025 da Microsoft
• Desative o NTLM sempre que possível
• Eduque os usuários a evitar interagir com arquivos .library-ms de fontes não confiáveis

🧑‍💻 Autor

PoC criado por Helidem