Script Verificador CVE-2025-33073

Este script verificador de PoC básico testa alvos para a vulnerabilidade CVE-2025-33073 tentando realizar ataques de reflexão NTLM usando coerção de autenticação NTLM via samba RPC. Para isso, você precisa ter uma conta com acesso ao samba.

Você também precisa registrar um domínio localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA para o IP do seu atacante, conforme descrito abaixo no DNS interno do Windows. Isso está habilitado por padrão para qualquer conta no domínio. Também pode ser usado envenenamento LLMNR em vez disso.

Antes de executar este script, certifique-se de entender como o ataque funciona, veja a explicação aqui.

Uso

# Usage: ./CVE-2025-33073-checker.sh -u USERNAME -p PASSWORD -d DOMAIN -i IP_FILE
# Example: 
./CVE-2025-33073-checker.sh -u Administrator -p Password123 -d example.local -i samba_list_ips.txt

Configuração

• Instale crackmapexec, netcat e python3
• Coloque PetitPotam.py no mesmo diretório deste script
• Registre um domínio localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA para o IP do atacante no DDNS. Você pode usar dnstool.py ou powermad.

Recursos

• https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
• https://github.com/mverschu/CVE-2025-33073
• https://github.com/topotam/PetitPotam