CVE-2025-24054 — Laboratório de Detecção & Mitigação

Registro do projeto de um laboratório de segurança defensiva sobre o CVE-2025-24054, a vulnerabilidade de Spoofing de Divulgação de Hash do New Technology LAN Manager (NTLM) do Windows, sob a premissa de que o sistema afetado não pode ser corrigido em curto prazo.

Projeto educacional de blue team (Murdoch University ICT279). A técnica de exploração é documentada publicamente (Check Point, CISA KEV); a contribuição original é a metodologia de detecção + mitigação. Nenhuma credencial real ou a planilha de credenciais da VM é armazenada neste repositório.

A vulnerabilidade

O Windows analisa automaticamente arquivos .library-ms (descritores de biblioteca em Extensible Markup Language (XML)). Um arquivo malicioso incorpora um caminho Universal Naming Convention (UNC) para um servidor do atacante; ao simplesmente visualizá-lo ou extraí-lo, o Windows abre uma conexão de saída Server Message Block (SMB) na porta 445 do Transmission Control Protocol (TCP) e transmite o hash Net-NTLMv2 do usuário — nenhum clique é necessário.

Arquitetura do laboratório

   Isolated lab network (<SUBNET>/24, air-gapped)
   ┌────────────────┐   ┌────────────────┐   ┌────────────────┐
   │ Attacker (Kali)│   │ Victim (Win10) │   │ SIEM (Ubuntu)  │
   │ Responder      │◄──┤ Sysmon + Agent ├──►│ Wazuh Manager  │
   └────────────────┘SMB└────────────────┘   └────────────────┘
                     445

Pipeline de detecção: Sysmon → Windows Event Log → Wazuh Agent → Wazuh Manager → Custom Rules → Dashboard Alert

Conteúdo

• detection/ — configuração do Sysmon + regras personalizadas do Wazuh
• mitigation/ — restrição de NTLM por Objeto de Política de Grupo (GPO)
• exploit/ — descrição defensiva do gatilho (IPs de exemplo)
• docs/ — passo a passo, limitações e registro de evidências com capturas de tela

Duas descobertas da implementação (documentadas, não presumidas)

1. A conexão de saída na porta 445 é atribuída ao System (Process ID 4), o redirecionador SMB do kernel — não a explorer.exe. Portanto, a regra de detecção não usa filtro de nome de imagem, e é isso que a faz disparar.
2. O evento de NTLM bloqueado na vítima é o Event ID 4001 ("Bloqueando NTLM"), não 8002 como afirma alguma documentação. O ambiente de laboratório é a autoridade.

Referências

• Check Point Research (2025). CVE-2025-24054, exploração de NTLM na natureza.
• CISA (2025). Catálogo de Vulnerabilidades Exploradas Conhecidas: CVE-2025-24054.
• Microsoft Learn (2022). Segurança de rede: Restringir NTLM: Tráfego NTLM de saída para servidores remotos.
• MITRE ATT&CK (2025). T1187: Autenticação Forçada.