CVE-2025-24071 - Утечка NTLM-хэша через Windows File Explorer

📋 Обзор

CVE-2025-24071 — это уязвимость в Windows File Explorer, которая позволяет несанкционированно раскрывать NTLM-хэши. Когда пользователь извлекает специально созданный .zip-архив, содержащий вредоносный файл .library-ms, Проводник Windows автоматически анализирует этот файл и инициирует запрос аутентификации SMB к серверу, контролируемому злоумышленником, что приводит к утечке NTLM-хэша жертвы без каких-либо дополнительных действий со стороны пользователя.

⚠️ Детали уязвимости

🔍 Принцип работы

1. Злоумышленник создает вредоносный файл .library-ms, указывающий на его SMB-сервер
2. Злоумышленник упаковывает файл в архив .zip
3. Жертва извлекает архив на компьютере с Windows
4. Проводник Windows автоматически анализирует файл .library-ms
5. SMB-запрос отправляется на сервер злоумышленника, содержащий NTLM-хэш жертвы
6. Злоумышленник захватывает хэш для офлайн-перебора или relay-атак

🎬 Демонстрация Proof of Concept

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

Примечание: Если видео не воспроизводится встроенным образом, скачайте PoC.mp4 из этого репозитория.

🚀 Использование

Предварительные требования

• Python 3.x
• SMB-слушатель (например, Responder, smbserver.py из Impacket)

Шаги

1. Клонируйте репозиторий

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. Запустите ваш SMB-слушатель (на машине атакующего)

   root@kitploit:~

   # Using Responder
   sudo responder -I eth0
   
   # Or using Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. Сгенерируйте эксплойт

   root@kitploit:~

   python exploit.py
   

4. Введите IP-адрес атакующего по запросу

5. Отправьте exploit.zip цели

6. Захватите NTLM-хэш, когда жертва извлечет архив

📁 Структура репозитория

CVE-2025-24071/
├── exploit.py      # Генератор эксплойта PoC
├── PoC.mp4         # Видеодемонстрация
└── README.md       # Документация

🛡️ Меры защиты

• Установите исправления безопасности Microsoft для CVE-2025-24071
• Заблокируйте исходящий SMB-трафик (порты 445, 139) на брандмауэре
• Отключите аутентификацию NTLM где это возможно
• Используйте подпись SMB для предотвращения relay-атак
• Обучайте пользователей рискам извлечения непроверенных архивов

⚖️ Отказ от ответственности

Этот инструмент предоставлен только для образовательных и авторизованных тестов безопасности. Несанкционированный доступ к компьютерным системам является незаконным. Автор не несёт ответственности за любое неправомерное использование или ущерб, причинённый этим инструментом.

👤 Автор

Nyx0r-PoC

📄 Лицензия

Этот проект предназначен только для образовательных целей. Используйте ответственно.

⭐ Поставьте звезду этому репозиторию, если вы нашли его полезным!