{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"❗ Описание уязвимости","type":"header-two","key":"84f8k"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":12,"offset":28}],"inlineStyleRanges":[],"text":"18.03.2025 был опубликовано исследование об уязвимости CVE-2025-24071.","type":"unstyled","key":"5onuv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Её эксплуатация заключается в том, что если разархивировать специально подготовленный файл с расширением .library-ms из RAR или ZIP-архива, произойдёт автоматическое обращение на сетевой ресурс с попыткой аутентификации. Это называется утечкой NTLM-хэша, с которым атакующий может собирать хэши паролей с хостов в инфраструктуре.","type":"unstyled","key":"4rral"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":16,"offset":36}],"inlineStyleRanges":[],"text":"Уязвимость имеет публично-доступный Proof-of-Concept.","type":"unstyled","key":"2h09c"},{"data":{"image":{"id":"67e06a7f57e21a3f92529b19"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"CVE - Common Vulnerabilities and Exposures","type":"atomic:image","key":"empst"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"❗️Примечательно, что пользователю не нужно открывать файл, достаточно его разархивировать, а доставить архив можно, например, с помощью фишинга.","type":"unstyled","key":"dfdji"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сам файл .library-ms представляет из себя XML-файл:","type":"unstyled","key":"1io7g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"9j9cf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"do9ps"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"ag2r3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"9bkdf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"9jjvb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\\\\\\\\{ip_address}\\\\shared","type":"blockquote","key":"3mlb4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"donpk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"32qs1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"f16ea"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"blockquote","key":"2devd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как вы можете заметить, секция содержит IP-адрес и путь, к которому и обращается проводник Windows.","type":"unstyled","key":"68ge5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\uD83D\uDC40 Как обнаружить?","type":"header-two","key":"b2i6d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"1. Данную атаку не очень просто обнаружить, мои тесты показывают, что не создаётся аномальных процессов. За что же можно зацепиться - обнаружение попытки \"выстреливания\" хэша по порту 445/TCP в интернет (совсем легкий хант)","type":"unstyled","key":"adeds"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"2. Возможно косвенное обнаружение:","type":"unstyled","key":"e2q33"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"- контроль запуска архиватора от процессов офисных приложений","type":"unstyled","key":"b5161"},{"data":{},"depth":0,"entityRanges":[{"key":2,"length":56,"offset":116}],"inlineStyleRanges":[],"text":"- контроль открытия архивов, защищенных паролем, рекомендую поиграться с хантом на основе вот этого Sigma-правила - Password Protected ZIP File Opened (Suspicious Filenames)","type":"unstyled","key":"klm0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"☔ Как защититься?","type":"header-two","key":"4ihdv"},{"data":{},"depth":0,"entityRanges":[{"key":3,"length":5,"offset":36}],"inlineStyleRanges":[],"text":"1. К счастью, патч от Microsoft уже готов, следует выполнить обновление систем.","type":"unstyled","key":"77u9i"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"2. Также не стоит забывать про дополнительные средства защиты, например, насколько хорошо защита почты готова обнаруживать пароли в письмах и вскрывать архивы для антивирусной и контентной проверки","type":"unstyled","key":"4hf48"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"3. Стоит рассмотреть блокировку исходящего в интернет SMB-трафика и NTLM-хэшей в частности, так как уязвимости утечки хэшей периодически появляются в Windows, например CVE-2023-23397. Кстати, на данную уязвимость на момент её публикации не было готового PoC, но мне удалось его разработать, если интересен пост на эту тему - ставьте реакции :)","type":"unstyled","key":"cr1ef"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Надеюсь, что информация была для вас полезной, stay tuned ♫","type":"unstyled","key":"1lij5"},{"data":{},"depth":0,"entityRanges":[{"key":4,"length":7,"offset":36}],"inlineStyleRanges":[],"text":"Также можно подписаться в Telegram: @mirkib","type":"unstyled","key":"7meop"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"FFoZJHbTxuMQrcOCXPvT"}],"entityMap":{"0":{"data":{"url":"https://cti.monster/blog/2025/03/18/CVE-2025-24071.html"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"url":"https://github.com/0x6rss/CVE-2025-24071_PoC/tree/main"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"url":"https://github.com/SigmaHQ/sigma/blob/master/rules/windows/builtin/security/win_security_susp_opened_encrypted_zip_filename.yml"},"mutability":"MUTABLE","type":"LINK"},"3":{"data":{"url":"https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24071"},"mutability":"MUTABLE","type":"LINK"},"4":{"data":{"url":"https://dzen.ru/away?to=https%3A%2F%2Ft.me%2Fmirkib"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}