Una vulnerabilidad de Windows, identificada como CVE-2025-24054, permite la exposición de hashes NTLM a través de archivos .library-ms. Esta falla está siendo explotada activamente por atacantes en campañas de phishing dirigidas principalmente a entidades gubernamentales y empresas privadas.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad fue corregida el pasado martes de marzo, pero inicialmente no se marcó como explotada activamente. Investigadores de Check Point informaron haber observado actividad de explotación solo unos días después de la disponibilidad de los parches.
Exposición de hashes NTLM
NTLM es un protocolo de autenticación de Microsoft que utiliza la negociación de desafío-respuesta con hashes en lugar de transmitir contraseñas de texto plano. Aunque evita la transmisión directa de contraseñas, ya no se considera seguro debido a vulnerabilidades como los ataques de repetición y el descifrado por fuerza bruta de hashes capturados previamente.
Microsoft ha comenzado a eliminar gradualmente la autenticación NTLM en favor de Kerberos o Negotiate. En ataques detectados, se enviaron correos electrónicos de phishing que incluían un enlace a un archivo ZIP con un archivo .library-ms. Al abrirse este tipo de archivo legítimo, Windows muestra una biblioteca virtual que contiene archivos y carpetas de diferentes orígenes.
Mecanismo de explotación
El ataque se lleva a cabo mediante la creación de un archivo .library-ms que contiene una ruta a un servidor SMB remoto bajo el control del atacante. Al extraer un archivo ZIP con este tipo de archivo, el Explorador de Windows interactúa automáticamente con él, activando la vulnerabilidad CVE-2025-24054 y provocando que Windows establezca una conexión SMB a la URL especificada en el archivo.
Cuando Windows se conecta al servidor SMB remoto, intenta autenticarse mediante NTLM, lo que permite al atacante capturar los hashes NTLM del usuario. En una campaña posterior, Check Point descubrió correos electrónicos de phishing que contenían archivos adjuntos .library-ms sin comprimirse. La simple descarga del archivo ya es suficiente para activar la autenticación NTLM en el servidor remoto.
Detalles adicionales
El archivo malicioso también contiene tres archivos más: «xd.url», «xd.website» y «xd.link», que aprovechan antiguas vulnerabilidades de fuga de hashes NTLM. Estos archivos se incluyen probablemente por redundancia en caso de que falle el método «library-ms». Check Point afirma que los servidores SMB controlados por el atacante utilizaban las direcciones IP 159.196.128[.]120 y 194.127.179[.]157.
Capturar hashes NTLM podría permitir la autenticación y el escalamiento de privilegios. Aunque CVE-2025-24054 solo se evalúa como un problema de gravedad media, sus posibles consecuencias son graves. Dada la baja interacción necesaria para explotar este problema, las organizaciones deben considerarlo un problema de alto riesgo.
Se recomienda que todas las organizaciones instalen las actualizaciones de marzo de 2025 y desactiven la autenticación NTLM si no es necesaria.