Эксперты Positive Technologies ESC обнаружили активные попытки эксплуатации уязвимости CVE-2025-24071, затрагивающей операционные системы Windows, включая Windows 10 и Windows 11. Проблема, выявленная 11 марта, связана с автоматической обработкой файлов .library-ms в Windows Explorer и системой индексирования. При распаковке вредоносного архива система без ведома пользователя инициирует NTLM-аутентификацию на атакующем SMB-сервере, что приводит к утечке хеш-суммы NTLMv2 учетной записи.
Описание
Первым о проблеме сообщил исследователь 0x6rss, описавший механизм эксплуатации уязвимости. Особую опасность представляет возможность атаки через электронную почту - злоумышленники могут распространять вредоносные .library-ms файлы в письмах. Уже зафиксированы случаи атак на организации в России и Беларуси, где злоумышленники рассылают архивы с PDF-документами и скрытыми .library-ms файлами.
Эксперты PT ESC прогнозируют рост числа атак и рекомендуют срочно принять меры защиты. Среди ключевых рекомендаций - ограничение SMB-соединений с внешними серверами, установка последних обновлений Windows, запрет на запуск и получение файлов с расширением .library-ms. Бездействие может привести к массовым утечкам учетных данных и последующим атакам на корпоративные сети.
Индикаторы компрометации
IPv4
- 154.205.148.56
- 38.60.247.250
- 94.250.249.129
MD5
- 74e2f206e99040868b60eef04781de8a
- 78cd8d4481713fbd4beb790a127bd793
- 83a60de9faed1b0a0344eda108aee44f
- 9bab71704cefac935546e09d12dfd2c1
- c3f9813545b7f830183369dd649bd595
SHA1
- 10c02f7a3214dc166f6a8ce19c3d0a988084b3ea
- 595b68aaad8a705e78125735cdb7136b6f17b077
- 922c6ee612bd22a85cd1e84f50e18d21656c3f3d
- f27ecc7ec9c6425a41a3cbfa8bf74f24c32c6488
- fcadd1a24f2fa6e0f5338ff0e8d186258c79a05d
SHA256
- 07f6d81b5e3fba23f5de34038424ebec4710cbc16959de4389ceb7855e69bac2
- 8a3728ebdb64e69347c14356b250eb0720801ce367acd1b53510a8dea16f7001
- a4205e773eee7f33d1bb776a2f7b36da4b3955284208c015257311b8ef23f721
- cb9810b6492aad667554958332a3518aeed8d356dcd03b43e4116cd92c938d0f
- e7897176a7d226c82af27ff525399bd0c7d7b73fdfffac8d2d56b8707637aa99
