آسیب‌پذیری نشت هش NTLM ویندوز در حملات فیشینگ علیه دولت‌ها مورد سوءاستفاده قرار گرفت

آسیب‌پذیری ویندوز با شناسه CVE-2025-24054 که هش‌های NTLM را از طریق فایل‌های .library-ms فاش می‌کند، اکنون به‌طور فعال توسط هکرها در کمپین‌های فیشینگ علیه نهادهای دولتی و شرکت‌های خصوصی مورد سوءاستفاده قرار می‌گیرد. این نقص در آپدیت مارس ۲۰۲۵ مایکروسافت برطرف شد، اما محققان Check Point گزارش دادند که تنها چند روز پس از انتشار وصله، فعالیت بهره‌برداری فعال مشاهده شده که بین ۲۰ تا ۲۵ مارس ۲۰۲۵ به اوج رسیده است.

در این حملات، ایمیل‌های فیشینگ حاوی لینک Dropbox به آرشیو ZIP شامل فایل .library-ms ارسال می‌شود که هنگام باز کردن، ویندوز را مجبور به اتصال SMB به سرور کنترل‌شده مهاجم می‌کند و امکان دریافت هش‌های NTLM کاربر را فراهم می‌آورد. این آسیب‌پذیری با حداقل تعامل کاربر مانند کلیک ساده یا کلیک راست فعال می‌شود و می‌تواند منجر به دور زدن احراز هویت و افزایش سطح دسترسی شود. سازمان‌ها باید آپدیت‌های مارس ۲۰۲۵ را نصب کرده و در صورت عدم نیاز، احراز هویت NTLM را غیرفعال کنند.