CVE-2025-26244-POC

يمكن رؤية الكود الخاص باستغلال هذه الثغرة في 'spoof.go'. يقوم هذا الكود بتقليد وكيل (agent) لخادم التحكم (C2 server). لتشغيل هذه الثغرة، نحتاج إلى معرفة:

1. عنوان IP للمستمع والمنفذ (Port)
2. المفتاح العام للمستمع.
3. رابط التحقق الأول (first time check in URL) للمستمع.

يمكننا الحصول على هذه المعلومات من خلال الهندسة العكسية لملف ثنائي (binary) تم إنشاؤه مسبقاً بواسطة المشغل (operator).

حالياً، يعمل 'spoof.go' فقط عندما يستخدم كل من المستمع والوكيل بروتوكول HTTPS، ومع ذلك، إذا تم تكييفه، فمن المحتمل أن يعمل مع البروتوكولات الأخرى التي يدعمها DeimosC2.

للاستغلال (To Exploit)

1. ستحتاج إلى الوصول إلى ملف ثنائي HTTPS تم إنشاؤه مسبقاً بواسطة المشغل.

2. استخرج عنوان IP والمنفذ والمفتاح العام ورابط التحقق الأول للمستمع من الملف الثنائي. توفر Trend Micro نصوصاً برمجية للمساعدة في ذلك.

3. ضع عنوان IP والمنفذ والمفتاح العام ورابط التحقق الأول للمستمع في النص البرمجي.

4. قم بتثبيت مكتبة التشفير لـ DeimosC2

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. قم بتشغيل النص البرمجي.

go run Spoof.go

6. سيتم تسجيل وكيل جديد، وبمجرد أن يقوم المشغل بتحميل عرض الرسم البياني (graph view) سيتم تشغيل XSS وستحصل على ملف تعريف الارتباط (cookie) الخاص به!

إذا كان لديك فقط ملف ثنائي مع أحد البروتوكولات الأخرى، فسيلزم تكييف spoof.go لدعم البروتوكولات الأخرى.