CVE-2025-26244-POC

Der Code zur Ausnutzung dieser Sicherheitslücke ist in 'spoof.go' zu sehen. Dieser gibt sich als Agent gegenüber dem C2-Server aus. Um diese Schwachstelle auszuführen, müssen wir Folgendes wissen:

1. Die IP-Adresse und der Port des Listeners
2. Der öffentliche Schlüssel des Listeners.
3. Die URL für den ersten Check-in des Listeners.

Wir könnten diese Informationen durch Reverse Engineering einer zuvor vom Betreiber generierten Binärdatei erhalten.

Derzeit funktioniert 'spoof.go' nur, wenn sowohl Listener als auch Agent das HTTPS-Protokoll verwenden. Wenn es jedoch angepasst wird, wird es wahrscheinlich auch mit den anderen von DeimosC2 unterstützten Protokollen funktionieren.

Exploit

1. Sie benötigen Zugriff auf eine zuvor vom Betreiber generierte HTTPS-Binärdatei.

2. Extrahieren Sie die IP-Adresse, den Port, den öffentlichen Schlüssel und die URL für den ersten Check-in des Listeners aus der Binärdatei. Trend Micro stellt Skripte zur Verfügung, die dabei helfen.

3. Setzen Sie die IP-Adresse, den Port, den öffentlichen Schlüssel und die URL für den ersten Check-in des Listeners in das Skript ein.

4. Installieren Sie die DeimosC2 Crypto Library

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. Führen Sie das Skript aus.

go run Spoof.go