CVE-2025-33053 - Proof-of-Concept für Remote Code Execution (RCE) über WebDAV & C2-Simulation

⚠️ Nur zu Bildungszwecken Dieses Projekt zeigt ein Proof-of-Concept, das WebDAV und die Zustellung von .url-Dateien ausnutzt, um eine realistische Remote-Code-Ausführung zu erreichen. Es enthält eine ausführbare Tarn-Datei und eine kontrollierte Simulation von Command-and-Control (C2)-Fähigkeiten. Es werden keine schädlichen Payloads geteilt.

📜 Zusammenfassung

Dieses Repository enthält einen PoC für CVE-2025-33053, eine Sicherheitslücke in der Art und Weise, wie Windows .url-Dateien verarbeitet, die auf eine WebDAV-Freigabe zeigen. Der PoC demonstriert, wie ein Angreifer Folgendes tun könnte:

Zustellen einer .url-Verknüpfung per ZIP (Invoice.pdf.zip)
Auslösen der Ausführung eines auf einem WebDAV-Container gehosteten Payloads
Öffnen einer harmlos aussehenden PDF, während im Hintergrund schädliche Logik ausgeführt wird
Optional Simulation von C2-Verhalten (z. B. Erstellen von Ordnern)

Der eigentliche C2-Code ist nicht enthalten – es wird lediglich ein Demonstrationsvideo bereitgestellt.

🎬 Demo-Videos

🔹 Video 1 – Tarn-Ausführung

https://github.com/user-attachments/assets/27ada7f9-9b02-4281-b002-da7afcdffe21

Zeigt, wie die .url-Datei route.exe auslöst, das eine gefälschte PDF öffnet und ein Popup anzeigt:

„Ausführung abgeschlossen. Keine Warnungen ausgelöst. Du kannst weiterhin so tun, als wärst du sicher.“

🔹 Video 2 – C2-Simulation

https://github.com/user-attachments/assets/d3908eb7-3126-4ec1-ae60-a0373b877a50

Sehr einfacher Command-and-Control-Mechanismus. Simuliert ein verdecktes C2 durch Ausführen von Remote-Befehlen (z. B. Erstellen eines Ordners und Ausführen von calc), die per HTTP abgerufen werden. Keine Shell, kein Lärm – nur stille Kontrolle. Reverse-Shells werden von Microsoft Defender erfasst und gestoppt. Wie Sie hier sehen können, bearbeite ich lediglich eine Datei, die für den Opfer-Rechner zugänglich ist; diese wird vom Rechner per HTTP abgerufen, der Inhalt wird extrahiert und dann ausgeführt. Diese Aufgabe wird von der benutzerdefinierten Route.exe übernommen.

✅ Videos im Verzeichnis demo/ verfügbar.

📂 Dateistruktur

CVE-2025-33053/
├── docker-compose.yml                  # WebDAV container config
├── setup_webdav_payload.py                 # Automates setup + zipping
├── Important-Document.pdf.zip         # Contains disguised .url ( After the script )
├── webdav_data/			# ( After the script )
│   └── data/payload/route.exe         # Payload (PDF + logic) 
├── cleanup.sh 				# Docker + Directories + webdav_data cleaner
├── demo/
│   ├── 1_decoy_execution.mp4
│   └── 2_c2_simulation.mp4

🧪 Ausführen des PoC

Repository klonen und dorthin navigieren

git clone https://github.com/kra1t0/CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept.git
cd CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept

Setup-Skript ausführen

python3 setup_webdav_payload.py

Dies richtet Docker ein, erstellt Ordner, verschiebt die pwned.exe, generiert .url und verpackt die .zip

Die ZIP ausliefern und auf dem Ziel öffnen

Invoice.pdf.zip → Benutzer öffnet / entpackt und doppelklickt auf .url
Ausführung beginnt von WebDAV ohne Warnungen ( Manchmal meldet Microsoft Defender, dass diese Datei vom Administrator überprüft werden sollte. )

🧱 Betroffene Versionen

CVE-2025-33053 betrifft die folgenden Windows-Versionen:

Windows 10 (1809 – 22H2)

Windows 11 (21H2 – 23H2)

Windows Server 2016 / 2019 / 2022

Systeme mit aktiviertem WebClient-Dienst

Systeme, in denen .url-Dateien nicht blockiert oder bereinigt werden

🛠️ Die Sicherheitslücke wurde in den kumulativen Updates vom Juni 2025 geschlossen. Patch-Links finden Sie in den Microsoft Patch Notes.

🧠 Funktionsweise

Der Verknüpfungstrick – Die .url-Datei startet ein vertrauenswürdiges Windows-Dienstprogramm (iediagcmd.exe), setzt jedoch sein Arbeitsverzeichnis auf eine vom Angreifer kontrollierte WebDAV-Freigabe.
DLL/Executable-Hijacking – Dieses Dienstprogramm verwendet Process.Start(), um Befehle wie route.exe auszuführen. Windows sucht zuerst im Arbeitsverzeichnis, sodass die schädliche Binärdatei von WebDAV ausgeführt werden kann.
Die Zustellung von Stealth Falcon – Bei echten Angriffen haben APT-Akteure die .url in irreführend benannte Archive (z. B. ...pdf.zip) gepackt und auf vertrauenswürdigen Domänen über HTTPS gehostet. Die Payload-Kette lieferte dann eine Tarn-PDF und lud einen benutzerdefinierten C2-Loader („Horus Agent“), der In-Memory-Shellcode-Injektion, Prozessverschleierung und Remote-Befehle ermöglicht.
Aktive Ausnutzung. – Der Exploit wurde im März 2025 gegen Verteidigungsorganisationen im Nahen Osten eingesetzt. Er hat hohe Auswirkungen (CVSS 8.8) und ist im Katalog der bekannten ausgenutzten Schwachstellen von CISA enthalten.

🛡️ Gegenmaßnahmen & Verteidigung

Gegenmaßnahme	Beschreibung
🔄 Microsoft-Patch anwenden	Die kumulativen Updates vom Juni 2025 beheben CVE‑2025‑33053 unter Windows 10/11 und älteren Serverversionen.
🔒 WebDAV-Client deaktivieren	Deaktivieren Sie für Systeme ohne WebDAV-Bedarf (d. h. die meisten modernen Einrichtungen) den „WebClient“-Dienst über Gruppenrichtlinien oder die Registrierung.
📥 Benutzer schulen, verdächtige Archive zu vermeiden	Öffnen Sie keine `.url`-Dateien aus ZIP/ISO-E-Mails, selbst wenn sie wie Dokumente aussehen.
🕵️‍♀️ WebDAV-Datenverkehr überwachen	Achten Sie auf ausgehende UNC-Verbindungsmuster wie `\\<host>@443\DavWWWRoot\...` – diese können auf Ausnutzungsversuche hinweisen.
🛠 WAF/IDS-Regeln bereitstellen	Blockieren Sie WebDAV-bezogene Methoden (z. B. `PROPFIND`) oder UNC-Pfade zu nicht vertrauenswürdigen Domänen.
⚙️ Edge/SmartScreen-Richtlinien härten	Schränken Sie die Handhabung von `.url`-Dateien und Archiven über Browsereinstellungen oder sichere E-Mail-Gateways ein.

✅ Höchste Priorität: Patch installieren – CISA verlangt von Bundesbehörden die Behebung bis zum 1. Juli 2025

❌ Was NICHT enthalten ist

Kein C2-Befehlsserver-Code
Keine Reverse-Shell-Skripte oder Malware
Keine Ausnutzung realer Systeme

🔗 Referenzen

Erstellt mit Fokus auf Realismus, Red-Team-Taktiken und ethische Offenlegung von @kra1t0

Präzision im Chaos

CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept

Beliebteste