CVE-2025-26244-POC

El código para explotar esta vulnerabilidad se puede ver en 'spoof.go'. Esto se hace pasar por un agente ante el servidor C2. Para ejecutar esta vulnerabilidad necesitamos conocer:

1. La dirección IP y el puerto del listener.
2. La clave pública del listener.
3. La URL del primer check-in del listener.

Podemos obtener esta información mediante ingeniería inversa de un binario generado previamente por el operador.

Actualmente, 'spoof.go' solo funciona cuando tanto el listener como el agente usan el protocolo HTTPS; sin embargo, si se adapta, probablemente funcionará con los otros protocolos que soporta DeimosC2.

Para explotar

1. Necesitarás acceso a un binario HTTPS generado previamente por el operador.

2. Extrae del binario la dirección IP, el puerto, la clave pública y la URL del primer check-in del listener. Trend Micro proporciona scripts para ayudarte con esto.

3. Coloca la dirección IP, el puerto, la clave pública y la URL del primer check-in del listener en el script.

4. Instala la librería Crypto de DeimosC2

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. Ejecuta el script.

go run Spoof.go

6. Se registrará un nuevo agente y, en cuanto el operador cargue la vista de grafo, el XSS se activará y tendrás su cookie!