CVE-2025-26244-POC

Le code pour exploiter cette vulnérabilité est visible dans 'spoof.go'. Il se fait passer pour un agent auprès du serveur C2. Pour exploiter cette vulnérabilité, nous avons besoin de :

1. L'adresse IP et le port du listener.
2. La clé publique du listener.
3. L'URL du premier check-in du listener.

Ces informations peuvent être obtenues en effectuant la rétro-ingénierie d'un binaire précédemment généré par l'opérateur.

Actuellement, 'spoof.go' ne fonctionne que lorsque le listener et l'agent utilisent tous deux le protocole HTTPS. Cependant, s'il est adapté, il fonctionnera probablement avec les autres protocoles pris en charge par DeimosC2.

Pour exploiter

1. Vous aurez besoin d'un binaire HTTPS précédemment généré par l'opérateur.

2. Extrayez l'adresse IP, le port, la clé publique et l'URL du premier check-in du listener à partir du binaire. Trend Micro fournit des scripts pour vous aider.

3. Placez l'adresse IP, le port, la clé publique et l'URL du premier check-in du listener dans le script.

4. Installez la DeimosC2 Crypto Library

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. Exécutez le script.

go run Spoof.go

6. Un nouvel agent sera enregistré et dès que l'opérateur chargera la vue graphique, le XSS se déclenchera et vous aurez son cookie !

Si vous n'avez accès qu'à un binaire utilisant l'un des autres protocoles, spoof.go devra être adapté pour prendre en charge les autres protocoles.

Rapport

Un rapport complet sur la façon dont j'ai découvert cette vulnérabilité est disponible sur mon blog ici.

Vidéo PoC

https://github.com/user-attachments/assets/b6e475b2-600d-40ce-bdfa-5bfe9ff3d682