CVE-2025-33053 - WebDAV रिमोट कोड एक्ज़िक्यूशन (RCE) PoC और C2 सिमुलेशन

⚠️ केवल शैक्षिक उद्देश्यों के लिए यह प्रोजेक्ट WebDAV और .url फ़ाइल डिलीवरी का शोषण करके यथार्थवादी रिमोट कोड एक्ज़िक्यूशन प्राप्त करने वाला एक प्रूफ-ऑफ-कॉन्सेप्ट प्रदर्शित करता है। इसमें एक डिकॉय-आधारित एक्ज़िक्यूटेबल और कमांड-एंड-कंट्रोल (C2) क्षमताओं का नियंत्रित सिमुलेशन शामिल है। कोई दुर्भावनापूर्ण पेलोड साझा नहीं किया जाता है।

📜 सारांश

यह रिपॉज़िटरी CVE-2025-33053 के लिए एक PoC शामिल करती है, जो Windows में WebDAV शेयर की ओर इशारा करने वाली .url फ़ाइलों को संभालने में एक भेद्यता है। PoC दर्शाता है कि एक हमलावर कैसे:

• ZIP (Invoice.pdf.zip) के माध्यम से एक .url शॉर्टकट वितरित कर सकता है
• WebDAV कंटेनर पर होस्ट किए गए पेलोड के एक्ज़िक्यूशन को ट्रिगर कर सकता है
• पृष्ठभूमि में दुर्भावनापूर्ण लॉजिक निष्पादित करते हुए एक सामान्य-दिखने वाला PDF खोल सकता है
• वैकल्पिक रूप से C2 व्यवहार का सिमुलेशन कर सकता है (जैसे, फ़ोल्डर बनाना)

वास्तविक C2 कोड शामिल नहीं है केवल एक प्रदर्शन वीडियो दिया गया है।

🎬 डेमो वीडियो

🔹 वीडियो 1 — डिकॉय एक्ज़िक्यूशन

https://github.com/user-attachments/assets/27ada7f9-9b02-4281-b002-da7afcdffe21

दिखाता है कि कैसे .url फ़ाइल route.exe को ट्रिगर करती है, जो एक नकली PDF खोलती है और एक पॉपअप प्रदर्शित करती है:

"एक्ज़िक्यूशन पूर्ण। कोई अलर्ट ट्रिगर नहीं हुआ। आप यह दिखावा करना जारी रख सकते हैं कि आप सुरक्षित हैं।"

🔹 वीडियो 2 — C2 सिमुलेशन

https://github.com/user-attachments/assets/d3908eb7-3126-4ec1-ae60-a0373b877a50

बहुत सरल कमांड और कंट्रोल तंत्र। HTTP के माध्यम से प्राप्त रिमोट कमांड (जैसे, एक फ़ोल्डर और calc बनाना) निष्पादित करके एक स्टील्थी C2 का सिमुलेशन करता है। कोई शेल नहीं, कोई शोर नहीं — केवल साइलेंट कंट्रोल। रिवर्स शेल Microsoft Defender द्वारा पकड़े जाते हैं और रोक दिए जाते हैं। यहाँ जैसा कि आप देख सकते हैं, मैं बस एक फ़ाइल संपादित करता हूँ जो पीड़ित मशीन के लिए सुलभ है और वह मशीन इसे http के माध्यम से प्राप्त करती है; सामग्री को स्ट्रिप करके निष्पादित किया जाता है। यह कार्य उस कस्टम Route.exe द्वारा संभाला जाता है।

✅ वीडियो demo/ निर्देशिका में उपलब्ध हैं।

📂 फ़ाइल संरचना

CVE-2025-33053/
├── docker-compose.yml                  # WebDAV container config
├── setup_webdav_payload.py                 # Automates setup + zipping
├── Important-Document.pdf.zip         # Contains disguised .url ( After the script )
├── webdav_data/			# ( After the script )
│   └── data/payload/route.exe         # Payload (PDF + logic) 
├── cleanup.sh 				# Docker + Directories + webdav_data cleaner
├── demo/
│   ├── 1_decoy_execution.mp4
│   └── 2_c2_simulation.mp4

🧪 PoC चलाना

1. रिपॉज़िटरी क्लोन करें और उसमें जाएँ

git clone https://github.com/kra1t0/CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept.git
cd CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept

2. सेटअप स्क्रिप्ट चलाएँ

python3 setup_webdav_payload.py

यह Docker सेट करता है, फ़ोल्डर बनाता है, pwned.exe को स्थानांतरित करता है, .url जनरेट करता है, और .zip पैकेज करता है।

4. ZIP वितरित करें और टारगेट पर खोलें

• Invoice.pdf.zip → उपयोगकर्ता खोलता है / अनज़िप करता है और .url पर डबल-क्लिक करता है
• बिना किसी चेतावनी के WebDAV से एक्ज़िक्यूशन शुरू होता है ( कभी-कभी Microsoft Defender आपको सचेत करता है कि इस फ़ाइल को एडमिन द्वारा स्कैन किया जाना चाहिए। )

🧱 प्रभावित संस्करण

CVE-2025-33053 निम्नलिखित Windows संस्करणों को प्रभावित करता है:

Windows 10 (1809 – 22H2)

Windows 11 (21H2 – 23H2)

Windows Server 2016 / 2019 / 2022

WebClient सेवा सक्षम वाले सिस्टम

जिन सिस्टम में .url फ़ाइलें ब्लॉक या सैनिटाइज़ नहीं की जाती हैं

🛠️ यह भेद्यता जून 2025 के संचयी अपडेट में पैच की गई थी। आप Microsoft पैच नोट्स में पैच लिंक पा सकते हैं।

🧠 यह कैसे काम करता है

1. शॉर्टकट ट्रिक .url फ़ाइल एक विश्वसनीय Windows उपयोगिता (iediagcmd.exe) लॉन्च करती है, लेकिन उसकी कार्यशील निर्देशिका को हमलावर-नियंत्रित WebDAV शेयर पर सेट कर देती है।
2. DLL/एक्ज़िक्यूटेबल हाइजैक यह उपयोगिता Process.Start() का उपयोग करके route.exe जैसे कमांड चलाती है। Windows पहले कार्यशील निर्देशिका में देखता है, जिससे WebDAV से दुर्भावनापूर्ण बाइनरी निष्पादित हो जाती है।
3. Stealth Falcon की डिलीवरी वास्तविक हमलों में, APT अभिनेताओं ने .url को भ्रामक नामों वाले आर्काइव्स (जैसे ...pdf.zip) में ज़िप किया और उन्हें HTTPS पर विश्वसनीय डोमेन पर होस्ट किया। पेलोड श्रृंखला ने फिर एक डिकॉय PDF वितरित की और एक कस्टम C2 लोडर ("Horus Agent") लोड किया, जो इन-मेमोरी शेलकोड इंजेक्शन, प्रोसेस क्लोकिंग और रिमोट कमांड में सक्षम है।
4. सक्रिय शोषण। यह एक्सप्लॉइट मार्च 2025 में मध्य पूर्व की रक्षा संगठनों के खिलाफ इस्तेमाल किया गया था। यह उच्च-प्रभाव (CVSS 8.8) है और CISA की Known Exploited Vulnerabilities कैटलॉग में शामिल है।

🛡️ शमन और बचाव

✅ तत्काल प्राथमिकता: पैच इंस्टॉल करें — CISA को संघीय एजेंसियों से 1 जुलाई, 2025 तक उपचार की आवश्यकता है

❌ क्या शामिल नहीं है

• कोई C2 कमांड सर्वर कोड नहीं
• कोई रिवर्स शेल स्क्रिप्ट या मैलवेयर नहीं
• वास्तविक सिस्टम का कोई शोषण नहीं

🔗 संदर्भ

• Microsoft पैच नोट्स – जून 2025
• CISA KEV कैटलॉग
• Elastic खतरा रिपोर्ट: Stealth Falcon शोषण
• CERT-EU अलर्ट
• Microsoft Defender AV और SmartScreen एडवाइज़री

यथार्थवाद, रेड टीम ट्रेडक्राफ्ट और नैतिक प्रकटीकरण पर ध्यान देते हुए @kra1t0 द्वारा निर्मित

अराजकता में सटीकता