CVE-2025-33053 - WebDAV Esecuzione Remota di Codice (RCE) PoC & Simulazione C2

⚠️ Solo a Scopo Educativo Questo progetto dimostra un proof-of-concept che sfrutta WebDAV e la consegna di file .url per ottenere un'esecuzione remota di codice realistica. Include un eseguibile fittizio e una simulazione controllata di capacità di comando e controllo (C2). Non vengono condivisi payload malevoli.

📜 Riepilogo

Questa repository contiene un PoC per CVE-2025-33053, una vulnerabilità nel modo in cui Windows gestisce i file .url che puntano a una condivisione WebDAV. Il PoC dimostra come un attaccante potrebbe:

Consegnare un collegamento .url tramite ZIP (Invoice.pdf.zip)
Attivare l'esecuzione di un payload ospitato su un contenitore WebDAV
Aprire un PDF dall'aspetto innocuo mentre esegue logica malevola in background
Simulare facoltativamente un comportamento C2 (ad esempio, creazione di cartelle)

Il codice C2 effettivo non è incluso – viene fornito solo un video dimostrativo.

🎬 Video Dimostrativi

🔹 Video 1 — Esecuzione Esche

https://github.com/user-attachments/assets/27ada7f9-9b02-4281-b002-da7afcdffe21

Mostra il file .url che attiva route.exe, il quale apre un falso PDF e visualizza un popup:

"Esecuzione completata. Nessun allarme attivato. Puoi continuare a fingere di essere al sicuro."

🔹 Video 2 — Simulazione C2

https://github.com/user-attachments/assets/d3908eb7-3126-4ec1-ae60-a0373b877a50

Meccanismo di comando e controllo molto semplice. Simula un C2 furtivo eseguendo comandi remoti (ad esempio, creazione di una cartella e calcolatrice) recuperati via HTTP. Niente shell, niente rumore, solo controllo silenzioso. Le shell inverse vengono catturate e bloccate da Microsoft Defender. Qui, come puoi vedere, modifico semplicemente un file accessibile alla macchina vittima, che viene recuperato dalla macchina tramite http; il contenuto viene estratto ed eseguito. Questo compito è gestito dal custom Route.exe.

✅ Video disponibili nella directory demo/.

📂 Struttura dei File

CVE-2025-33053/
├── docker-compose.yml                  # Configurazione contenitore WebDAV
├── setup_webdav_payload.py                 # Automatizza configurazione e zippatura
├── Important-Document.pdf.zip         # Contiene .url camuffato (dopo lo script)
├── webdav_data/			# (dopo lo script)
│   └── data/payload/route.exe         # Payload (PDF + logica) 
├── cleanup.sh 				# Pulizia Docker + Directory + webdav_data
├── demo/
│   ├── 1_decoy_execution.mp4
│   └── 2_c2_simulation.mp4

🧪 Esecuzione del PoC

Clona la repo e naviga al suo interno

git clone https://github.com/kra1t0/CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept.git
cd CVE-2025-33053-WebDAV-RCE-PoC-and-C2-Concept

Esegui lo script di configurazione

python3 setup_webdav_payload.py

Questo imposta Docker, crea cartelle, sposta pwned.exe, genera il .url e impacchetta lo .zip

Consegna lo ZIP e aprilo sul target

Invoice.pdf.zip → l'utente apre / decomprime e fa doppio clic sul .url
L'esecuzione parte da WebDAV senza alcun avviso (A volte Microsoft Defender ti avvisa che questo file dovrebbe essere scansionato dall'amministratore.)

🧱 Versioni Affette

CVE-2025-33053 colpisce le seguenti versioni di Windows:

Windows 10 (1809 – 22H2)

Windows 11 (21H2 – 23H2)

Windows Server 2016 / 2019 / 2022

Sistemi con il servizio WebClient abilitato

Sistemi in cui i file .url non sono bloccati o sanificati

🛠️ La vulnerabilità è stata corretta negli aggiornamenti cumulativi di giugno 2025. Puoi trovare i link alla patch nelle note sulle patch Microsoft.

🧠 Come Funziona

Il Trucco del Collegamento Il file .url avvia un'utilità Windows affidabile (iediagcmd.exe) ma imposta la sua directory di lavoro su una condivisione WebDAV controllata dall'attaccante.
Hijack di DLL/Eseguibile Quell'utilità utilizza Process.Start() per eseguire comandi come route.exe. Windows cerca prima nella directory di lavoro, permettendo l'esecuzione del binario malevolo da WebDAV.
Consegna di Stealth Falcon Negli attacchi reali, attori APT hanno zippato il .url in archivi con nomi fuorvianti (es. ...pdf.zip) e ospitati su domini fidati tramite HTTPS. La catena del payload consegnava quindi un PDF esca e caricava un custom C2 loader ("Horus Agent") capace di iniezione di shellcode in memoria, occultamento dei processi e comandi remoti.
Sfruttamento Attivo. L'exploit è stato utilizzato a marzo 2025 contro organizzazioni della difesa in Medio Oriente. È ad alto impatto (CVSS 8.8) ed è incluso nel catalogo delle vulnerabilità conosciute e sfruttate di CISA.

🛡️ Mitigazione e Difesa

Strategia di Mitigazione	Descrizione
🔄 Applica la Patch Microsoft	Gli aggiornamenti cumulativi di giugno 2025 risolvono CVE‑2025‑33053 in Windows 10/11 e versioni Server precedenti.
🔒 Disabilita il Client WebDAV	Per sistemi che non necessitano di WebDAV (cioè la maggior parte delle configurazioni moderne), disabilita il servizio "WebClient" tramite Criteri di gruppo o registro.
📥 Addestra gli Utenti a Evitare Archivi Sospetti	Non aprire file `.url` da email ZIP/ISO, anche se sembrano documenti.
🕵️‍♀️ Monitora il Traffico WebDAV	Cerca pattern di connessioni UNC in uscita come `\\<host>@443\DavWWWRoot\...` – potrebbero indicare tentativi di sfruttamento.
🛠 Implementa Regole WAF/IDS	Blocca metodi relativi a WebDAV (es. `PROPFIND`) o percorsi UNC verso domini non fidati.
⚙️ Rafforza le Policy di Edge/SmartScreen	Limita la gestione dei file `.url` e degli archivi tramite impostazioni del browser o gateway email sicuri.

✅ Priorità immediata: installare la patch – CISA richiede alle agenzie federali di risolvere entro il 1° luglio 2025

❌ Cosa NON è Incluso

Nessun codice server di comando C2
Nessuno script di shell inversa o malware
Nessuno sfruttamento di sistemi reali

🔗 Riferimenti

Realizzato con attenzione al realismo, tecniche red team e divulgazione etica da @kra1t0

Precisione nel Caos

Più Popolari

Informazioni

CVE-2025-33053-POC