jarm222/cve-2025-26244La funzionalità grafica di DeimosC2 v1.1.0-Beta è vulnerabile a Stored Cross-Site Scripting (XSS), consentendo il furto del cookie di sessione e l'accesso non autorizzato al server C2.
Il codice per sfruttare questa vulnerabilità può essere visto in 'spoof.go'. Questo si finge un agente verso il server C2. Per eseguire questa vulnerabilità dobbiamo conoscere:
Possiamo ottenere queste informazioni effettuando reverse engineering di un binario precedentemente generato dall'operatore.
Attualmente, 'spoof.go' funziona solo quando sia il listener che l'agente utilizzano il protocollo HTTPS, tuttavia, se adattato, probabilmente funzionerà con gli altri protocolli supportati da DeimosC2.
Avrai bisogno di accedere a un binario HTTPS precedentemente generato dall'operatore.
Estrai l'indirizzo IP, la porta, la chiave pubblica e il primo URL di check-in del listener dal binario. Trend Micro fornisce script per facilitare questa operazione.
Inserisci l'indirizzo IP, la porta, la chiave pubblica e il primo URL di check-in del listener nello script.
Installa la libreria crittografica di DeimosC2
go install github.com/DeimosC2/DeimosC2/lib/crypto@latest
go run Spoof.go
Se hai accesso solo a un binario con uno degli altri protocolli, spoof.go dovrà essere adattato per supportare gli altri protocolli.
Un resoconto completo su come ho scoperto questa vulnerabilità è disponibile sul mio blog qui.