CVE-2025-26244-POC

Il codice per sfruttare questa vulnerabilità può essere visto in 'spoof.go'. Questo si finge un agente verso il server C2. Per eseguire questa vulnerabilità dobbiamo conoscere:

1. L'indirizzo IP e la porta del listener.
2. La chiave pubblica del listener.
3. Il primo URL di check-in del listener.

Possiamo ottenere queste informazioni effettuando reverse engineering di un binario precedentemente generato dall'operatore.

Attualmente, 'spoof.go' funziona solo quando sia il listener che l'agente utilizzano il protocollo HTTPS, tuttavia, se adattato, probabilmente funzionerà con gli altri protocolli supportati da DeimosC2.

Come sfruttarla

1. Avrai bisogno di accedere a un binario HTTPS precedentemente generato dall'operatore.

2. Estrai l'indirizzo IP, la porta, la chiave pubblica e il primo URL di check-in del listener dal binario. Trend Micro fornisce script per facilitare questa operazione.

3. Inserisci l'indirizzo IP, la porta, la chiave pubblica e il primo URL di check-in del listener nello script.

4. Installa la libreria crittografica di DeimosC2

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. Esegui lo script.

go run Spoof.go

6. Verrà registrato un nuovo agente e non appena l'operatore caricherà la vista grafica si attiverà la XSS e riceverai il suo cookie!