CVE-2025-33053 POCエクスプロイト

概要

.urlファイルの作業ディレクトリは、外部のWebDAVサーバーに設定することができます。Windowsクライアントが開くと、URLフィールドで定義された実行可能ファイルの依存関係が、外部のWebDAV共有上で検索されます。任意の実行可能ファイルやDLLにこれらの依存関係のいずれかと同じ名前を付けると、Windowsクライアントによってロードされ実行されます。このPOCでは、URLはWindowsクライアントにローカルなInternet Explorer診断用実行可能ファイル「iediagcmd.exe」に設定されています。iediagcmd.exeはその後、いくつかの異なる実行可能ファイルを呼び出し、そのうちの一つが「route.exe」です。シェルコードローダーなどの任意のバイナリに同じ名前を付け、.urlファイルの「WorkingDirectory」変数で指定されたWebDAVサーバー上で共有することで、URLファイルが開かれたときにWindowsクライアントがそれをロードして実行します。

セットアップ

1. sudo bash webdav_setup.sh を実行して、LinuxホストからApache2 WebDAVサーバーを構成・実行します（または自分でセットアップします）。

2. シェルコードローダーなどの実行可能ファイルに「route.exe」という名前を付け、WebDAV共有に配置します。

3. URLファイルを変更して、WebDAVサーバーのドメイン名またはIPアドレスを指定します。

4. 何らかの口実でURLファイルをWindowsクライアントに配信し、ユーザーに実行させます。

5. C2コールバックをトリガーするペイロードを使用する場合、route.exeは戻ってこない可能性があります。iediagcmd.exeはコマンドの終了を待機するウィンドウを開くため、クライアント上で taskkill /f /im iediagcmd.exe コマンドを実行して元のiediagcmdプロセスウィンドウを強制終了します。

注意事項

• Windows Defenderは通常、urlファイルを問題なく開かせますが、route.exe実行可能ファイルはスキャンされるため、クリーンな署名が必要です。

• このCVEは2025年6月のPatch Tuesdayアップデートで修正されました。