CVE-2025-26244-POC

この脆弱性を悪用するコードは 'spoof.go' にあります。これはC2サーバーに対してエージェントになりすますものです。この脆弱性を実行するには、以下を知っている必要があります:

1. リスナーのIPアドレスとポート
2. リスナーの公開鍵。
3. リスナーの初回チェックインURL。

この情報は、オペレーターが以前生成したバイナリをリバースエンジニアリングすることで入手できます。

現在、'spoof.go' はリスナーとエージェントの両方がHTTPSプロトコルを使用する場合にのみ動作します。ただし、適応させれば、DeimosC2 がサポートする他のプロトコルでも動作する可能性があります。

悪用方法

1. オペレーターが以前生成したHTTPSバイナリへのアクセスが必要です。

2. バイナリからリスナーのIPアドレス、ポート、公開鍵、初回チェックインURLを抽出します。Trend Micro がこれを支援するスクリプトを提供しています。

3. リスナーのIPアドレス、ポート、公開鍵、初回チェックインURLをスクリプトに記入します。

4. DeimosC2 Crypto Library をインストールします

go install github.com/DeimosC2/DeimosC2/lib/crypto@latest

5. スクリプトを実行します。

go run Spoof.go

6. 新しいエージェントが登録され、オペレーターがグラフビューを読み込むとすぐにXSSが発動し、オペレーターのCookieを入手できます!

他のプロトコルのいずれかを使用するバイナリにのみアクセスできる場合、spoof.go は他のプロトコルをサポートするように適応させる必要があります。

Writeup

この脆弱性をどのように発見したかについての完全なWriteupは、私のブログこちらで見ることができます。

ビデオ PoC

https://github.com/user-attachments/assets/b6e475b2-600d-40ce-bdfa-5bfe9ff3d682