jarm222/cve-2025-26244A funcionalidade de gráfico do DeimosC2 v1.1.0-Beta é vulnerável a Stored Cross-Site Scripting (XSS), permitindo o roubo do cookie de sessão e acesso não autorizado ao servidor C2.
O código para explorar esta vulnerabilidade pode ser visto em 'spoof.go'. Isso imita um agente para o servidor C2. Para executar esta vulnerabilidade, precisamos saber:
Podemos obter essas informações por meio de engenharia reversa de um binário gerado anteriormente pelo operador.
Atualmente, o 'spoof.go' só funciona quando tanto o ouvinte quanto o agente usam o protocolo HTTPS; no entanto, se adaptado, provavelmente funcionará com os outros protocolos que o DeimosC2 suporta.
Você precisará de acesso a um binário HTTPS gerado anteriormente pelo operador.
Extraia o endereço IP, a porta, a chave pública e a URL de primeiro check-in do ouvinte a partir do binário. A Trend Micro fornece scripts para auxiliar nisso.
Insira o endereço IP, a porta, a chave pública e a URL de primeiro check-in do ouvinte no script.
Instale a biblioteca de criptografia do DeimosC2
go install github.com/DeimosC2/DeimosC2/lib/crypto@latest
go run Spoof.go
Se você só tiver acesso a um binário com um dos outros protocolos, o spoof.go precisará ser adaptado para suportar os outros protocolos.
Um writeup completo sobre como descobri esta vulnerabilidade pode ser visto no meu blog aqui.