CVE-2024-23700 - خادم C2: خادم التحكم وجمع المعلومات

[cite_start]مشروع يوضح تصميم وبناء خادم التحكم وجمع المعلومات (Command & Control - C2 Server) لخدمة سيناريو تجريبي لاستغلال ثغرة تصعيد الامتيازات CVE-2024-23700[cite: 2]. [cite_start]يلعب هذا الخادم دور استقبال ومعالجة وتصنيف وعرض البيانات الحساسة المسروقة من جهاز Android المستهدف[cite: 3].

الوثائق والكود المصدري في هذا المستودع مخصصة فقط لأغراض التعلم وتحليل الأمان والاختبار في بيئة مصرح بها. لا تستخدمها على أجهزة أو حسابات أو بيانات خارج نطاق الاختبار القانوني.

معلومات حول المشروع

المشروع يتبع مادة: الأمان على الأجهزة المحمولة

الفريق المنفذ: المشروع من تنفيذ فريق مكون من 4 أعضاء.

خلال عملية البحث واستكمال مشروع تصميم خادم C2 هذا، تولى الفريق المهام التالية:

• بناء مكوّن Backend باستخدام Python (إطار عمل Flask) لتوفير واجهات برمجة تطبيقات (API) للتواصل وفك تشفير البيانات وتخزينها.
• تطوير واجهة إدارة أمامية (Dashboard) مرئية باستخدام ReactJS لمراقبة الأهداف.
• تصميم نظام تخزين على شكل ملفات مسطحة (flat-file database) data.json بهدف تحسين الأداء لإثبات مفهوم (PoC) سريع وخفيف.
• تغليف البنية الكاملة (Backend و Frontend) في حاويات مستقلة وتشغيلها عبر Docker.

نظرة عامة

يطبق نظام خادم C2 نموذج Client-Server، حيث يلعب تطبيق Android الخبيث (PoC) دور العميل (Client) الذي يرسل البيانات باستمرار. تنقسم بنية C2 إلى مكوّنين مستقلين للمعالجة لضمان سرعة عالية ومرونة.

تدفق التشغيل الرئيسي لخادم C2:

1. التمويه والاستقبال (Backend): نقطة الاستقبال الأصلية / مصممة بآلية معالجة مزدوجة. إذا تم الوصول إليها عبر طريقة GET (فحص المتصفح)، يقوم الخادم بإرجاع خطأ 404 مزيف للتهرب. إذا استقبل طريقة POST تحتوي على تنسيق JSON من البرمجية الخبيثة، يقوم الخادم بالاستقبال واستخراج معرّف الجهاز.
2. التصنيف الذكي (Smart Classification): يتحقق الخادم تلقائيًا من الكلمات المفتاحية (keys) داخل الحزمة لتعيين تسمية للبيانات (مثال: s_cache, gps_cache).
3. التخزين والتغليف: يتم تغليف الحمولة الأصلية (Payload) مع الطابع الزمني الفعلي ومعرّف الجهاز، ثم دفعها إلى أعلى قائمة التخزين في data.json.
4. مزامنة الواجهة الأمامية: يستخدم Dashboard خطاف React (React Hook) لإرسال طلبات GET إلى /api/data لقراءة قاعدة البيانات.
5. التجميع والعرض: تقوم الواجهة الأمامية تلقائيًا بتجميع الحزم التي تشترك في نفس المعرّف (device_id)، وتقوم بفحص عميق داخل البنية لاستخراج مواصفات الأجهزة (RAM، البطارية، نظام التشغيل) وعرضها بصريًا على الرادار.

معلومات CVE

رمز الثغرة: CVE-2024-23700
مستوى الخطورة في Android: حرج (Critical)
المكوّن المرتبط: Android Companion Device Manager
التصحيح المرجعي: Android Wear Security Bulletin 2024-05-01

تم تصميم خادم C2 هذا كجزء من شبكة تجريبية، يستقبل تدفق بيانات استخباراتية من أجهزة Android التي تم استغلالها بنجاح عبر الثغرة المذكورة.

هيكل المجلدات

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - تهيئة نقاط نهاية API، معالجة التمويه وتصنيف JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - شاشة رادار نظرة عامة على الأجهزة
│   │   │   └── DeviceDetails.jsx - نافذة تحليل متعمق للحمولة
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - تخصيص الوكيل العكسي للواجهة الأمامية
├── data.json - قاعدة بيانات ملفات مسطحة لتخزين السجلات (مثبتة كحجم)
├── docker-compose.yml - إدارة الحاويات والشبكة الداخلية
├── .gitignore
└── README.md

المكوّنات الرئيسية

آلية التصنيف وتفسير البيانات

بدلاً من استخدام منطق معقد، يقوم الخادم تلقائيًا بالتعرف على كتل البيانات (cache) المرتجعة وتعيين التسميات بناءً عليها، كما تدمج الواجهة الأمامية قاموسًا ذكيًا (MODULE_MAP و COLUMN_TRANSLATIONS) لتوحيد النتائج و"ترجمتها":

• SMS_INTERCEPT: بيانات مسروقة من رسائل SMS (s_cache).
• CONTACTS_DUMP: بيانات مُفرَّغة من دفتر العناوين (c_cache).
• CALENDAR_SPY: بيانات تتبع أحداث الجدول الزمني (cal_cache).
• NOTIFICATIONS_SPY: بيانات التنصت على الإشعارات (n_cache).
• LOCATION_TRACKING: بيانات تتبع الموقع (gps_cache).
• GENERAL_TELEMETRY: تسمية افتراضية لبيانات قياس النظام العامة.

بالإضافة إلى ذلك، يقوم النظام تلقائيًا بتحويل الطابع الزمني الأصلي إلى التوقيت المحلي القابل للقراءة وتفسير الرموز إلى حالات فعلية (مثال: نوع المكالمة 1 = "↙️ مكالمة واردة").

النشر والتشغيل

يتم تشغيل البنية التحتية الكاملة لـ C2 باستخدام docker compose لضمان الاتساق وإزالة انحرافات البيئة. تعمل البنية على خدمتين رئيسيتين:

• c2_backend (المنفذ 5000): يطبق تقنية Volume Mapping لربط ملف data.json الفعلي بمنطقة الذاكرة /app/data.json داخل الحاوية. يساعد ذلك في حفظ البيانات الاستخباراتية بشكل دائم حتى لو تم حذف الحاوية أو إعادة تشغيلها. تطبق الخدمة سياسة restart: always.
• c2_frontend (المنفذ 80): يعمل على خادم الويب Nginx، بدور وكيل عكسي (Reverse Proxy). يتم تلقائيًا إعادة توجيه (proxy_pass) جميع طلبات API ذات البادئة /api/ إلى Backend لتعزيز الأمان. يجب أن تبدأ هذه الحاوية بعد Backend (depends_on) لتجنب أخطاء فقدان الاتصال الأولي.

ملاحظات

• يجب التأكد من تعيين صلاحيات القراءة والكتابة المناسبة لملف data.json على الخادم الفعلي قبل تشغيل Docker.
• إذا لم يتم إنشاء ملف البيانات بعد، يقوم Backend تلقائيًا بإرجاع مصفوفة فارغة لتجنب انهيار الواجهة.
• الوصول المباشر إلى عنوان IP الخاص بالخادم سيؤدي إلى تفعيل آلية التمويه بخطأ HTTP 404. يجب على المسؤول الوصول إلى المسار والمنفذ الصحيحين المكوّنين على Nginx.