CVE-2024-23700 - C2-Server: Steuerungs- und Datensammlungsserver

[cite_start]Projekt zur Veranschaulichung des Designs und Aufbaus eines Command-&-Control-Servers (C2-Server) für das experimentelle Szenario zur Ausnutzung der Privilege-Escalation-Schwachstelle CVE-2024-23700[cite: 2]. [cite_start]Dieser Server übernimmt die Aufgabe, sensible Daten, die von Ziel-Android-Geräten gestohlen wurden, zu empfangen, zu verarbeiten, zu klassifizieren und anzuzeigen[cite: 3].

Die Dokumentation und der Quellcode in diesem Repository dienen ausschließlich Lernzwecken, der Sicherheitsanalyse und dem Testen in autorisierten Umgebungen. Nicht auf Geräten, Konten oder Daten verwenden, die nicht im Rahmen legaler Tests liegen.

Informationen zum Thema

Fachgebiet: Sicherheit auf mobilen Geräten

Durchführende Gruppe: Das Projekt wurde von einer Gruppe aus 4 Mitgliedern durchgeführt.

Im Rahmen der Recherche und Fertigstellung dieses C2-Server-Designprojekts übernahm die Gruppe folgende Aufgaben:

• Entwicklung der Backend-Komponente mit Python (Flask-Framework) zur Bereitstellung von Kommunikations-APIs, Datenentschlüsselung und Speicherung.
• Entwicklung einer visuellen Admin-Frontend-Oberfläche (Dashboard) mit ReactJS zur Überwachung der Ziele.
• Design eines Speichersystems als Flat-File-Datenbank data.json zur Optimierung für ein schnelles und leichtgewichtiges PoC.
• Verpackung der gesamten Architektur (Backend und Frontend) in unabhängige Container und Betrieb über Docker.

Überblick

Das C2-Server-System verwendet ein Client-Server-Modell, bei dem die schädliche Android-Anwendung (PoC) als Client fungiert und kontinuierlich Daten sendet. Die C2-Architektur ist in zwei unabhängig verarbeitende Komponenten unterteilt, um hohe Geschwindigkeit und Flexibilität zu gewährleisten.

Hauptablauf des C2-Servers:

1. Tarnung & Empfang (Backend): Der ursprüngliche Empfangspunkt / ist mit einem dualen Verarbeitungsmechanismus ausgestattet. Bei Zugriff über die GET-Methode (Browser-Scan) gibt der Server einen gefälschten 404-Fehler zur Tarnung zurück. Bei Empfang einer POST-Methode mit JSON-Format von der Malware nimmt der Server die Daten an und extrahiert die Gerätekennung.
2. Intelligente Klassifizierung: Der Server prüft automatisch die Schlüssel (Keys) innerhalb des Datenpakets, um die Daten zu kennzeichnen (z. B. s_cache, gps_cache).
3. Speicherung & Verpackung: Die ursprüngliche Payload wird zusammen mit einem Echtzeit-Zeitstempel und der Geräte-ID verpackt und dann an den Anfang der Speicherliste in data.json verschoben.
4. Frontend-Synchronisierung: Das Dashboard verwendet React Hooks, um GET-Anfragen an /api/data zu senden und die Datenbank zu lesen.
5. Gruppierung & Anzeige: Das Frontend gruppiert automatisch Datenpakete mit derselben Kennung (device_id), durchsucht die Struktur tiefgehend, um Hardware-Parameter (RAM, Akku, OS) zu extrahieren und zeigt sie visuell auf dem Radar an.

CVE-Informationen

Schwachstellencode: CVE-2024-23700
Schweregrad Android: Kritisch
Betroffene Komponente: Android Companion Device Manager
Referenz-Patch: Android Wear Security Bulletin 2024-05-01

Dieser C2-Server wurde als Teil eines experimentellen Netzwerks entwickelt, das Datenströme von Android-Geräten empfängt, die erfolgreich über die oben genannte Schwachstelle kompromittiert wurden.

Verzeichnisstruktur

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Initialisiert API-Endpunkte, verarbeitet Tarnung und JSON-Klassifizierung
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Radar-Bildschirm für die Geräteübersicht
│   │   │   └── DeviceDetails.jsx - Dialog für die detaillierte Payload-Analyse
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Benutzerdefinierter Reverse Proxy für das Frontend
├── data.json - Flat-File-Datenbank zur Speicherung von Datensätzen (als Volume gemountet)
├── docker-compose.yml - Verwaltung von Containern und internem Netzwerk
├── .gitignore
└── README.md

Hauptkomponenten

Klassifizierungs- & Dateninterpretationsmechanismus

Anstatt komplexe Logik zu verwenden, erkennt und kennzeichnet der Server automatisch anhand der zurückgegebenen Datenblöcke (Cache), während das Frontend ein intelligentes Wörterbuch (MODULE_MAP und COLUMN_TRANSLATIONS) integriert, um die Ergebnisse zu standardisieren und zu lokalisieren:

• SMS_INTERCEPT: Aus SMS-Nachrichten gestohlene Daten (s_cache).
• CONTACTS_DUMP: Aus dem Kontaktbuch exportierte Daten (c_cache).
• CALENDAR_SPY: Daten zur Überwachung von Kalenderereignissen (cal_cache).
• NOTIFICATIONS_SPY: Daten zum Abhören von Benachrichtigungen (n_cache).
• LOCATION_TRACKING: Daten zur Standortverfolgung (gps_cache).
• GENERAL_TELEMETRY: Standardkennzeichnung für allgemeine Systemmessdaten.

Darüber hinaus konvertiert das System automatisch rohe Zeitstempel in ein lesbares lokales Zeitformat und interpretiert numerische Codes in tatsächliche Zustände (z. B. Anruftyp 1 = "↙️ Eingehend").

Bereitstellung und Betrieb

Die gesamte C2-Infrastruktur wird mit docker compose betrieben, um Konsistenz zu gewährleisten und Umgebungsabweichungen zu vermeiden. Die Struktur umfasst 2 Hauptdienste:

• c2_backend (Port 5000): Verwendet Volume-Mapping, um die physische Datei data.json in den Speicherbereich /app/data.json innerhalb des Containers zu mounten. Dadurch bleiben die Daten dauerhaft erhalten, selbst wenn der Container gelöscht oder neu gestartet wird. Der Dienst verwendet die Richtlinie restart: always.
• c2_frontend (Port 80): Läuft auf dem Nginx-Webserver und fungiert als Reverse Proxy. Alle API-Anfragen mit dem Präfix /api/ werden automatisch an das Backend weitergeleitet (proxy_pass), um die Sicherheit zu erhöhen. Dieser Container startet erst nach dem Backend (depends_on), um anfängliche Verbindungsfehler zu vermeiden.

Hinweise

• Vor dem Start von Docker muss sichergestellt werden, dass die Datei data.json auf dem physischen Server über entsprechende Lese-/Schreibrechte verfügt.
• Wenn die Datendatei noch nicht erstellt wurde, gibt das Backend automatisch ein leeres Array zurück, um einen Absturz der Oberfläche zu vermeiden.
• Der direkte Zugriff auf die IP-Adresse des Servers aktiviert den Tarnmechanismus mit HTTP-404-Fehler. Administratoren müssen über den korrekten Pfad und Port zugreifen, der in Nginx konfiguriert wurde.