Laboratorio de Investigación de CVE y PoC — Análisis de Seguridad en Android

👨‍🏫 Información del Asesor

👤 Información del Estudiante

📚 Información del Curso

🚀 Resumen y Alcance del Proyecto

Este proyecto ha sido desarrollado como trabajo final del curso Pruebas de Penetración (BGT006) del programa de Tecnología de Seguridad de la Información de la Universidad de İstinye. En el ámbito del proyecto, se han examinado en profundidad 3 vulnerabilidades actuales diferentes que afectan al ecosistema Android (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706), se ha configurado un entorno de laboratorio aislado y se han analizado con una metodología de ciberdetective.

🎯 Problema que Resuelve y Objetivo del Proyecto

Los análisis de seguridad tradicionales de Android suelen consistir únicamente en documentación teórica o imágenes estáticas. Este proyecto, combinando el ciclo de ataque y defensa con código funcional, resuelve los siguientes problemas fundamentales:

• Análisis en Vivo de Vulnerabilidades: Captura en tiempo real las huellas en la capa de logs de Android (logcat) de vulnerabilidades críticas de escalada de privilegios (LPE) como CVE-2024-0044.
• Correlación Red Team & Blue Team: Conecta de extremo a extremo la herramienta de explotación del equipo rojo (exploit_sim.py) con el detector de monitoreo de logs del equipo azul (detector.py), proporcionando un PoC completo de ataque-defensa (Proof of Concept).
• Salidas de Seguridad Productivas: Convierte las alarmas detectadas en informes JSON/CSV instantáneos de acuerdo con los estándares SIEM y los alimenta al panel de visualización central (Dashboard).

⚡ PoC de Comando Único (Simulación de Ataque-Detección)

Se han añadido lanzadores PoC de un solo comando (run_poc.bat / run_poc.sh) para que un usuario que clone el proyecto pueda ejecutarlo y ver la salida en segundos. Estos scripts simulan los pasos de explotación del equipo rojo y hacen que el detector del equipo azul genere alarmas y las escriba en el archivo reports/detection_results.json. Para pasos detallados de ejecución, consulte la sección Instalación y Ejecución.

📊 Tabla Resumen de Vulnerabilidades Analizadas

🔌 Integración del Módulo de Medio Término (NetVanguard)

El agente de análisis de logs de punto final src/detector.py desarrollado en el ámbito del proyecto se ha integrado con el panel central de monitoreo de anomalías y alarmas NetVanguard, implementado como proyecto de medio término. Las firmas de vulnerabilidades críticas que ocurren en el emulador se transfieren a través de la red al motor backend de NetVanguard, simulando así una arquitectura de monitoreo centralizado (SIEM).

🕵️ Arquitectura de Funcionamiento del Agente de Análisis de Logs (src/detector.py)

El agente de detección de vulnerabilidades (src/detector.py) es un motor ligero de monitoreo de logs de punto final diseñado para detectar actividades de explotación realizadas en el dispositivo Android.

Características Principales y Modos de Funcionamiento:

1. Entrada de Log Flexible (3 Modos Diferentes):
   • Flujo de Logcat ADB en Vivo: Se conecta directamente al emulador mediante el comando adb connect y monitorea los logs del dispositivo en tiempo real.
   • Modo Pipeline / Stdin: Se puede encadenar con otras herramientas CLI mediante la arquitectura adb logcat | python src/detector.py.
   • Seguimiento de Archivos (Tail -f): Monitorea dinámicamente línea por línea archivos de log previamente guardados (.log).
   • Fallback (Entrada Manual): Si no hay ADB ni archivo de log disponibles, filtra líneas de log ingresadas manualmente con fines de prueba (módulo de simulación en vivo).
2. Coincidencia de Firmas Basada en Reglas:
   • Se alimenta de la variable DETECTION_KEYWORDS en el archivo .env.
   • Cuando detecta firmas de explotación críticas como fallos de Android Runtime (SIGSEGV), errores de instalación de paquetes (SIGABRT) y aplicaciones seguras que fallan (Process has died), genera inmediatamente [TEHLIKE - ALARM] en la terminal y en los logs.

🛠️ Tecnologías Utilizadas

📂 Estructura del Directorio del Proyecto

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 Metodología de Análisis y Simulación

En el ámbito del proyecto, el análisis de vulnerabilidades y las simulaciones de defensa se han abordado mediante un ciclo de ciberseguridad compuesto por 4 fases fundamentales:

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

1. Análisis Estático y Teórico: Se examinaron los códigos fuente de AOSP (Android Open Source Project) para identificar errores lógicos en las coincidencias de UID, restricciones de acceso a bases de datos SQLite y mecanismos de instalación de paquetes.
2. Entorno de Laboratorio Aislado: Se configuró un emulador de Android (API 33-34) y un honeypot dentro de una red de pruebas de penetración aislada mediante contenedores Docker.
3. Registro Dinámico y Detección: Las huellas de fallos y bypass generadas al activar las vulnerabilidades (SIGSEGV, etc.) fueron filtradas y capturadas por el agente de detección de vulnerabilidades src/detector.py.
4. Visualización en Dashboard: Los datos recopilados se enriquecieron con matrices de riesgo, gráficos de cadena de ataque y simulaciones de terminal en vivo, y se trasladaron a la interfaz web/ para que administradores y analistas puedan comprenderlos fácilmente.

Instalación y Ejecución

Prerrequisitos

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

1. Paso: Preparación

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

2. Paso: Opciones de Ejecución

🚀 Opción A: Simulación PoC con un Solo Clic (Método Más Rápido)

Sin necesidad de instalación o configuración del emulador, para probar el mecanismo de ataque y detección de extremo a extremo:

• Windows (Doble Clic o CMD):
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (Terminal):
  root@kitploit:~

  bash run_poc.sh
  

🕵️ Opción B: Modo ADB Manual en Vivo

Para capturar logcat en tiempo real con el emulador de Android encendido:

# Inicie el agente (comienza a escuchar logs en vivo a través de ADB)
python src/detector.py

# Desde otra terminal, active el simulador de ataque
python src/exploit_sim.py

🐳 Opción C: Modo Contenedor con Docker

Para iniciar todas las dependencias en un contenedor Docker aislado:

docker-compose up -d

3. Paso: Ejecutar Pruebas Automáticas

Para probar la calidad del software y los estándares CI/CD:

python -m unittest src/test_detector.py

🖥️ Interfaz del Web Dashboard

Cualquier usuario que clone el proyecto (git clone) puede ejecutar fácilmente la rica interfaz web que contiene informes de análisis y simulación de terminal en su entorno local.

Vista Previa del Dashboard (Demo)

Puede utilizar uno de los siguientes métodos para ver la interfaz:

1. Scripts de Inicio Automático (Recomendado)

Para iniciar el servidor HTTP local en segundo plano y abrir la interfaz automáticamente en su navegador predeterminado, ejecute el comando adecuado para su sistema operativo:

• Windows (PowerShell / CMD): Puede hacer doble clic en el archivo start_dashboard.bat en el directorio principal del proyecto, o ejecutarlo desde la terminal con el siguiente comando:
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash): Para iniciar directamente desde la terminal (sin necesidad de permisos de ejecución):
  root@kitploit:~

  bash start_dashboard.sh
  

  o otorgando permiso de ejecución al archivo:
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. Ejecución Sin Conexión (Sin Servidor)

Para ejecutar sin instalar ningún servidor local:

1. Vaya al directorio web/.
2. Haga doble clic en el archivo index.html para abrirlo directamente en su navegador.

3. Inicio con Servidor Manual

Si desea iniciar el servidor Python manualmente:

python -m http.server 8080

Luego, vaya a http://localhost:8080/web/index.html en su navegador.

🔄 CI/CD y Escaneos Automáticos de Seguridad/Calidad

Nuestro proyecto se gestiona con principios de ingeniería de software conformes a los estándares de ciberseguridad (DevSecOps). En cada push o pull request al repositorio, GitHub Actions ejecuta el siguiente flujo de trabajo (pipeline):

1. Soporte Multiplataforma (Matrix Build): El código del agente se prueba tanto en sistemas ubuntu-latest como windows-latest para verificar la compatibilidad multiplataforma.
2. Análisis de Código Estático (Linter): Se verifica el cumplimiento de los estándares de escritura de Python (PEP 8) con la herramienta flake8.
3. Análisis de Seguridad Estático (Bandit Scan): Se escanean automáticamente los patrones de vulnerabilidades críticas que puedan surgir en el código con la herramienta bandit (todos los falsos positivos están marcados con # nosec según los estándares de ciberseguridad).
4. Prueba de Integración en Tubería: Se ejecuta la tubería exploit_sim.py | detector.py para simular el ciclo de explotación-detección de extremo a extremo.
5. Salida de Informes (Artefactos): El archivo detection_results.json generado como resultado del PoC exitoso se carga automáticamente como un archivo zip en las salidas de Actions.

Vista Previa de la Salida del PoC en Terminal:

⚠️ Aviso Legal

Este proyecto es exclusivamente con fines académicos y educativos. Todas las pruebas se realizan en un entorno de laboratorio controlado, sobre máquinas virtuales aisladas. Cualquier intento de ataque contra dispositivos reales o sistemas de terceros es ilegal y queda fuera del alcance de este proyecto.

📄 Licencia

Este proyecto está licenciado bajo la GNU General Public License v3.0.