CVE-2024-23700 - Servidor C2: Servidor de control y recopilación de información

Proyecto que ilustra el diseño y la construcción de un servidor de control y recopilación de información (Servidor C2 - Command & Control) para el escenario experimental de explotación de la vulnerabilidad de escalada de privilegios CVE-2024-23700. Este servidor desempeña el rol de recibir, procesar, clasificar y mostrar los datos sensibles robados de los dispositivos Android objetivo.

La documentación y el código fuente de este repositorio tienen fines exclusivamente educativos, de análisis de seguridad y de pruebas en entornos autorizados. No lo utilice en dispositivos, cuentas o datos que no estén dentro del ámbito de pruebas legítimas.

Información del proyecto

Asignatura del proyecto: Seguridad en dispositivos móviles

Grupo de trabajo: Proyecto realizado por un grupo de 4 miembros.

Durante el proceso de investigación y finalización del proyecto de diseño de este Servidor C2, el grupo asumió las siguientes tareas:

• Construcción del componente Backend en Python (framework Flask) para proporcionar las API de comunicación, descifrado de datos y almacenamiento.
• Desarrollo de la interfaz de administración Frontend visual (Dashboard) con ReactJS para supervisar los objetivos.
• Diseño del sistema de almacenamiento como base de datos de archivos planos (flat-file database) data.json para optimizar un PoC rápido y ligero.
• Empaquetado de toda la arquitectura (Backend y Frontend) en contenedores independientes y operación mediante Docker.

Descripción general

El sistema Servidor C2 aplica el modelo Cliente-Servidor, en el que la aplicación Android maliciosa (PoC) actúa como Cliente enviando datos continuamente. La arquitectura C2 se divide en dos componentes de procesamiento independientes para garantizar alta velocidad y flexibilidad.

Flujo de operación principal del Servidor C2:

1. Camuflaje y recepción (Backend): El punto de recepción raíz / está diseñado con un mecanismo de doble procesamiento. Si se accede mediante el método GET (escaneo del navegador), el servidor devuelve un error 404 falso para evadir la detección. Si recibe el método POST con formato JSON del malware, el servidor lo acepta y extrae el identificador del dispositivo.
2. Clasificación inteligente: El servidor verifica automáticamente las claves dentro del paquete para etiquetar los datos (por ejemplo, s_cache, gps_cache).
3. Almacenamiento y empaquetado: El payload original se empaqueta junto con la marca de tiempo real y el ID del dispositivo, y luego se coloca al inicio de la lista almacenada en data.json.
4. Sincronización del Frontend: El Dashboard utiliza React Hook para enviar solicitudes GET a /api/data y leer la base de datos.
5. Agrupación y visualización: El Frontend agrupa automáticamente los paquetes con el mismo identificador (device_id), escanea en profundidad la estructura para extraer los parámetros de hardware (RAM, Batería, SO) y los muestra visualmente en el radar.

Información de la CVE

Código de vulnerabilidad: CVE-2024-23700
Nivel de gravedad en Android: Crítico
Componente relacionado: Android Companion Device Manager
Parche de referencia: Android Wear Security Bulletin 2024-05-01

Este servidor C2 está diseñado como parte de una red experimental que recibe el flujo de datos de inteligencia de dispositivos Android explotados con éxito mediante la vulnerabilidad mencionada.

Estructura de directorios

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Inicializa el Endpoint API, gestiona el camuflaje y la clasificación JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Pantalla de radar general del dispositivo
│   │   │   └── DeviceDetails.jsx - Diálogo de análisis profundo del payload
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Reverse Proxy personalizado para el frontend
├── data.json - Base de datos de archivos planos que almacena los registros (montada por volumen)
├── docker-compose.yml - Gestión de contenedores y red interna
├── .gitignore
└── README.md

Componentes principales

Mecanismo de clasificación e interpretación de datos

En lugar de usar lógica compleja, el servidor identifica y etiqueta automáticamente según los bloques de datos (caché) recibidos, y la interfaz Frontend integra un diccionario inteligente (MODULE_MAP y COLUMN_TRANSLATIONS) para estandarizar y "localizar" los resultados:

• SMS_INTERCEPT: Datos robados de mensajes SMS (s_cache).
• CONTACTS_DUMP: Datos exportados de la agenda de contactos (c_cache).
• CALENDAR_SPY: Datos de seguimiento de eventos de calendario (cal_cache).
• NOTIFICATIONS_SPY: Datos de interceptación de notificaciones (n_cache).
• LOCATION_TRACKING: Datos de seguimiento de ubicación (gps_cache).
• GENERAL_TELEMETRY: Etiqueta predeterminada para datos de medición general del sistema.

Además, el sistema convierte automáticamente las marcas de tiempo originales al formato de hora local legible e interpreta los códigos numéricos en estados reales (p. ej., Tipo de llamada 1 = "↙️ Llamada entrante").

Despliegue y operación

Toda la infraestructura C2 se opera con docker compose para garantizar la consistencia y eliminar discrepancias de entorno. La estructura ejecuta 2 servicios principales:

• c2_backend (Puerto 5000): Aplica la técnica de mapeo de volúmenes para vincular el archivo físico data.json a la ruta /app/data.json dentro del contenedor. Esto permite que los datos de inteligencia se guarden de forma permanente aunque el contenedor se elimine o reinicie. El servicio aplica la política restart: always.
• c2_frontend (Puerto 80): Se ejecuta sobre el servidor web Nginx, actuando como Reverse Proxy. Todas las solicitudes API con el prefijo /api/ se reenvían automáticamente (proxy_pass) al Backend para reforzar la seguridad. Este contenedor debe iniciarse después del Backend (depends_on) para evitar errores de pérdida de conexión inicial.

Notas

• Asegúrese de que el archivo data.json tenga los permisos de lectura/escritura adecuados en el servidor físico antes de iniciar Docker.
• Si el archivo de datos aún no se ha creado, el Backend devolverá automáticamente una matriz vacía para no provocar fallos en la interfaz.
• Acceder directamente a la dirección IP del servidor activará el mecanismo de camuflaje de error HTTP 404. Los administradores deben acceder a la ruta y el puerto correctos configurados en Nginx.