v3ng4mxv1p3r/mobile-drop-device-soc-detectionSimulation de bout en bout de la détection d'un Android Drop Device (Casper) sans root utilisant Wazuh SIEM pour capturer les attaques de couche 7 comme Shellshock (CVE-2014-6271).
Ce projet présente un atelier de laboratoire SOC de bout en bout simulant la manière dont un appareil Android non autorisé et non rooté (Casper Via S), utilisé comme « Drop Device » au sein d'un réseau interne, est détecté via le SIEM Wazuh lors du lancement d'attaques critiques de couche 7 (scan Web, RCE).
Ce dépôt illustre la fusion du test d'intrusion mobile (Red Team), de l'intégration des journaux SIEM (Blue Team) et de la création de règles personnalisées (ingénierie de détection) pour atténuer la menace des « Shadow Devices ».
Effectuée à l'aide de nmap --unprivileged depuis l'appareil mobile pour découvrir les services ouverts. Des scans TCP Connect (-sT) standards ont été utilisés en raison des restrictions SELinux empêchant la création de sockets bruts sur les appareils Android non rootés. Le serveur Apache cible a été identifié sur le port 8080.
Un scan de vulnérabilités agressif a été lancé avec Nikto contre l'IP interne et le port 8080 de la cible. Nikto a tenté d'obfusquer son identité tout en injectant de nombreuses charges utiles d'exploitation bien connues.
Le journal Apache access.log de la cible Windows 10 a été ingéré dans le serveur Wazuh via l'agent déployé.
Détail critique du journal capturé : Bien que Nikto ait tenté de masquer son identité de scanner, l'analyse approfondie des journaux par Wazuh (règle 31166) a réussi à détecter la tristement célèbre charge utile RCE Shellshock dans l'en-tête de la requête.
Cette image illustre parfaitement le projet : le « Drop Device » mobile actif en main, et le tableau de bord SOC derrière, affichant les alertes de détection en temps réel.
Ces images montrent le détail spécifique du journal capturé par le SIEM Wazuh, mettant en évidence la charge utile Shellshock, l'ID CVE et les techniques MITRE ATT&CK.
En plus des règles intégrées, une règle personnalisée de niveau 12 a été créée pour identifier les schémas généralisés de scanners web provenant d'appareils non autorisés, bien que dans ce cas, l'alerte Shellshock spécifique (règle 31166) ait été privilégiée.
