🛡️ परियोजना फैंटम: मोबाइल "ड्रॉप डिवाइस" SOC डिटेक्शन सिमुलेशन

यह परियोजना एक एंड-टू-एंड SOC प्रयोगशाला कार्यशाला का प्रदर्शन करती है जो यह दर्शाती है कि कैसे एक अनधिकृत, रूट-रहित एंड्रॉइड डिवाइस (Casper Via S), जिसे आंतरिक नेटवर्क के भीतर "ड्रॉप डिवाइस" के रूप में उपयोग किया जाता है, Wazuh SIEM द्वारा महत्वपूर्ण Layer 7 हमलों (वेब स्कैनिंग, RCE) को लॉन्च करने पर पता लगाया जाता है।

यह रिपॉजिटरी "शैडो डिवाइस" खतरे को कम करने के लिए मोबाइल पेनिट्रेशन टेस्टिंग (रेड टीम), SIEM लॉग इंटीग्रेशन (ब्लू टीम), और कस्टम रूल क्रिएशन (डिटेक्शन इंजीनियरिंग) के संलयन को प्रदर्शित करती है।

🎯 परियोजना उद्देश्य (कार्यकारी सारांश)

1. आक्रमण वेक्टर: हार्डवेयर संशोधन (रूटिंग) के बिना PRoot Debian का उपयोग करके एक मानक, रूट-रहित मोबाइल डिवाइस को एक कार्यात्मक पेनिट्रेशन टेस्टिंग स्टेशन (ड्रॉप डिवाइस) में बदलना।
2. निष्पादन: एक लक्ष्य वेब सर्वर (Windows 10 / Apache) पर गैर-मानक पोर्ट 8080 पर "अनप्रिविलेज्ड" रिकॉनिसेंस (Nmap) और आक्रामक एप्लिकेशन-लेयर हमले (Nikto) लॉन्च करना।
3. डिटेक्शन और रिस्पांस: लक्ष्य वेब सर्वर लॉग को Wazuh SIEM में इन्जेस्ट करने और स्वचालित रूप से महत्वपूर्ण एक्सप्लॉइट पैटर्न की पहचान करने के लिए कॉन्फ़िगर करना, विशेष रूप से Shellshock (CVE-2014-6271) RCE पेलोड, जो MITRE ATT&CK रणनीतियों से मैप किया गया है।

🏗️ प्रयोगशाला आर्किटेक्चर और टोपोलॉजी

• अटैकर यूनिट (ड्रॉप डिवाइस): Casper Via S (Android) -> PRoot Debian Container -> Termux via SSH tunnel.
• लक्ष्य प्रणाली: Windows 10 होस्ट (IP: 192.168.x.x) XAMPP Apache Web Server (Port: 8080) चला रहा है।
• सुरक्षा निगरानी (SOC): Ubuntu 22.04 (IP: 192.168.x.x) पर Wazuh सर्वर, जिसमें लक्ष्य पर Wazuh Agent तैनात है।

⚔️ संचालन चरण

1. रिकॉनिसेंस (रेड टीम)

मोबाइल डिवाइस से खुली सेवाओं की खोज के लिए nmap --unprivileged का उपयोग करके प्रदर्शन किया गया। गैर-रूटेड एंड्रॉइड डिवाइसों पर रॉ सॉकेट बनाने से रोकने वाली SELinux प्रतिबंधों के कारण मानक TCP Connect (-sT) स्कैन का उपयोग किया गया। लक्ष्य Apache सर्वर पोर्ट 8080 पर पहचाना गया।

2. एक्सप्लॉइटेशन/स्कैनिंग (रेड टीम)

लक्ष्य के आंतरिक IP और पोर्ट 8080 के विरुद्ध Nikto का उपयोग करके एक आक्रामक भेद्यता स्कैन शुरू किया गया। Nikto ने कई प्रसिद्ध एक्सप्लॉइट पेलोड को इंजेक्ट करते हुए अपनी पहचान को अस्पष्ट करने का प्रयास किया।

3. डिटेक्शन और इंसिडेंट रिस्पांस (ब्लू टीम/SOC)

तैनात एजेंट के माध्यम से Windows 10 लक्ष्य से Apache access.log को Wazuh सर्वर में इन्जेस्ट किया गया।

कैप्चर किया गया महत्वपूर्ण लॉग विवरण: यद्यपि Nikto ने अपने स्कैनर की पहचान छिपाने का प्रयास किया, Wazuh की गहन लॉग विश्लेषण (नियम 31166) ने अनुरोध हेडर के भीतर कुख्यात Shellshock RCE पेलोड को सफलतापूर्वक डिटेक्ट किया।

• अलर्ट लेवल: 6 (उन्नत)
• नियम ID: 31166 (Shellshock आक्रमण प्रयास)
• CVE: CVE-2014-6271
• MITRE ATT&CK रणनीति: T1190 (एक्सप्लॉइट पब्लिक-फेसिंग एप्लीकेशन)
• स्रोत IP: 192.168.x.x (Casper ड्रॉप डिवाइस)

📸 साक्ष्य और विज़ुअलाइज़ेशन

A. SOC मॉनिटरिंग ओवरव्यू

यह छवि परियोजना को पूरी तरह से कैप्चर करती है: हाथ में सक्रिय मोबाइल "ड्रॉप डिवाइस", और उसके पीछे SOC डैशबोर्ड, जो रीयल-टाइम डिटेक्शन अलर्ट दिखा रहा है।

B. डिटेक्शन का तकनीकी प्रमाण

ये छवियां Wazuh SIEM द्वारा कैप्चर किए गए विशिष्ट लॉग विवरण को दर्शाती हैं, जो Shellshock पेलोड, CVE ID और MITRE ATT&CK तकनीकों को उजागर करता है।

C. डिटेक्शन इंजीनियरिंग (बोनस)

अंतर्निहित नियमों के अतिरिक्त, अनधिकृत उपकरणों से सामान्यीकृत वेब स्कैनर पैटर्न की पहचान करने के लिए एक कस्टम लेवल 12 नियम बनाया गया था, हालांकि इस उदाहरण में विशिष्ट Shellshock अलर्ट (नियम 31166) को प्राथमिकता दी गई।