Laboratorio di Ricerca CVE e PoC — Analisi della Sicurezza Android

👨‍🏫 Informazioni sul Supervisore

Nome e Cognome	Keyvan Arasteh
GitHub	@keyvanarasteh
Email	[email protected]
LinkedIn	keyvanarasteh
Sito Web	qline.tech

👤 Informazioni sullo Studente

Nome e Cognome	Baha Furkan Yıldız
Numero di Matricola	2520****1009

📚 Informazioni sul Corso

Nome del Corso	Test di Penetrazione
Codice del Corso	BGT006
Crediti	3 AKTS
Prerequisiti	Fondamenti di Rete, Linux CLI
Semestre	Primavera 2025-2026

🚀 Sintesi e Ambito del Progetto

Questo progetto è stato sviluppato come elaborato finale del corso di Test di Penetrazione (BGT006) del programma Tecnologia della Sicurezza delle Informazioni dell'Università di İstinye. Nell'ambito del progetto, 3 diverse vulnerabilità attuali che colpiscono l'ecosistema Android (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706) sono state esaminate in profondità, è stato allestito un ambiente di laboratorio isolato e sono state analizzate con una metodologia di investigazione cyber.

🎯 Problema Risolto e Scopo del Progetto

Le analisi di sicurezza Android tradizionali consistono solitamente solo in documentazione teorica o immagini statiche. Questo progetto, combinando il ciclo di attacco e difesa con codice funzionante, risolve i seguenti problemi fondamentali:

Analisi in Tempo Reale delle Vulnerabilità: cattura dal vivo le tracce nel livello di log Android (logcat) di vulnerabilità critiche di escalation dei privilegi (LPE) come CVE-2024-0044.
Correlazione Red Team & Blue Team: collega end-to-end lo strumento di sfruttamento del team rosso (exploit_sim.py) con il rilevatore di monitoraggio dei log del team blu (detector.py), offrendo una PoC (Proof of Concept) completa di attacco-difesa.
Output di Sicurezza Industrializzati: converte gli allarmi rilevati in report JSON/CSV immediati conformi agli standard SIEM e li alimenta nel pannello di visualizzazione centrale (Dashboard).

⚡ PoC a Comando Singolo (Simulazione Attacco-Rilevamento)

Per consentire a un utente che clona il progetto di eseguirlo e vedere l'output in pochi secondi, sono stati aggiunti avviatori PoC a comando singolo (run_poc.bat / run_poc.sh). Questi script simulano i passaggi di sfruttamento del team rosso e consentono al rilevatore del team blu di generare allarmi e scriverli nel file reports/detection_results.json. Per i passaggi di esecuzione dettagliati, consultare la sezione Installazione ed Esecuzione.

📊 Tabella Riepilogativa delle Vulnerabilità Analizzate

Codice CVE	Tipo di Vulnerabilità	Punteggio CVSSv3	Componente Interessata	Vettore di Attacco
CVE-2024-0044	Run-as UID Bypass (LPE & RCE)	8.8 (Alto)	Android System Server	Locale (ADB / App dannosa)
CVE-2024-43093	SQLite & DocumentProvider Bypass	7.8 (Alto)	Libreria SQLite di Android	Locale (Accesso a file multimediali/documenti)
CVE-2024-23706	Package Manager Bypass	7.8 (Alto)	Android Package Manager	Locale (Installazione di applicazioni)

🔌 Integrazione del Modulo del Progetto di Metà Semestre (NetVanguard)

L'agente di analisi dei log di endpoint src/detector.py, sviluppato nell'ambito del progetto, è stato integrato nel dashboard centrale di monitoraggio delle anomalie e degli allarmi NetVanguard, realizzato come progetto di metà semestre. Le firme delle vulnerabilità critiche generate sull'emulatore vengono trasferite via rete al motore backend di NetVanguard, simulando così un'architettura di monitoraggio centralizzato (SIEM).

🕵️ Architettura di Funzionamento dell'Agente di Analisi dei Log (src/detector.py)

L'agente di rilevamento delle vulnerabilità (src/detector.py) è un motore leggero (lightweight) di monitoraggio dei log di endpoint, progettato per rilevare le attività di sfruttamento eseguite sui dispositivi Android.

Caratteristiche Principali e Modalità di Funzionamento:

Input di Log Flessibile (3 Modalità Diverse):
- Flusso Logcat ADB in Tempo Reale: si connette direttamente all'emulatore tramite il comando adb connect e monitora i log del dispositivo in tempo reale.
- Modalità Pipeline / Stdin: può essere collegato in pipe con altri strumenti CLI tramite l'architettura adb logcat | python src/detector.py.
- Monitoraggio File (Tail -f): monitora dinamicamente riga per riga i file di log salvati in precedenza (.log).
- Fallback (Input Manuale): se sul sistema non sono installati ADB o file di log, filtra le righe di log inserite manualmente a scopo di test (modulo di simulazione live).
Corrispondenza delle Firme Basata su Regole:
- Viene alimentato dalla variabile DETECTION_KEYWORDS contenuta nel file .env.
- Quando rileva firme di sfruttamento critiche come crash di Android Runtime (SIGSEGV), errori di installazione dei pacchetti (SIGABRT) e applicazioni sicure terminate (Process has died), genera immediatamente [TEHLIKE - ALARM] nel terminale e nei log.

🛠️ Tecnologie Utilizzate

Tecnologia	Scopo di Utilizzo
Python 3.x	Motore di rilevamento, simulazione di attacco
Android SDK / ADB	Gestione dell'emulatore, comunicazione con il dispositivo
Docker	Containerizzazione dell'ambiente di laboratorio isolato
Flask	Pannello di monitoraggio web
Logcat	Analisi dei log di sistema Android

Più Popolari

Android-rce-analizi