CVE-2024-23700 - C2 Server: Server di comando e controllo e raccolta informazioni

[cite_start]Progetto che illustra la progettazione e la costruzione di un server di comando e controllo (C2 Server) per lo scenario sperimentale di sfruttamento della vulnerabilità di escalation dei privilegi CVE-2024-23700[cite: 2]. [cite_start]Questo server ha il ruolo di ricevere, elaborare, classificare e visualizzare i dati sensibili sottratti dal dispositivo Android target[cite: 3].

La documentazione e il codice sorgente in questo repository sono solo a scopo didattico, di analisi della sicurezza e di test in ambienti autorizzati. Non utilizzare su dispositivi, account o dati non appartenenti a un test legale.

Informazioni sul progetto

Progetto relativo al corso: Sicurezza sui dispositivi mobili

Gruppo di lavoro: Il progetto è stato realizzato da un gruppo di 4 membri.

Durante la ricerca e il completamento del progetto di progettazione del C2 Server, il gruppo ha svolto le seguenti attività:

• Sviluppo del backend in Python (Flask framework) per fornire API di comunicazione, decodifica dei dati e archiviazione.
• Sviluppo di un'interfaccia di amministrazione frontend (Dashboard) visiva con ReactJS per il monitoraggio dei target.
• Progettazione di un sistema di archiviazione flat-file data.json per ottimizzare la rapidità e la leggerezza del PoC.
• Containerizzazione dell'intera architettura (Backend e Frontend) in contenitori indipendenti e operatività tramite Docker.

Panoramica

Il sistema C2 Server adotta il modello Client-Server, in cui l'applicazione Android dannosa (PoC) funge da Client inviando continuamente dati al server. L'architettura C2 è suddivisa in due componenti di elaborazione indipendenti per garantire elevata velocità e flessibilità.

Flusso operativo principale del C2 Server:

1. Camuffamento e Ricezione (Backend): Il punto di ricezione principale / implementa un meccanismo a doppio trattamento. Se viene raggiunto con metodo GET (scansione del browser), il server restituisce un falso errore 404 per eludere. Se riceve un metodo POST con formato JSON dal malware, il server accetta ed estrae l'identificatore del dispositivo.
2. Classificazione intelligente (Smart Classification): Il server controlla automaticamente le parole chiave (keys) all'interno del pacchetto per assegnare etichette ai dati (es. s_cache, gps_cache).
3. Archiviazione e Impacchettamento: Il payload originale viene impacchettato insieme al timestamp reale e all'ID del dispositivo, quindi spinto all'inizio della lista di archiviazione in data.json.
4. Sincronizzazione Frontend: La Dashboard utilizza React Hook per inviare richieste GET a /api/data per leggere il database.
5. Raggruppamento e Visualizzazione: Il frontend raggruppa automaticamente i pacchetti con lo stesso identificatore (device_id), scansiona in profondità la struttura per estrarre parametri hardware (RAM, Batteria, OS) e li visualizza in modo interattivo sul radar.

Informazioni CVE

Codice vulnerabilità: CVE-2024-23700
Livello di gravità Android: Critico
Componente coinvolto: Android Companion Device Manager
Patch di riferimento: Android Wear Security Bulletin 2024-05-01

Questo C2 Server è progettato come parte di una rete sperimentale, ricevendo flussi di dati di intelligence da dispositivi Android sfruttati con successo tramite la vulnerabilità sopra indicata.

Struttura delle directory

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Inizializzazione endpoint API, gestione del camuffamento e classificazione JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Schermata radar panoramica dei dispositivi
│   │   │   └── DeviceDetails.jsx - Finestra di analisi approfondita del payload
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Personalizzazione del Reverse Proxy per il frontend
├── data.json - Database flat-file per l'archiviazione dei record (montato come volume)
├── docker-compose.yml - Gestione dei container e della rete interna
├── .gitignore
└── README.md

Componenti principali

Meccanismo di Classificazione e Interpretazione dei Dati

Invece di utilizzare una logica complessa, il server riconosce e assegna automaticamente etichette basate sui blocchi di dati (cache) restituiti, e l'interfaccia frontend integra un dizionario intelligente (MODULE_MAP e COLUMN_TRANSLATIONS) per standardizzare e "localizzare" i risultati:

• SMS_INTERCEPT: Dati rubati da SMS (s_cache).
• CONTACTS_DUMP: Dati esportati dalla rubrica (c_cache).
• CALENDAR_SPY: Dati spia sugli eventi del calendario (cal_cache).
• NOTIFICATIONS_SPY: Dati intercettati dalle notifiche (n_cache).
• LOCATION_TRACKING: Dati di tracciamento della posizione (gps_cache).
• GENERAL_TELEMETRY: Etichetta predefinita per dati di telemetria generica del sistema.

Inoltre, il sistema converte automaticamente i timestamp originali nel formato ora locale leggibile e interpreta i codici in stati reali (es. Call type 1 = "↙️ Chiamata in arrivo").

Deployment e Operatività

L'intera infrastruttura C2 viene eseguita tramite docker compose per garantire consistenza ed eliminare discrepanze ambientali. La struttura esegue due servizi principali:

• c2_backend (Porta 5000): Applica la tecnica di Volume Mapping per montare il file fisico data.json nel percorso /app/data.json all'interno del container. Ciò garantisce che i dati di intelligence siano conservati permanentemente anche se il container viene eliminato o riavviato. Il servizio adotta la policy restart: always.
• c2_frontend (Porta 80): Eseguito sul server web Nginx, funge da Reverse Proxy. Tutte le richieste API con prefisso /api/ vengono automaticamente inoltrate (proxy_pass) al Backend per aumentare la sicurezza. Questo container deve avviarsi dopo il Backend (depends_on) per evitare errori di connessione iniziale.

Note

• Assicurarsi che il file data.json abbia i permessi di lettura/scrittura appropriati sulla macchina host prima di avviare Docker.
• Se il file dati non è stato creato, il Backend restituirà automaticamente un array vuoto per non causare il crash dell'interfaccia.
• L'accesso diretto all'indirizzo IP del server attiverà il meccanismo di camuffamento con errore HTTP 404. L'amministratore deve accedere al percorso e alla porta corretti configurati su Nginx.