CVE-2024-23700 - Server C2: Server di comando e controllo e raccolta informazioni

Progetto che illustra la progettazione e la costruzione di un server di comando e controllo (C2 Server) per lo scenario sperimentale di sfruttamento della vulnerabilità di escalation dei privilegi CVE-2024-23700. Questo server svolge il ruolo di ricevere, elaborare, classificare e visualizzare i dati sensibili sottratti dal dispositivo Android target.

La documentazione e il codice sorgente in questo repository servono esclusivamente a scopi didattici, di analisi della sicurezza e di test in ambienti autorizzati. Non utilizzare su dispositivi, account o dati che non rientrano nell'ambito di test legittimi.

Informazioni sul progetto

Progetto relativo al corso: Sicurezza sui dispositivi mobili

Gruppo di lavoro: Progetto realizzato da un gruppo di 4 membri.

Durante il processo di ricerca e completamento del progetto di progettazione di questo C2 Server, il gruppo ha svolto le seguenti attività:

• Sviluppo del componente Backend in Python (framework Flask) per fornire API di comunicazione, decodifica dei dati e archiviazione.
• Sviluppo dell'interfaccia di amministrazione Frontend intuitiva (Dashboard) con ReactJS per il monitoraggio dei target.
• Progettazione del sistema di archiviazione come database flat-file data.json per ottimizzare un PoC rapido e leggero.
• Packaging dell'intera architettura (Backend e Frontend) in container indipendenti e gestione tramite Docker.

Panoramica

Il sistema C2 Server adotta il modello Client-Server, in cui l'applicazione Android dannosa (PoC) funge da Client che invia continuamente dati. L'architettura C2 è suddivisa in due componenti di elaborazione indipendenti per garantire elevate prestazioni e flessibilità.

Flusso operativo principale del C2 Server:

1. Mimetizzazione e ricezione (Backend): Il punto di ricezione principale / è progettato con un meccanismo di elaborazione duale. Se viene acceduto con metodo GET (scansione del browser), il server restituisce un falso errore 404 per eludere il rilevamento. Se riceve un metodo POST contenente formato JSON dal malware, il server lo accetta ed estrae l'identificativo del dispositivo.
2. Classificazione intelligente: Il server verifica automaticamente le chiavi all'interno del pacchetto per assegnare etichette ai dati (ad esempio: s_cache, gps_cache).
3. Archiviazione e packaging: Il payload originale viene impacchettato con timestamp in tempo reale e ID del dispositivo, quindi inserito in cima all'elenco salvato in data.json.
4. Sincronizzazione Frontend: La Dashboard utilizza React Hook per inviare richieste GET a /api/data per leggere il database.
5. Raggruppamento e visualizzazione: Il Frontend raggruppa automaticamente i pacchetti con lo stesso identificativo (device_id), esegue una scansione approfondita della struttura per estrarre i parametri hardware (RAM, Batteria, OS) e li visualizza sul radar.

Informazioni sulla CVE

Codice vulnerabilità: CVE-2024-23700
Livello di gravità Android: Critico
Componente interessato: Android Companion Device Manager
Patch di riferimento: Android Wear Security Bulletin 2024-05-01

Questo server C2 è progettato come parte di una rete sperimentale, ricevendo flussi di dati di intelligence da dispositivi Android compromessi con successo tramite la vulnerabilità sopra menzionata.

Struttura delle directory

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Inizializzazione endpoint API, gestione mimetizzazione e classificazione JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Schermata radar panoramica dei dispositivi
│   │   │   └── DeviceDetails.jsx - Finestra di analisi approfondita del payload
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Reverse Proxy personalizzato per il frontend
├── data.json - Database flat-file per l'archiviazione dei record (montato come volume)
├── docker-compose.yml - Gestione dei container e della rete interna
├── .gitignore
└── README.md

Componenti principali

Meccanismo di classificazione e interpretazione dei dati

Invece di utilizzare logica complessa, il server riconosce e assegna automaticamente etichette in base ai blocchi di dati (cache) ricevuti, mentre l'interfaccia Frontend integra un dizionario intelligente (MODULE_MAP e COLUMN_TRANSLATIONS) per standardizzare e localizzare i risultati:

• SMS_INTERCEPT: Dati sottratti dai messaggi SMS (s_cache).
• CONTACTS_DUMP: Dati esportati dalla rubrica (c_cache).
• CALENDAR_SPY: Dati di monitoraggio degli eventi del calendario (cal_cache).
• NOTIFICATIONS_SPY: Dati di intercettazione delle notifiche (n_cache).
• LOCATION_TRACKING: Dati di tracciamento della posizione (gps_cache).
• GENERAL_TELEMETRY: Etichetta predefinita per i dati di telemetria di sistema generale.

Inoltre, il sistema converte automaticamente i timestamp grezzi in un formato di ora locale leggibile e interpreta i codici numerici in stati reali (es: Tipo di chiamata 1 = "↙️ Chiamata in arrivo").

Distribuzione e operatività

L'intera infrastruttura C2 viene gestita tramite docker compose per garantire coerenza ed eliminare discrepanze ambientali. La struttura esegue 2 servizi principali:

• c2_backend (Porta 5000): Applica la tecnica del Volume Mapping per montare il file fisico data.json nella memoria /app/data.json all'interno del container. Ciò consente di salvare permanentemente i dati di intelligence anche se il container viene eliminato o riavviato. Il servizio applica la policy restart: always.
• c2_frontend (Porta 80): Esegue sul server web Nginx, fungendo da Reverse Proxy. Tutte le richieste API con prefisso /api/ vengono automaticamente inoltrate (proxy_pass) al Backend per una maggiore sicurezza. Questo container deve avviarsi dopo il Backend (depends_on) per evitare errori di connessione iniziale.

Note

• Assicurarsi che il file data.json abbia i permessi di lettura/scrittura appropriati sul server fisico prima di avviare Docker.
• Se il file dati non è ancora stato creato, il Backend restituirà automaticamente un array vuoto per evitare il crash dell'interfaccia.
• L'accesso diretto all'indirizzo IP del server attiverà il meccanismo di mimetizzazione con errore HTTP 404. Gli amministratori devono accedere al percorso e alla porta corretti configurati su Nginx.