🛡️ Project Phantom: Simulazione di Rilevamento SOC di un Dispositivo "Drop" Mobile

Questo progetto dimostra un workshop di laboratorio SOC end-to-end che simula come un dispositivo Android senza root non autorizzato (Casper Via S), utilizzato come "Drop Device" all'interno di una rete interna, viene rilevato da Wazuh SIEM quando lancia attacchi critici di Livello 7 (Web Scanning, RCE).

Questo repository mostra la fusione di Mobile Penetration Testing (Red Team), Integrazione Log SIEM (Blue Team) e Creazione di Regole Personalizzate (Detection Engineering) per mitigare la minaccia del "Dispositivo Ombra".

🎯 Obiettivi del Progetto (Riepilogo Esecutivo)

1. Attack Vector: Trasformazione di un dispositivo mobile standard, senza root, in una stazione di penetration testing funzionale (drop device) utilizzando PRoot Debian senza modifiche hardware (rooting).
2. Execution: Lancio di scansioni di ricognizione "non privilegiate" (Nmap) e attacchi aggressivi a livello applicativo (Nikto) contro un server web target (Windows 10 / Apache) sulla porta non standard 8080.
3. Detection & Response: Configurazione di Wazuh SIEM per acquisire i log del server web target e identificare automaticamente pattern critici di exploit, in particolare il payload RCE Shellshock (CVE-2014-6271), mappato alle tattiche MITRE ATT&CK.

🏗️ Architettura e Topologia del Laboratorio

• Unità Attaccante (Drop Device): Casper Via S (Android) -> Container PRoot Debian -> Termux tramite tunnel SSH.
• Sistema Target: Host Windows 10 (IP: 192.168.x.x) con server web XAMPP Apache (Porta: 8080).
• Monitoraggio della Sicurezza (SOC): Server Wazuh su Ubuntu 22.04 (IP: 192.168.x.x) con agente Wazuh distribuito sul target.

⚔️ Fasi Operative

1. Ricognizione (Red Team)

Eseguita utilizzando nmap --unprivileged dal dispositivo mobile per scoprire servizi aperti. Sono state utilizzate scansioni TCP Connect (-sT) standard a causa delle restrizioni SELinux che impediscono la creazione di raw socket su dispositivi Android non rooted. Il server Apache target è stato identificato sulla Porta 8080.

2. Exploit/Scansione (Red Team)

Avviata una scansione aggressiva delle vulnerabilità utilizzando Nikto contro l'IP interno del target e la Porta 8080. Nikto ha tentato di offuscare la propria identità mentre iniettava numerosi payload di exploit noti.

3. Rilevamento e Risposta agli Incidenti (Blue Team/SOC)

Il file access.log di Apache dal target Windows 10 è stato acquisito nel server Wazuh tramite l'agente distribuito.

Dettaglio Critico del Log Acquisito: Sebbene Nikto abbia tentato di nascondere la propria identità di scanner, l'analisi approfondita dei log di Wazuh (Regola 31166) ha rilevato con successo il noto payload RCE Shellshock nell'intestazione della richiesta.

• Livello Avviso: 6 (Elevato)
• ID Regola: 31166 (Tentativo di attacco Shellshock)
• CVE: CVE-2014-6271
• Tattica MITRE ATT&CK: T1190 (Exploit dell'applicazione esposta al pubblico)
• IP Sorgente: 192.168.x.x (Il Casper Drop Device)

📸 Evidenza e Visualizzazione

A. Panoramica del Monitoraggio SOC

Questa immagine cattura perfettamente il progetto: il dispositivo mobile "Drop Device" attivo in mano, e la Dashboard SOC sullo sfondo, che mostra gli avvisi di rilevamento in tempo reale.

B. Prova Tecnica del Rilevamento

Queste immagini mostrano il dettaglio specifico del log acquisito da Wazuh SIEM, evidenziando il payload Shellshock, l'ID CVE e le tecniche MITRE ATT&CK.

C. Detection Engineering (Bonus)

Oltre alle regole integrate, è stata creata una regola personalizzata di Livello 12 per identificare pattern generalizzati di web scanner da dispositivi non autorizzati, sebbene in questo caso l'avviso specifico di Shellshock (Rule 31166) sia stato prioritario.