Laboratório de Pesquisa de CVE e PoC — Análise de Segurança Android

👨‍🏫 Informação do Orientador

👤 Informação do Aluno

📚 Informações da Disciplina

🚀 Resumo e Escopo do Projeto

Este projeto foi desenvolvido como trabalho final da disciplina Teste de Invasão (BGT006) do programa de Tecnologia em Segurança da Informação da Universidade İstinye. No âmbito do projeto, três vulnerabilidades atuais diferentes que afetam o ecossistema Android (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706) foram analisadas em profundidade, um ambiente de laboratório isolado foi montado e analisado com metodologia de detetive cibernético.

🎯 Problema Resolvido e Objetivo do Projeto

As análises tradicionais de segurança Android geralmente consistem apenas em documentação teórica ou imagens estáticas. Este projeto combina o ciclo de ataque e defesa com código funcional para resolver os seguintes problemas fundamentais:

• Análise ao Vivo de Vulnerabilidades: Captura ao vivo as pegadas na camada de log do Android (logcat) de falhas críticas de elevação de privilégio (LPE) como CVE-2024-0044.
• Correlação Red Team & Blue Team: Conecta a ferramenta de exploração da equipe vermelha (exploit_sim.py) com o detector de logs da equipe azul (detector.py) de ponta a ponta, apresentando um PoC (Proof of Concept) completo de ataque-defesa.
• Saídas de Segurança Produtizadas: Converte alarmes detectados em relatórios JSON/CSV instantâneos de acordo com os padrões SIEM e os alimenta no painel de exibição central (Dashboard).

⚡ PoC com Um Único Comando (Simulação Ataque-Detecção)

Foram adicionados iniciadores PoC de um único comando (run_poc.bat / run_poc.sh) para que um usuário que clone o projeto possa executá-lo e ver a saída em segundos. Esses scripts simulam as etapas de exploração da equipe vermelha e fazem com que o detector da equipe azul gere alarmes e grave no arquivo reports/detection_results.json. Para etapas detalhadas de execução, consulte a seção Instalação e Execução.

📊 Tabela Resumo das Vulnerabilidades Analisadas

🔌 Integração do Módulo Intermediário (NetVanguard)

O agente de análise de logs de endpoint src/detector.py desenvolvido no âmbito do projeto foi integrado ao NetVanguard, um painel central de monitoramento e alarme de anomalias implementado como projeto intermediário. As assinaturas de vulnerabilidade críticas geradas no emulador foram transferidas para o motor backend do NetVanguard através da rede, simulando uma arquitetura de monitoramento centralizado (SIEM).

🕵️ Arquitetura de Funcionamento do Agente de Análise de Logs (src/detector.py)

O agente de detecção de vulnerabilidades (src/detector.py) é um motor de monitoramento de logs de endpoint leve (lightweight) projetado para detectar atividades de exploração realizadas no dispositivo Android.

Recursos Principais e Modos de Operação:

1. Entrada de Log Flexível (3 Modos Diferentes):
   • Fluxo de Logcat ADB ao Vivo: Conecta-se diretamente ao emulador via comando adb connect e monitora logs do dispositivo em tempo real.
   • Modo Pipeline / Stdin: Pode ser canalizado com outras ferramentas CLI através da arquitetura adb logcat | python src/detector.py.
   • Monitoramento de Arquivo (Tail -f): Monitora dinamicamente arquivos de log previamente salvos (.log) linha por linha.
   • Fallback (Entrada Manual): Se ADB ou arquivo de log não estiverem configurados, filtra linhas de log inseridas manualmente para fins de teste (módulo de simulação ao vivo).
2. Correspondência de Assinatura Baseada em Regras:
   • É alimentado pela variável DETECTION_KEYWORDS no arquivo .env.
   • Quando detecta assinaturas críticas de exploração, como falhas do Android Runtime (SIGSEGV), erros de instalação de pacotes (SIGABRT) e aplicações de segurança que falharam (Process has died), gera imediatamente [TEHLIKE - ALARM] no terminal e nos logs.

🛠️ Tecnologias Utilizadas

📂 Estrutura do Diretório do Projeto

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 Metodologia de Análise e Simulação

No âmbito do projeto, a análise de vulnerabilidades e as simulações de defesa foram abordadas através de um ciclo de segurança cibernética composto por 4 fases principais:

graph TD
    A["1. Análise de Vulnerabilidade & Exame Estático"] --> B["2. Configuração do Ambiente de Laboratório Isolado"]
    B --> C["3. Simulação de Exploração & Registro Dinâmico"]
    C --> D["4. Correlação & Dashboard Visual"]

1. Análise Estática e Teórica: O código-fonte do AOSP (Android Open Source Project) foi examinado para identificar correspondências de UID, restrições de acesso ao banco de dados SQLite e erros lógicos nos mecanismos de instalação de pacotes.
2. Ambiente de Laboratório Isolado: O emulador Android (API 33-34) e a configuração honeypot foram colocados em uma rede de testes de penetração isolada com contêineres Docker.
3. Registro e Detecção Dinâmicos: As pegadas de falhas e bypass geradas quando as vulnerabilidades são acionadas (como SIGSEGV) foram filtradas e capturadas pelo agente de detecção de vulnerabilidades src/detector.py.
4. Visualização do Dashboard: Os dados coletados foram enriquecidos com matrizes de risco, gráficos de cadeia de ataque e simulações de terminal ao vivo, compreensíveis para gerentes e analistas, e transferidos para a interface web/.

Instalação e Execução

Pré-requisitos

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

Passo 1: Preparação

# 1. Clone o repositório e entre no diretório
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Prepare as variáveis de ambiente (configurações padrão são usadas sem .env)
cp .env.example .env

Passo 2: Opções de Execução

🚀 Opção A: Simulação PoC com Um Clique (Método Mais Rápido)

Para testar o mecanismo de ataque e detecção de ponta a ponta, sem necessidade de qualquer instalação ou configuração de emulador:

• Windows (Clique Duplo ou CMD):
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (Terminal):
  root@kitploit:~

  bash run_poc.sh
  

🕵️ Opção B: Modo ADB Manual ao Vivo

Para capturar logcat em tempo real com o Emulador Android aberto:

# Inicie o agente (começa a ouvir logs ao vivo via ADB)
python src/detector.py

# Em outro terminal, acione o simulador de ataque
python src/exploit_sim.py

🐳 Opção C: Modo Contêiner com Docker

Para iniciar todas as dependências em um contêiner Docker isolado:

docker-compose up -d

Passo 3: Executar Testes Automatizados

Para testar a qualidade do software e os padrões CI/CD:

python -m unittest src/test_detector.py

🖥️ Interface do Web Dashboard

Qualquer usuário que clone o projeto (git clone) pode executar facilmente a interface web rica contendo relatórios de análise e simulação de terminal em seu ambiente local.

Pré-visualização do Dashboard (Demo)

Para visualizar a interface, utilize um dos seguintes métodos:

1. Scripts Iniciadores Automáticos (Recomendado)

Para iniciar o servidor HTTP local em segundo plano e abrir a interface automaticamente no seu navegador padrão, execute o comando apropriado para o seu sistema operacional:

• Windows (PowerShell / CMD): Você pode clicar duas vezes no arquivo start_dashboard.bat no diretório principal do projeto ou executá-lo no terminal com o comando:
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash): Para iniciar diretamente do terminal (sem necessidade de permissão de execução):
  root@kitploit:~

  bash start_dashboard.sh
  

  ou dando permissão de execução ao arquivo:
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. Execução Offline (Sem Servidor)

Para executar diretamente sem configurar qualquer servidor local:

1. Navegue até o diretório web/.
2. Clique duas vezes no arquivo index.html para abri-lo diretamente no seu navegador.

3. Iniciar com Servidor Manual

Se preferir iniciar o servidor Python manualmente:

python -m http.server 8080

Em seguida, acesse http://localhost:8080/web/index.html no seu navegador.

🔄 CI/CD e Varreduras Automáticas de Segurança/Qualidade

Nosso projeto é gerenciado com princípios de engenharia de software (DevSecOps) de acordo com os padrões de segurança cibernética. Em cada push ou pull request no repositório, o GitHub Actions executa o seguinte pipeline:

1. Suporte a Múltiplos Sistemas Operacionais (Matrix Build): O código do agente é testado em sistemas ubuntu-latest e windows-latest para verificar a compatibilidade entre plataformas.
2. Análise Estática de Código (Linter): Os padrões de escrita Python (PEP 8) são verificados com a ferramenta flake8.
3. Análise Estática de Segurança (Varredura Bandit): Padrões críticos de vulnerabilidade no código são escaneados automaticamente com a ferramenta bandit (todos os falsos positivos são marcados com # nosec nos padrões de segurança cibernética).
4. Teste de Integração do Pipeline: O pipeline exploit_sim.py | detector.py é executado para simular o ciclo de exploração-detecção de ponta a ponta.
5. Saída de Relatório (Artifacts): O detection_results.json gerado como resultado do PoC bem-sucedido é carregado automaticamente como um arquivo zip nos artefatos do Actions.

Pré-visualização da Saída do Terminal PoC:

⚠️ Aviso Legal

Este projeto é exclusivamente para fins acadêmicos e educacionais. Todos os testes são realizados em ambiente de laboratório controlado, em máquinas virtuais isoladas. Qualquer tentativa de ataque a dispositivos reais ou sistemas de terceiros é ilegal e está fora do escopo deste projeto.

📄 Licença

Este projeto está licenciado sob a GNU General Public License v3.0.