CVE-2024-23700 - C2 Server: Сервер управления и сбора информации

[cite_start]Проект, иллюстрирующий проектирование и построение сервера управления и сбора информации (Command & Control — C2 Server), используемого для сценария экспериментальной эксплуатации уязвимости повышения привилегий CVE-2024-23700[cite: 2]. [cite_start]Данный сервер выполняет роль приёмника, обработчика, классификатора и визуализатора конфиденциальных данных, похищенных с целевого Android-устройства[cite: 3].

Документация и исходный код в этом репозитории предназначены исключительно для целей обучения, анализа безопасности и тестирования в разрешённой среде. Не используйте их на устройствах, аккаунтах или данных, не входящих в рамки легального тестирования.

Информация о проекте

Проект по дисциплине: Безопасность мобильных устройств

Исполнители: Проект выполнен группой из 4 участников.

В ходе исследования и завершения проекта по проектированию C2 Server группа выполняла следующие задачи:

• Разработка компонента Backend на Python (фреймворк Flask) для предоставления коммуникационных API, дешифрования данных и их хранения.
• Разработка наглядного административного интерфейса Frontend (Dashboard) на ReactJS для мониторинга целей.
• Проектирование системы хранения в виде плоского файла (flat-file database) data.json для оптимизации под быстрый и лёгкий PoC.
• Упаковка всей архитектуры (Backend и Frontend) в независимые контейнеры с эксплуатацией через Docker.

Обзор

Система C2 Server использует модель «клиент-сервер», в которой вредоносное Android-приложение (PoC) выступает в роли клиента, непрерывно отправляющего данные. Архитектура C2 разделена на два независимо обрабатывающих компонента для обеспечения высокой скорости и гибкости.

Основной рабочий поток C2 Server:

1. Маскировка и приём (Backend): Корневая точка приёма / реализует механизм двойной обработки. При обращении методом GET (сканирование браузером) сервер возвращает поддельную ошибку 404 для уклонения. При получении POST-запроса с JSON-форматом от вредоносного кода сервер принимает данные и извлекает идентификатор устройства.
2. Умная классификация (Smart Classification): Сервер автоматически проверяет ключи (keys) внутри пакета для присвоения меток данным (например, s_cache, gps_cache).
3. Хранение и упаковка: Исходный payload упаковывается вместе с реальной меткой времени и ID устройства, после чего помещается в начало списка хранения в data.json.
4. Синхронизация Frontend: Dashboard использует React Hook, отправляющий GET-запросы к /api/data для чтения базы данных.
5. Группировка и отображение: Frontend автоматически группирует пакеты с общим идентификатором (device_id), глубоко сканирует структуру для извлечения параметров оборудования (RAM, батарея, ОС) и отображает их визуально на радаре.

Информация о CVE

Код уязвимости: CVE-2024-23700
Уровень серьёзности Android: Critical
Связанный компонент: Android Companion Device Manager
Справочный патч: Android Wear Security Bulletin 2024-05-01

Данный C2-сервер спроектирован как часть экспериментальной сети, принимающей поток разведывательных данных с Android-устройств, успешно скомпрометированных через указанную уязвимость.

Структура каталога

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Инициализация API Endpoint, обработка маскировки и классификация JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Радарный экран общего обзора устройств
│   │   │   └── DeviceDetails.jsx - Диалог углублённого анализа payload
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Настройка Reverse Proxy для frontend
├── data.json - Плоская файловая БД для хранения записей (монтируется как volume)
├── docker-compose.yml - Управление контейнерами и внутренней сетью
├── .gitignore
└── README.md

Основные компоненты

Механизм классификации и интерпретации данных

Вместо громоздкой логики сервер автоматически распознаёт и присваивает метки на основе возвращаемых блоков данных (cache), а интерфейс Frontend включает интеллектуальный словарь (MODULE_MAP и COLUMN_TRANSLATIONS) для нормализации и «локализации» результатов:

• SMS_INTERCEPT: Данные, похищенные из SMS-сообщений (s_cache).
• CONTACTS_DUMP: Данные, выгруженные из контактов (c_cache).
• CALENDAR_SPY: Данные отслеживания событий календаря (cal_cache).
• NOTIFICATIONS_SPY: Данные перехвата уведомлений (n_cache).
• LOCATION_TRACKING: Данные отслеживания местоположения (gps_cache).
• GENERAL_TELEMETRY: Метка по умолчанию для общих данных телеметрии системы.

Кроме того, система автоматически конвертирует исходные timestamp в понятный формат местного времени и интерпретирует числовые коды в реальные состояния (например, Call type 1 = "↙️ Входящий вызов").

Развёртывание и эксплуатация

Вся инфраструктура C2 управляется с помощью docker compose для обеспечения согласованности и устранения расхождений окружения. Структура запускает 2 основных сервиса:

• c2_backend (порт 5000): Использует технику Volume Mapping для монтирования физического файла data.json в область /app/data.json внутри контейнера. Это обеспечивает постоянное хранение разведывательных данных даже при удалении или перезапуске контейнера. Сервис применяет политику restart: always.
• c2_frontend (порт 80): Работает на базе веб-сервера Nginx, выполняя роль Reverse Proxy. Все API-запросы с префиксом /api/ автоматически перенаправляются (proxy_pass) на Backend для усиления безопасности. Этот контейнер запускается строго после Backend (depends_on) во избежание ошибок потери соединения на старте.

Примечания

• Перед запуском Docker необходимо убедиться, что файл data.json имеет соответствующие права на чтение и запись на физическом сервере.
• Если файл данных ещё не создан, Backend автоматически вернёт пустой массив, чтобы не вызвать падение интерфейса.
• Прямое обращение к IP-адресу сервера активирует механизм маскировки под ошибку HTTP 404. Администраторам необходимо обращаться по корректному пути и порту, настроенным на Nginx.