CVE-2024-23700 - C2 Server: Сервер управления и сбора информации

[cite_start]Проект, иллюстрирующий проектирование и создание сервера управления и сбора информации (Command & Control — C2 Server), предназначенного для сценария экспериментальной эксплуатации уязвимости повышения привилегий CVE-2024-23700[cite: 2]. [cite_start]Этот сервер выполняет роль приёмника, обработчика, классификатора и средства отображения конфиденциальных данных, похищенных с целевого Android-устройства[cite: 3].

Документация и исходный код в этом репозитории предназначены исключительно для целей обучения, анализа безопасности и тестирования в разрешённой среде. Не используйте их на устройствах, учётных записях или данных, не входящих в рамки легального тестирования.

Информация о проекте

Проект относится к дисциплине: Безопасность мобильных устройств

Исполнители: Проект выполнен группой из 4 участников.

В процессе исследования и завершения проекта по разработке C2 Server группа выполняла следующие задачи:

Разработка Backend-компонента на Python (фреймворк Flask) для предоставления API взаимодействия, дешифрования данных и их хранения.
Разработка наглядного Frontend-интерфейса администратора (Dashboard) на ReactJS для мониторинга целей.
Проектирование системы хранения в виде плоских файлов (flat-file database) data.json для оптимизации под быстрый и лёгкий PoC.
Упаковка всей архитектуры (Backend и Frontend) в независимые контейнеры и эксплуатация через Docker.

Обзор

Система C2 Server использует модель «клиент-сервер», в которой вредоносное Android-приложение (PoC) выступает в роли клиента, непрерывно отправляющего данные. Архитектура C2 разделена на два независимо обрабатывающих компонента для обеспечения высокой скорости и гибкости.

Основной поток работы C2 Server:

Маскировка и приём (Backend): Корневая точка приёма / спроектирована с механизмом двойной обработки. Если доступ осуществляется методом GET (сканирование браузером), сервер возвращает поддельную ошибку 404 для уклонения. Если получен метод POST с JSON-форматом от вредоносного кода, сервер принимает данные и извлекает идентификатор устройства.
Умная классификация (Smart Classification): Сервер автоматически проверяет ключи (keys) внутри пакета для присвоения метки данных (например, s_cache, gps_cache).
Хранение и упаковка: Исходная полезная нагрузка (payload) упаковывается вместе с реальной меткой времени и ID устройства, после чего помещается в начало списка хранения в data.json.
Синхронизация Frontend: Dashboard использует React Hook для отправки GET-запросов к /api/data с целью чтения базы данных.
Группировка и отображение: Frontend автоматически группирует пакеты с общим идентификатором (device_id), выполняет глубокое сканирование структуры для извлечения параметров оборудования (RAM, заряд батареи, ОС) и наглядно отображает их на радаре.

Информация о CVE

Код уязвимости: CVE-2024-23700
Уровень серьёзности Android: Critical
Связанный компонент: Android Companion Device Manager
Справочный патч: Android Wear Security Bulletin 2024-05-01

Этот C2 Server спроектирован как часть экспериментальной сети, принимающей поток разведывательных данных с Android-устройств, успешно скомпрометированных через указанную уязвимость.

Структура каталогов

CVE-2024-23700-C2-Server/
├── backend/
│   ├── app.py - Инициализация API Endpoint, обработка маскировки и классификация JSON
│   └── requirements.txt
├── frontend/
│   ├── src/
│   │   ├── pages/
│   │   │   ├── Dashboard.jsx - Экран радара общего обзора устройств
│   │   │   └── DeviceDetails.jsx - Диалог углублённого анализа payload
│   │   ├── App.jsx
│   │   └── App.css
│   ├── package.json
│   └── nginx.conf - Настройка Reverse Proxy для frontend
├── data.json - Плоская файловая БД для хранения записей (монтируется как volume)
├── docker-compose.yml - Управление контейнерами и внутренней сетью
├── .gitignore
└── README.md

Основные компоненты

Компонент	Описание	Путь
Backend Flask (`app.py`)	Центр управления (C2), прослушивание, классификация и хранение данных в `data.json`.	backend/app.py
Dashboard Radar	Центральная панель управления, группировка целей и отображение параметров HW/OS, количества payload.	frontend/src/pages/Dashboard.jsx
Device Details Modal	Интерфейс детального анализа данных жертвы (Modal XL) с системой Accordion и динамическими таблицами данных.	frontend/src/pages/DeviceDetails.jsx
Файл конфигурации Docker	Координация развёртывания Backend (порт 5000) и Nginx Frontend (порт 80) через Reverse Proxy.	docker-compose.yml

Механизм классификации и интерпретации данных

Вместо громоздкой логики сервер автоматически распознаёт и присваивает метки на основе возвращаемых блоков данных (cache), а интерфейс Frontend интегрирует умный словарь (MODULE_MAP и COLUMN_TRANSLATIONS) для нормализации и «локализации» результатов:

SMS_INTERCEPT: Данные, похищенные из SMS-сообщений (s_cache).
CONTACTS_DUMP: Данные, выгруженные из контактов (c_cache).
CALENDAR_SPY: Данные отслеживания событий календаря (cal_cache).
NOTIFICATIONS_SPY: Данные перехвата уведомлений (n_cache).
LOCATION_TRACKING: Данные отслеживания местоположения (gps_cache).
GENERAL_TELEMETRY: Метка по умолчанию для общих данных телеметрии системы.

Кроме того, система автоматически преобразует исходные метки времени (timestamp) в удобочитаемый формат локального времени и интерпретирует числовые коды в реальные состояния (например, тип вызова 1 = «↙️ Входящий»).

Развёртывание и эксплуатация

Вся инфраструктура C2 эксплуатируется с помощью docker compose для обеспечения согласованности и устранения расхождений среды. Структура запускает 2 основных сервиса:

c2_backend (порт 5000): Применяет технику Volume Mapping для монтирования физического файла data.json в область памяти /app/data.json внутри контейнера. Это обеспечивает постоянное хранение разведывательных данных даже при удалении или перезапуске контейнера. Для сервиса применяется политика restart: always.
c2_frontend (порт 80): Работает на базе веб-сервера Nginx, выполняя роль Reverse Proxy. Все API-запросы с префиксом /api/ автоматически перенаправляются (proxy_pass) на Backend для повышения безопасности. Этот контейнер запускается строго после Backend (depends_on) во избежание ошибок потери соединения на начальном этапе.

Примечания

Перед запуском Docker необходимо убедиться, что файлу data.json заданы соответствующие права на чтение и запись на физическом сервере.
Если файл данных ещё не создан, Backend автоматически вернёт пустой массив, чтобы не вызвать сбой интерфейса.
Прямой доступ к IP-адресу сервера активирует механизм маскировки с ошибкой HTTP 404. Администраторам необходимо обращаться по корректному пути и порту, настроенному на Nginx.

Популярное

CVE-2024-23700-C2-Server