Некоторые из вас знают, что помимо мобилок я еще увлекаюсь исследованиями всякого железа. Буквально прямо сейчас я ковыряю одну интересную штуку, о которой надеюсь смогу рассказать позже (ищите спойлеры на фото). Чтобы помочь мне в моих исследованиях, ребята из Positive Labs прислали мне просто фантастический набор для проведения glitch атак на микроконтроллеры. Зачем это вообще надо? Нуууу, не все контроллеры любят раскрывать свои секреты и отдавать прошивку, а glitch атаки помогают объяснить несговорчивому куску кремния кто здесь главный. Если вам эта тема интересна, то могу посоветовать почитать вот эту книжку. Там вопрос разбирается довольно подробно. А если вы случайно будете на OFFZONE в этом году (ни к чему не призываю), то там будет доклад от создателей этой платы, которая на фото. Дмитрий Верещак и Юрий Васин расскажут как нашли несколько уязвимостей и успешно атаковали c помощью glitch-атак.

Узнать чуть подробнее про плату и ее возможности можно в официальном репозитории проекта. Проект следует идеологии open hardware, а значит любой желающий может собрать себе такую штуку самостоятельно. Рассыпуха по текущим ценам при закупке в розницу выходит что-то около 2к рублей.

Напишите в комментах интересно ли вам видеть на этом канале посты про всякую mobile related хардварь или это скучно и лучше писать про intent-ы?

Очень важный текст

Не все поймут, не все оценят. Но если он заставит задуматься хотя бы несколько человек это уже будет победа.

Не устанавливай 17-ю фриду пока не прочитаешь этот пост 😅

Ну а если без шуток, то в посте разбираю как починить биндинги питона и хуки на JS. Надеюсь эта информация кому-то сэкономит время.

Когда я читаю подобные разборы RCE уязвимостей в Android приложениях, меня не покидает чувство, что это специально заложенный бэкдор. Потому что объяснить по другому цепочку "счатливых совпадений"(Believe me, it’s a gift from God!) я просто не могу =) Ведь не могут же разработчики TikTok настолько плевать на безопасность приложения. А их апсеки?

В сухом остатке имеем прикольный чейн: deep-link -> вызов js интерфейса -> обращение к "внутреннему" deep-link-у (шта?!) -> запуск тестовой activity -> скачивание zip архива с path traversal -> перезапись нативной либы -> RCE.

Отдельно скажу, что на моменте перезаписи нативной либы у меня задергался глаз, потому что приложение вместо того чтобы работать с read-only каталогом с либами, зачем-то захотело их обновлять независимо от приложения и загружало библиотеки из /data/data/<app package>. Занавес....

В android приложении Garmin Connect обнаружилась весьма прикольная бага и об этом уже были посты в некоторых СМИ. Но технические подробности появилась возможность раскрыть только сейчас. Если кому-то интересно как может выглядеть настоящая эксплуатация SQLi в ContentProvider-е широко известного приложения, то наливайте себе чего-нибудь вкусного и наслаждайтесь чтением.

Статья выходит в двух вариантах:
1. На английском языке в блоге PT SWARM
2. На русском языке в моем личном блоге

Вопросы, уточнения и прочие "да как же так то!" засылайте в комментарии.

P.S. Это не все хорошие новости за этот год, не переключайтесь ;)

Ребята из программного коммитета Positive Hack Days запустили CFP для Defence трека. Фестиваль пройдет с 28 по 30 мая 2026 года (не перепутай!) и скорее всего немного поменяет свой формат. Но это пока секрет 🌚

Если ты круто разбираешься в киберразведке, threat hunting-е, мониторинге в SOC, реагировании и расследовании инцидентов, то смело засылай заявку. Твой опыт точно пригодится другим!
Если желание есть, но идей нет, то сильно переживать не стоит — прием заявок продлится до 09.03.2026 и вполне можно успеть обобщить имеющиеся знания чтобы заскочить в этот поезд.

Кроме того, наша мобильная команда тоже на низком старте и мы размышляем чего бы такого сделать на следующем PHD. Есть есть какие-то пожелания, то забегайте в комментарии. Ибо все это делается в первую очередь для сообщества и если вам не хочется мастер-класс по похеку мобилок, а мы его сделаем, то будет не круто, правда? ;)

Крайний пост в этом году. Для меня лично год вышел не слишком продуктивным. Не удалось реализовать многое из того, что хотелось. Но я очень рад, что в нашем сообществе прибыло компетентных людей, которые глубоко разбираются в безопасности Android и смежных темах. Действительно приятно видеть увлеченных специалистов, которые не поленились инвестировать свое время в собственное развитие. И особенно приятно, что вы делитесь этими знаниями с сообществом. От души вас за это благодарю!

Итогов года никаких подводить не стану. Поделиться в общем-то есть чем, но оно все в стадии разработки, и лучше я попробую это дожать и представить в нормальном виде. Если все получится, то будет интересно =)

Поздравляю всех с Новым Годом и пусть у вас все будет хорошо!

Пока нет нормального контента решил запостить мем собственного производства.

Но, как говорится — мем смешной, а ситуация страшная =)

Меня тут опять угораздило вписаться спикером на конференцию, поэтому расскажу вам про это дивное событие =)

В этот раз ребята из Podlodka Crew проводят "неделю безопасности" Android приложений на которой можно послушать такие доклады:
- Безопасность в Android: реальные кейсы, атаки и что нас ждет дальше (мой)
- Как ломают Compose-приложения: Pixnapping и не только
- Как работает защита видео контента на Android
- Под капотом платежного SDK
- Анатомия Play Integrity: как обеспечивается безопасность в Android и можно ли ее обойти
- Meet Passkeys: Modern Authentication for Mobile Apps
- Reverse Engineering Android-приложения (демо-сессия)
- Биометрия в Android: что она реально защищает
- Безопасность в мобильных приложениях: куда движется индустрия? (круглый стол)

На мой взгляд список тем выглядит довольно неплохо. Если вы начинающий исследователь безопасности или разработчик, который хочет не только кнопки волохать, то вам может быть интересно это все послушать.

Касательно моего доклада скажу так: он будет обо всем по чуть-чуть. Я попытаюсь показать из чего сегодня состоит мобильный инфобез и куда он пойдет завтра.

Также ребята любезно предоставили скидку в 500р, поэтому не забудьте ей воспользоваться если будете покупать билеты: android_guards_15

Есть такой инструмент Grapefruit. Он хорошо знаком ковырятелям iOS, и вроде как даже в каком-то виде поддерживал Android, но был совершенно бесполезен на мой взгляд.

И вот случилась версия 1.1.2 (злые языки говорят, что благодаря AI) и внезапно инструмент стал полезным уже для ковырятелей Android. Впрочем похоже, что только для них (нас?) потому что iOS-ную часть там сильно потерзали и она работает плохо.

Если описать в двух словах что это такое то можно сказать, что это "drozer с человеческим лицом и немного сверху". В общем забирайте в арсенал новый тул. Он точно стоит внимания.

Вот и настал момент перевернуть еще одну страницу в жизни этого замечательного сообщества. Возможно кто-то не в курсе, но все начиналось как чат. Канал появился несколько позже. Чат всегда был открыт для новых людей и много чего повидал из-за своей открытости: ботов, "темщиков", просто случайных персонажей. Бывало разное. И вот наступил следующий этап: чат становится приватным. Впрочем приватность эта пока довольно условная и направлена на отсев ботов и совсем уж случайных людей.

Попасть в чат теперь можно только по инвайту от бота, который задаст пару вопросов на знание матчасти ;) Насколько это все хорошо будет работать — покажет время. О всех проблемах в работе бота пишите в чат (если вы уже в нем конечно 🌚) или в личку, буду исправлять.

Инвайты тут
Вайб тут

В дополнение к предыдущему посту. Если вы получаете инвайт от бота и видите, ошибку, что ссылка истекла, то это в 99% случаев означает, что вы ранее пытались зайти в чат и были забанены старым ботом.

Ранее механизм был такой: при входе нужно было нажать кнопку "я не бот", если этого не происходило за 30 секунд, то бот выдавал бан. Знаю, что многие попали под эту репрессивную машину, но со всеми, кто об этом написал в личку мы решили проблему. У канала личка открыта, сообщения бесплатные. Пишите, буду удалять из бана.