​​Ищем закладки в приложениях

Постепенно просматриваю доклады из категории Mobile с Blackhat Asia 2020 и выкладываю то, что приглянулось.

Одним из таких докладов стал рассказ про поиск закладок в приложениях под Windows и iOS.
Слайды презентации тут.

Тема действительно достаточно важная, так как кто знает, что там внутри приложений, которыми мы пользуемся каждый день? 🤔

Доклад, на мой взгляд,мог бы быть более интересным, если бы рассказали про методики поиска или способ какой-то автоматизации.

А сейчас это рассказ про несколько разобранных приложений. Но всё равно, полистать, посмотреть интересно 🤓

Мне это напомнило, как один мой друг, пользуясь приложением для учёта финансов от скуки его поковырял и обнаружил, что из Android приложения идёт прямой коннект в базу данных (кому нужно этот API серверный писать). Конечно, все адреса, пароли и явки были зашиты в исходниках. Таким образом, он случайно оказался владельцем финансовых данных пользователей ну и конечно, поставил правильное значение в базе, чтоб больше за это приложение не платить (да, оно было удобным и платным).

Так что бекдоры-бекдорами, но куда большую опасность несут в себе захардкоженные пароли и корявая архитектура...

#iOS #Backdoor #Blackhat

​​Взлом Apple за три месяца

Отличнейшая статья про то как группа исследователей в течение трёх месяцев работала над поиском уязвимостей в сервисах и инфраструктуре Apple. В общем итоге, они выявили 55 уязвимостей (11 из них критического, 29 высокого, 13 среднего и 2 низкого уровней критичности). Выявленные уязвимости позволяли скомпрометировать приложения как клиентов, так и сотрудников, запустить XSS-червя, способного угнать учетную запись iCloud жертвы, получить исходный код из внутренних репозиториев. 

В статье статье подробно расписаны некоторые наиболее критичные и уязвимости. И что самое главное, её очень легко читать и она может подтолкнуть на поиск новых векторов атак 😁

Тем более, они заработали на этом около 50 тысяч $ 🤑

Хоть и немного не про мобильные приложения, но очень рекомендую к прочтению!

#iOS #Apple #Vulnerabilities

*Митап по безопасности мобильных приложений*

Всем привет! Если вы давно хотели что-то рассказать про своё исследование, поделиться опытом анализа или защиты приложений, добро пожаловать на митап!

Можно написать мне в личку или заполнить по ссылке ниже :)

Ну а всех, кто заинтересован, но не хочет делится своими секретами, добро пожаловать на митап в качестве слушателей и не стесняйтесь задавать вопросы :)

Вот и настал тот день, чтобы сказать "И вот этот день настал!". Пока нас потихоньку накрывает второй волной сами знаете чего (🦠) и мы опять переходим на удаленную работу, есть идея провести это время с пользой. Хочу провести online митап по безопасности android-приложений, операционной системы и смежным темам. Конечно же без вашего участия ничего не получиться, поэтому с сегодняшнего дня открываю CFP. Если у вас есть интересный релевантный опыт, то буду рад включить вас в программу митапа.

Если вы новичок в вопросах выступлений на коференциях, то я и программный коммитет поможем вам определитья с темой и направлением доклада, а также подготовиться к самому докладу.

Для тех, кто не любит Google формы - пишите мне в личку. Ваша нелюбовь к Google еще не повод не выступать на митапе 😉

https://forms.gle/nNVZBemesFsFmwvSA

Подборка интересный багов в Android приложениях

Очень интересная подборка дисклозов с HackerOne и статей, описывающих уязвимости в мобильных приложениях.

Полезная информация, с одной стороны, посмотреть, что искать в приложениях и как их ломать. А с другой стороны, проверить собственные приложения, что таких ошибок в них нет.

Спасибо людям, что делятся своим опытом в статьях или просят открыть репорты, чтобы мы могли на них посмотреть и чему-то научиться 😄

Ну и отдельно приятно, что большинство репортов с h1 от нашего соотечественника @bagipro 👍

#Android #Vulnerabilities #h1

Подслушиваем за пользователями JioChat

Интересная особенность в реализации протокола SDP позволяла получить аудио поток с телефона жертвы до того, как он примет вызов.

Интересно, можно ли после этого было отменить вызов и продолжать слушать, но этого в описании не сказано или я не нашёл 😁

А у приложения более 50 миллионов загрузок! И вообще странно, что серверная часть позволяла клиентам манипулировать параметрами протокола и изменять логику работы. Так что, как бы банально не звучало, но все проверки на клиентской стороне должны быть продублированы на сервере (книга MSTG, категория ARCH, требование 2, MSTG-ARCH-2)😁

#Android #Vulnerabilities #SDP

Читаем книги в действительно удобном приложении

Здорово, когда умение анализировать приложения помогает тебе в повседневной жизни и делает твою жизнь чуть удобнее.

Так и в случае с автором статьи про анализ приложений для чтения книг.

Основной посыл простой - автор любит читать и часто покупает электронные книги в разных приложениях, но не все позволяют скачивать и читать в стандартном приложении iBooks в iOS. Вот, он реальный способ сделать свою жизнь немного удобнее и заодно поисследовать приложения.

И есть ещё продолжение истории на эту же тематику, но уже с разбором Amazon Kindle.

Автор хорошо раскладывает базовые понятия, как устроены приложения, где они хранят файлы, на что обращать внимание для достижения своей цели.

#iOS #Research #Vulnerabilities

Заметание следов с использованием Accessibility Services

Обычно я не пишу про новости об очередных троянах и вирусах, обнаруженных в GooglePlay и снова захвативших тысячи устройств. Это скучно, не интересно и я бы лучше сделал обзор, как эти штуки работают и что используют. Как правило, это просто различные модификации нескольких видов троянцев, которые несущественно видоизменены, чтобы их нельзя было обнаружить сигнатурным анализом. Бывают, конечно, уникальные малвари, но их единицы.

Но вот эта статья про то, как некоторые зловреды используют Accessibility Services для сокрытия следов, что затрудняет их обнаружение, мне очень понравилась.

Автор рассказывает, что это за сервис такой, как его использовать и приводит несколько реальных кейсов, как при помощи него уводили деньги с крипто кошельков, в том числе с двухфакторной авторизацией. И описывает, с какими сложностями можно столкнуться при расследовании таких хищений.

Статья большая, но интересная 😁

#android #forensic #research #malware

Crypto CTF

Этот CTF не про мобильные приложения, а более общий, про криптографию и ошибки реализации.

Если вы что-то шифруете в приложении или сталкиваетесь с необходимостью расшифровки, очень советую порешать его!

Спасибо автору за создание и за отсылки к похожим задачам!

Криптографию нужно знать хотя бы на базовом уровне, чтобы более осознанно её использовать и не допускать тех ошибок, что есть в этом ctf 😉

#ctf #crypto

Более-менее универсальный способ SSL Unpinning в iOS

Интересная утилита Meduza на основе Frida для SSL Unpinning приложений на платформе iOS.

Её подход немного отличается от стандартных способов. Сначала необходимо запустить утилиту в режиме мониторинга и потыкать в приложении. Запущенный скрипт соберет все домены и их сертификаты, к которым обращалось приложение за время работы. После того, как закончите работу с приложением, медуза сформирует скрипт, который будет спуфить сертификаты и производить Unpinning.

Такой подход будет работать только для приложений, использующих стандартную имплементацию SSL в системе.

Как досконально это работает, я пока не успел изучить, но в ближайшем времени планирую посмотреть. Скорее всего, мы делаем классический MiTM, перехватываем трафик, но в приложение возвращается тот же самый отпечаток сертификата, что и был изначально.

Но больше всего мне нравится честный и правдивый комментарий автора:

MEDUZA doesn't work, what to do?

Try to fix it yourself or create an issue. However, I take a look at this GitHub account from time to time ( ==once a year) and support MEDUZA in my spare time ( ==never), so I can't guarantee any support. Welcome to the opensource world ;(

Удивительно честный мир опенсурса 😁

#iOS #sslunpinning #Tools

​​Динамический анализ приложений при помощи клонирования

В августе я писал про интересный способ анализа приложений через функциональность клонирования.

Несколько дней назад вышло продолжение статьи, описывающее,что ещё можно сделать при таком подходе.

А сделать можно многое. Например, получить любые файлы из песочницы приложения, сделать возможным перехват трафика (MiTM) или подгрузить свою библиотеку в процесс. При чём всё это на нерутованных устройствах и не пересобирая приложение! А значит подпись приложения останется той же, все доступы в KeyStore и пермишены с защитой по подписи тоже будут работать! 😍

Большой интерес у меня вызвал метод с применением библиотеки Stetho, когда при помощи Chrome можно управлять приложением, смотреть и изменять его файлы и много других интересных вещей. И при этом настолько просто:
1. Подключаем телефон по USB к компу
2. Открываем Chrome на компьютере и переходим на https://inspect/#devices
3. На странице отображается краткая информация об устройстве
4. Запускаем клон приложения
5. Хекаем мышкой в браузере 😁

Очень круто, что на каждый из представленных способов анализа автор приводит или PoC или сразу решение, как это можно провернуть.

А также готовое приложение по клонированию, которое из коробки умеет:
- внедрение Security Provider для получения ключей
- получение данных приложения через Chrome или Conware
- включение дебага в релизной сборке приложения
- замена Network Security Configuration для MiTM
- подключение Frida-gadget

И всё это без рута 💃💃💃

При этом, чтобы попробовать защититься от подобных издевательств над собственными приложениями, автор написал небольшую библиотеку, которая может помочь определить, что в настоящий момент процесс работает из виртуального контейнера, в котором запускаются склонированные приложения.

Надо однозначно тестировать!

#Android #clone #virtualApp

Workshop по анализу мобильных приложений

От @B3nac подоспел воркшоп по анализу Android приложений с конференции "Hacker's One Community Day".

Ещё не успел посмотреть, но думаю будет интересно послушать об анализе Android от человека, который недавно перешёл в Android Security Team! Тем более предыдущий материал был очень полезным.

Слайды с презентации

#Android #Workshop #Education

Анализ Android приложений с помощью Frida

В последнее время нахожу всё больше различных видео туториалов по анализу мобилок. И это здорово, когда контент есть и в видео формате и в статьях, каждый найдет для себя наиболее удобный способ воспринимать информацию.

Вот небольшое получасовое видео про первые шаги в анализе Android приложений с использованием Frida. Внимательно не смотрел пока, но по быстрому взгляду решаются некоторые конкретные примеры и задачи (что не может не радовать) 😁

#Android #Frida #Video

Как взламывают Android приложения

Продолжая тему видео уроков и семинаров, отличный workshop по анализу Android приложений от @OxFi5t. Суперский материал, по процессу анализа, frida, drozer и ряду других инструментов.

Видео с конференции можно посмотреть здесь.

Помимо видео, этот замечательный человек выложил и структурировал материалы, на которых основан тренинг. Тут полноценный Android CTF с серверной частью, который ломать не переломать! Наш ответ @B3nac 😁

А самое главное - это отличный контент на русском языке! То, чего немного не хватает в нашем сообществе)

#Android #Webinar #Workshop #Education

Как раз есть шанс исправить недостаток контента, так как автор этого workshop планирует в ближайшее время провести митап по безопасности мобильных приложений.

Если вы хотите о чем-то рассказать или что-то спросить, обязательно приходите! Формат рассказа может быть произвольной, от воркшопа до условного свободного рассуждения, главное, чтобы это было интересно и полезно слушателям.

Для того, чтобы выступить, напиши мне или @OxFi5t в личку. Или есть ещё формочка Гугл, её тоже можно заполнить :)

https://forms.gle/nNVZBemesFsFmwvSA

Подмена адреса в мобильных браузерах

Достаточно занятные уязвимости, связанные с неверным отображением адреса в адресной строке.

Суть атаки простая - злоумышленник передает вам ссылку, вы открываете её в браузере и видите в адресной строке вполне легитимный URL сайта, например Facebook или Авито 😏

Неплохое подспорье для фишинга, особенно, если учитывать, что все рекомендации по безопасности учат нас смотреть на адрес и на зелёный замочек 🔐

Вспомнил ещё классную атаку на браузеры от @i_bo0om, когда он рисовал замочек прям в адресной строке, используя юникод , получалось очень реалистично!

#Spoofing #Browsers

Поиск Arbitary Code Execution в Android приложениях

В продолжении рубрики советы для мобильного BugBounty от одного из лучших багхантеров @bagipro:

1) Пишем hook для xposed или frida для определения вызова методов File.exists() и фильтруем по расширению .so

2) Ищем в декомпилированных исходниках использование методов ZipFile и всех его методов (например entries(), getEntry() и т.д.)

3) Если в найденных методах нет проверки на наличие специальных символов, например zipFile.getName().contains("../"), это означает, что возможно перезаписать произвольные файлы в процессе разархивации файла.

4) Найдите способ подменить файл, который распаковывается (достаточно часто эти файлы хранятся на SD-карте или путь к таким файлам передается через незащищенные компоненты приложения)

5) Скомпилируйте нативную библиотеку, которая выполняет произвольный код (например, записывает идентификатор пользователя в файл или выполняет команду chmod 777), создайте zip-файл, содержащий Path Traversal в имени и заставьте приложение его обработать.

Офигенный подход, простой и изящный. Я иногда не понимаю, как он это делает 😄 Еще раз спасибо, что делишься опытом!
Кстати, кто-то уже написал готовый скрипт для Frida, так что можно его прям брать и проверять "свои" приложения!

А есть ли у вас похожие наработки и уязвимости, на которые вы проверяете приложения?

#BugBounty #bagipro #Vulnerability #ACE

И немного пятничного креатива) Замечательный человек @cdirector нарисовал классную заставку про канал =)

Что вы хотели узнать об интентах, но боялись спросить

Подробная статья про атаки на неявные интенты в Android от компании Oversecured.

Статья подробно расписывает, почему такие интенты бывают опасны и как атаковать приложения, их использующие.
Какие бывают нюансы и как определить уязвимое приложение.

Очень круто, что автор и описывает уязвимые сценарии и тут же приводит PoC код для эксплуатации.

#Android #Intents #Research

Всем привет!

29.10.2020 буду записываться в подкасте @android_broadcast, где планируем поговорить о безопасности Android приложений (о чем же еще…). В рамках выпуска попробуем составить “руководство по безопасности” для android-разработчиков. Упор сделаем на “бесплатную реализацию”, т.е. своими силами. Но также затронем вопросы постороннего вмешательства в построение безопасной разработки =)
Примерный список тем для обсуждения выглядит так:
- Основные ошибки, которые допускают разработчики
- SAST
- Как убедиться в безопасности своего приложения
- Практики безопасной разработки
- Как защитить приложение если первый этаж опять затопило деньгами и надо куда-то их деть

https://www.youtube.com/watch?v=x_COvmEIyko