Демо нашего инструмента - Stingray

Всем привет!
Как-то я немного затянул с проведением демо, но на всё есть причины :)

Но наконец-то руки дошли и в среду (20-го июля) в 14:00 мы наконец-то соберемся и я расскажу, чем мы занимаемся и что умеем. Думаю, будет более чем интересно!

Присоединяйтесь, ближе к делу я скину ссылку-приглашение и линк для подключения!

Пообщаемся :)

#stingray #demo

Запись общения по теме Как влиться в мир мобильной безопасности

В соседнем канале недавно провели отличный ликбез, как влиться в мир мобильной безопасности и начать зарабатывать деньги анализировать мобильные приложения.

Очень советую послушать всем, кто хотел бы попробовать себя в этой сфере!

Запись недавнего стрима про то как вкатиться в мобильный инфобез в 2022-м году. Можно слушать на ваших любимых подкаст-площадках или прямо в Telegram. Видео решил не выкладывать, т.к. оно не несет никакой дополнительной ценности.
Сайт подкаста

Show notes:
- Большая подборка полезных ресурсов от экспертов Positive Technologies: от лаб и подкастов до блогеров и сообществ
- Охота за багами: как прокачаться этичному хакеру, чтобы больше зарабатывать на поиске уязвимостей
- Mobile Security Testing Guide
- Открытая лекция: Основы информационной безопасности для мобильных разработчиков
- Блог Oversecured (нужен VPN)
- Блог компании Snyk

Frida-boot, небольшая презентация по использованию frida

Небольшой 4-х часовой воркшоп по особенностям использования и работы с frida.

Хороший и грамотный материал с практическими примерами и рассказом об особенностях работы фриды, о способах подмен функций и т.д. Примеры не только и не столько для мобильных систем, а применительно и для других языков и ОС тоже.

Очень рекомендую всем, кто хочет больше узнать о динамической инструментации приложений и понять, как она работает.

Доступен в виде видео или слайдов.

#fridaboot #frida #workshop

Бесплатные курсы по Android и iOS разработке от ГПБ

Всем привет, тут коллеги из ГПБ будут проводить бесплатное обучение)

Если есть время и желание, то можно поучиться чему-то новому)

Газпромбанк приглашает тебя на бесплатные курсы Android/iOS-разработки с оффером для лучших участников!

IT-индустрия остро нуждается в квалифицированных разработчиках. GPB IT Factory готовит именно таких – с нуля, на безвозмездной основе и возможностью трудоустройства для лучших студентов. Подробнее: https://vk.cc/cf6exT
Что тебя ждет:

• 16 недель теории и практики (онлайн-лекции, домашние задания и работа над финальным проектом),
• общение с преподавателями, наставниками и личным ментором,
• сертификат и шанс получить оффер в Газпромбанк по итогам курса.

Подавай заявку: https://vk.cc/cf6exT

Исследование 0-day в «дикой природе»

У Google Project Zero есть интересная серия исследований, в которой они исследуют и описывают 0-day уязвимости, которые встречались в реальной жизни, с реальными примерами эксплуатации и описанием, как именно их применяли.

Данная статья является обзорной по состоянию за первое полугодие 2022 года. Хоть она и является обзорной, на её основе можно найти несколько более интересных докладов, которые более предметно раскрывают аспекты каждой из уязвимостей.

Хоть это и не всегда относится к мобильным приложениям, почитать и послушать про такое всегда интересно.

#0day #ios #google

Как установить более старую версию приложения поверх нового и не потерять данные в Android

По умолчанию, Android-система не позволяет устанавливать более старую версию поверх новой для одного приложения. В целом, это правильный подход, так и должно быть, потому что внутренние базы и структуры данных уже могут быть изменены под новую версию и старая может работать некорректно.

Но, иногда такая необходимость возникает. И тут на помощь нам придет статья, в которой описано несколько способов как это совершенно легально провернуть и оставить данные на месте.

Это может быть крайне полезно!

#android #downgrade

Приглашаем выступить на AppSec.Zone на конференции Offzone 2022!

Приглашаем всех фанатов безопасности приложений, которые готовы поделиться своими находками на сцене одной из лучших практических конференций по ИБ в России, подать заявку на доклад!

Если вы любите искать необычные баги, участвуете в баг-баунти и жить не можете без кавычек, вы не пропустите AppSec.Zone! Нам нужны доклады длительностью 15 / 30 или 45 минут, не представленные ранее, посвященные безопасности приложений. Заявки принимаем до 1 августа.

Как сформулировать тему? В рамках AppSec.Zone мы говорим о самых разных аспектах процесса безопасной разработки, включая разбор и способ поиска интересных уязвимостей, освещение инструментов, помогающих их найти или автоматизирующий различные процессы, опыт в построении DevSecOps и многое другое. Так что при подаче заявки просто задумайтесь, что могло бы вам самим пригодиться, когда вы только начали путь в безопасной разработке или при исследовании какой-то уязвимости, что облегчило бы жизнь и сократило время? Именно это и нужно, бесценный опыт, который может помочь кому-то еще стать безопаснее!

Чтобы подать заявку, заполните форму здесь: https://appsec.zone/cfp
Или напишите по этому адресу: appsec@offzone.moscow

Напоминаем, что конференция Offzone состоится 25 и 26 августа 2022 года в Москве. Как и прежде, в центре внимания будет практика, результаты свежих исследований и ответы на самые актуальные вопросы кибербезопасности.

Так что, несмотря на окончание официального CFP, мы продолжаем поиск интересных докладов на профильную секцию AppSec.Zone!

Уверен, что среди нас у многих найдется, что рассказать и чем поделиться!

Встретимся на OffZone!

#offzone

CTF под Android в Google Play со скорбордом и печеньками

Очень странно, что я не видел этих ребят раньше, мне казалось, что уже про них рассказывал, но тем не менее, весьма интересный и развивающийся проект - hpAndro!

Представляет из себя CTF для Android, написанный на котлин. На сайте доступен сеорборд и есть все шансы туда попасть 😎

Ну и в целом, всегда приятно немного поиграть, если есть время и силы :) в процессе можно попробовать новые инструменты и, если есть уже прохождение, попробовать найти другой способ получения флага!

Всем удачной игры и поиска багов!

P.S. У ребят ещё есть отличный канал на YouTube, где много разных видео, начиная с прохождения их CTF, заканчивая обзором разных инструментов, оч классно!

#android #ctf #tools

Детальный разбор эволюции троянского приложения Flubot

Очень здоровская статья про развитие и эволюцию банковского зловреда под Андроид.

Основной особенностью на мой взгляд, является то, что это современный (первая версия датирована 2020 годом), написанный самостоятельно (а не скопированный с других зловредов) проект, который эволюционирует и развивается получше и побыстрее многих коммерческих приложений 😁

Очень интересно почитать про те приемы, которые они использовали, чтобы оставаться менее заметными и их было сложнее определить.

В общем, рекомендую почитать, может даже мы что-то у них позаимствуем :)

#malware #android #analisys

Завтра демо!

Друзья, всем привет!
Не забываем, что завтра (или уже сегодня), в среду 20-го июля в 14:00 будет небольшое демо того, чем я занимаюсь целыми днями вместе с офигенной командой :) покажем наш тул по анализу приложений, что умеем и к чему стремимся)

Утром пришлю ссылку для подключения!

Присоединяйтесь!

Ссылка для подключения на демо

Всем привет! Через 30 минут стартуем.

Я наконец-то победил этот замечательный Teams, поэтому проводить будем в нем. Вход свободный, без регистрации и смс :)

Подключиться можно вот тут.

Жду всех, кому интересно в 14-00!

Поехали!

Ну что же, начинаем потихонечку, ждем еще минут 5 и стартуем)
Подключиться можно вот тут.

#demo #stingray

Небольшой экскурс в OWASP MASVS

Очередное видео с конференции про то, зачем нужен MASVS и как его применять. Ну и конечно, много времени снова уделено процессу рефакторинга этих документов.

Но в случае с прошлым постом на эту тему были доступны только слайды, а здесь полноценный доклад, так что если кому-то проще слушать и смотреть, а не читать, то это видео в самый раз.

#owasp #masvs

Спасибо всем!

Друзья, спасибо всем, кто проявил интерес и нашел время для того, чтобы подключиться и послушать про нашу работу!

Надеюсь было интересно, я постарался быть максимально честным :)

Ну а тем, кто не смог подключиться, но хотел бы всё-таки посмотреть, в ближайшее время мы обработаем запись и выложим её.

Ещё раз всем спасибо!
После демо у меня появилась небольшая идея, которую я попробую реализовать в следующем месяце :)

Хорошей и продуктивной всем недели!

Текущий статус джейла для iOS 15

Я просто оставлю это здесь :)
Надеюсь, что через несколько месяцев мы таки увидим полноценный джейлбрейк для 15-й версии iOS. Долго мы его ждали, это вроде одна из самых стойких версий.

Вспомнилась на эту тему наша картинка :)