Инструмент Taint-анализа для apk

Давно не было про новые тулы, как-то даже стало скучно.

Но вот, отличная новость, нашел новый для себя инструмент - статический taint анализатор AppShark.

Из интересного, что я отметил:
- потенциальная возможность искать интересные баги
- возможность написания своих правил
- основан на не менее известных тулах Soot и FlowDroid, но имеет свою собственную реализацию движка анализа

В общем, потенциально интересное решение, в ближайшее время более детально её погоняю и напишу, как оно)

Ну или если кто уже успел попробовать или использует, напишите, как оно?)

#android #taint #flow

Замечательная уязвимость, которая напоминает простую истину: используй все доступные возможности. Хакеру удалось обойти экран блокировки на Pixel 6 с помощью замены SIM карты на свою с ее последующей блокировкой и разблокировкой через PUK код. Выглядит довольно элегантно и совершенно точно нужно проверять эту возможность на других устройствах.

Google заплатил за нее 70 килобаксов так-то 🤑

Присоединяйтесь, эфир уже сегодня, будет интересно))

⚡️Государству F снова угрожают хакеры, и их атаки становятся все более изощренными. Что им удастся взломать на этот раз?

Да-да, нас опять ждет осенний Standoff. Вместе с кибербитвой будет проходить митап, который можно смотреть онлайн. А в 14:00, в секции "Безопасность или паранойя? Разбираем клиентскую часть мобильных приложений" - я и небезызвестный @Mr_R1p обсудим темные стороны безопасности мобильных приложений.

Кроме этого выступления, обязательно обратите внимание на доклады "OAuth 2.0 и как его разламывать" и "37 слайдов про багбаунти".

Присоединяйтесь, трансляция начинается в 10:00 MSK.

Если сайт не работает, то трансляцию можно смотреть здесь - https://www.youtube.com/watch?v=5cJwQcMsYcY (блок Talks)

Начинаем через пару минут :)

Технического будет немного, но если хочется послушать абстрактные размышления на тему безопасности мобилок, буду вас ждать )

https://www.youtube.com/watch?v=_hHw_eMXywE

Если вы пропустили трансляцию нашего с @Mr_R1p выступления, то ее уже можно посмотреть на YouTube. Получилось скорее развлекательно чем технически, поэтому можете также показать это выступление вашему менеджеру ;)

Радости и благодарности пост

Всем привет, сегодня хочу сказать спасибо всей команде ребят, кто трудится над созданием нашего инструмента - Стингрей.

Мы участвовали во многих конкурсах, получали высокие оценки, иногда призы, но всегда нам чего-то не хватало для победы.

И вот, наконец, спустя годы, мы заняли первое место в конкурсе стартапов DeepTech Security в номинации “AppSec и DevSecops”.

Я очень-очень рад и хочу сказать огромное спасибо всей команде, ведь без них не было бы ничего! Да, пусть это временами трудно и приходится пробираться через дебри и нюансы мобильных приложений и операционных систем, но это делает нас намного сильнее! Спасибо вам, вы мои герои :)

#стингрей #конкурс #победа

Заметки на полях

В соседнем чате @horosho88 подсказал, как добавить сертификат в системные на 12-м Android. Думаю, многим будет полезно.

Спасибо, что делитесь своими наработками и лайвхаками, которые могут упростить жизнь другим :)

#android #certs #samsung #pinning

Небольшая заметка про добавление сертификата в BurpSuite на 12 Android (так как там возникают сложности с монтированием раздела system в rw . Если кто то столкнулся с проблемой на Samsung , что нельзя добавить через интерфейс мобилы и даже через adb в пользовательские серты , то нужно вручную создать папку cacerts-added по пути
/data/misc/user/0/ и накинуть ей права 777 , а затем уже попытаться добавить сертификат в полтзовательское хранилище , а потом модуль Фриды move cert перекинет в системные

Презентация с конференции PDUG (Positive Development User Group)

Будет интересна тем, кто занимается мобильной безопасностью.

Исследование защищенности мобильных приложений

Всем привет!

Долго не было ничего слышно и не зря)) Мы с командой делали довольно интересную вещь - проводили исследование защищенности мобильных приложений, выпущенных Российскими компаниями.

Суть исследования достаточно простая - мы взяли 800 Android-приложений, прогнали их через наш инструмент "Стингрей", разобрали ложные срабатывания, выбрали 20 категорий уязвимостей, наиболее интересных и часто встречающихся. Посчитали циферки, оформили, и вот результат:

По полученным цифрам более 83% приложений содержат уязвимости высокого или критичного уровня.

С подробными данными и самим отчетом можно ознакомиться на нашем сайте:
https://stingray-mobile.ru/oczenka-zashhishhennosti

Если говорить серьезно, то на безопасность мобильных приложений любят забивать или смотрят на них в самую последнюю очередь. Почему это до сих пор так?
Наверное, потому что бизнес или разработка не понимают актуальных угроз для мобильных приложений и какие именно риски несет в себе уязвимое мобильное приложение. Я рассказывал об этом недавно на митапе в Сколково, и скоро попробую еще раз это рассказать.

Потому что сейчас мобильные приложения это не просто "витрина данных", это полноценные системы, со своей архитектурой, базами данных, удаленными хранилищами, огромным функционалом и разнообразными техническими решениями. И к ним следует относится, как к полноценному звену всей системы, а иногда и более пристально, так как эксплуатируются они во "враждебной" среде, на устройстве пользователя, на котором может быть все, что угодно.

Так что посмотрите внимательно на отчет, мы постарались дать максимум ценной информации, включая описание выявленных проблем и способов их устранения и недопущения в дальнейшем. Очень надеюсь, что в следующем году безопасных и защищенных мобильных приложений станет больше!

Дальше больше, мы планируем сделать этот отчет ежегодным и отслеживать тренды в защищенности мобильных приложений и радовать всех интересным контентом!

С наступающим и приятного чтения!

#stingray #report #news #android

Отличное исследование о строках в памяти!

Спасибо за как обычно качественный контент, @OxFi5t!

Не буду разгонять телегу про "это был тяжелый год...". Был. И хватит об этом. Но в этом году удалось сделать много того, до чего долго не доходили руки. Одна из таких вещей - мое небольшое исследование о том, как ведут себя строки в памяти JVM и можно ли их гарантированно оттуда удалить. Как обычно я буду очень рад конструктивным дополнениям и уточнениям к изложенному материалу. Приятного чтения!

SSL, Pinning, Российские сертификаты и Минцифры

Один из подписчиков предложил новость для публикации. Я прочитал статью и подумал, а почему бы нет, наверняка многие с этим столкнулись или столкнуться в ближайшее время.

Поэтому прошу вашего внимания статью "Как подключить российский SSL-сертификат к iOS-приложению".
Как обычно это бывает на Хабре, самый сок всегда в комментариях)

Ну что мне сказать) Есть проблема - есть решение, а вот насколько всё это правильно или нет, это вопрос уже совсем другого порядка...

Так что надеюсь, что данный материал может быть полезен разработке в случаях с необходимостью работы с различными эквайрингами, в том числе и Российскими.

#iOS #certificate #pinning(?)