Forwarded from Codeby
Где хранятся IP адреса в Android
Доброго времени суток, в данной статье я опишу, где хранятся IP адреса, которые получало устройство на android. Так же этот способ будет наглядным при демонстрации какие порты задействуются при подключении.
📌 Читать статью: https://codeby.net/threads/gde-xranjatsja-ip-adresa-v-android.73103/
📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд
#network #android
Доброго времени суток, в данной статье я опишу, где хранятся IP адреса, которые получало устройство на android. Так же этот способ будет наглядным при демонстрации какие порты задействуются при подключении.
📌 Читать статью: https://codeby.net/threads/gde-xranjatsja-ip-adresa-v-android.73103/
📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд
#network #android
#Android #CVE
Corrupting memory without memory corruption
CVE-2022-20186
В этой статье я использую CVE-2022-20186, уязвимость в драйвере ядра GPU Arm Mali, чтобы получить произвольный доступ к памяти ядра от недоверенного приложения на Pixel 6. Это позволит мне получить root и отключить SELinux. Эта уязвимость подчеркивает сильные примитивы, которые злоумышленник может получить, эксплуатируя ошибки в коде управления памятью драйверов GPU.
Corrupting memory without memory corruption
CVE-2022-20186
В этой статье я использую CVE-2022-20186, уязвимость в драйвере ядра GPU Arm Mali, чтобы получить произвольный доступ к памяти ядра от недоверенного приложения на Pixel 6. Это позволит мне получить root и отключить SELinux. Эта уязвимость подчеркивает сильные примитивы, которые злоумышленник может получить, эксплуатируя ошибки в коде управления памятью драйверов GPU.
#Android
Ghost Framework
Это система постэксплуатации Android, которая использует Android Debug Bridge (ADB) для удаленного доступа к устройству Android.
Установка:
Ghost Framework
Это система постэксплуатации Android, которая использует Android Debug Bridge (ADB) для удаленного доступа к устройству Android.
Установка:
pip3 install git+https://github.com/EntySec/GhostForwarded from S.E.Book
#Android #Awesome
Android Security Awesome
В данном репозитории собраны материалы по безопасности Android-приложений, различные статьи, исследования, инструменты анализа и полезные библиотеки/инструменты для обеспечения безопасности приложений. Большая часть этого материала приходит из телеграм канала Mobile AppSec World и его подписчиков. Репозиторий регулярно обновляется и пополняется новыми материалами
Android Security Awesome
В данном репозитории собраны материалы по безопасности Android-приложений, различные статьи, исследования, инструменты анализа и полезные библиотеки/инструменты для обеспечения безопасности приложений. Большая часть этого материала приходит из телеграм канала Mobile AppSec World и его подписчиков. Репозиторий регулярно обновляется и пополняется новыми материалами
Forwarded from Mobile AppSec World (Yury Shabalin)
Как на самом деле магазины приложений проверяют ваше приложение на уязвимости перед публикацией.
Всем привет!
Не могу не поделиться, хоть и из отпуска, нашим исследованием.
Как вы помните, на OFFZONE мы проводили CTF, в котором было представлено приложение с реальными уязвимостями. Тогда я обещал, что мы о нем еще поговорим. Время пришло 🙂
Мы загрузили наше уязвимое приложение во все популярные магазины, наблюдали за процессом их публикации и тому, какие проверки наше приложение проходило.
Исследование призвано ответить на несколько вопросов. Первый - это доказать, что надеется на проверку сторов при публикации и замещать этим аудиты безопасности приложений и средства по анализу защищенности нельзя.
Второй - выяснить, насколько магазины приложений выполняют свои обещания по проверке приложений на безопасность.
Сразу скажу, что к тем сторам, где нет ни слова об анализе приложений на безопасность, вопросов никаких и нет. Однако к тем, которые эту проверку обещают, есть большой вопрос.
Исследование касалось именно проверки на уязвимости и недостатки в приложении, но никак не проверке на вирусы, рекламу и прочее, что любой уважающий себя магазин и так делает.
Статья выше разделена на две части:
- Первая рассказывает о нашем приложении, как оно устроено, какие проблемы мы в него закладывали, к чему они могут привести. Давно планировали это написать, но решили совместить, так что всем, кто решал наш CTF и хотел посмотреть, что было еще, добро пожаловать!
- Вторая часть касается уже непосредственно анализу проверок магазинами, что они обещают и как это выглядит на самом деле. С датами заявки, проверок и публикаций.
Выводы делайте сами, но на мой взгляд, все достаточно просто, нельзя доверять проверку своего приложения на безопасность магазинам приложений, чтобы они не обещали.
И если когда-то вам скажут о том, что аудит не нужен, так как есть проверки на стороне магазинов, просто покажите им эту статью.
Лайки, репосты и прочие активности очень приветствуются!
Ну а я дальше отдыхать 🌴🏝️
#research #android #googleplay #ctf
Всем привет!
Не могу не поделиться, хоть и из отпуска, нашим исследованием.
Как вы помните, на OFFZONE мы проводили CTF, в котором было представлено приложение с реальными уязвимостями. Тогда я обещал, что мы о нем еще поговорим. Время пришло 🙂
Мы загрузили наше уязвимое приложение во все популярные магазины, наблюдали за процессом их публикации и тому, какие проверки наше приложение проходило.
Исследование призвано ответить на несколько вопросов. Первый - это доказать, что надеется на проверку сторов при публикации и замещать этим аудиты безопасности приложений и средства по анализу защищенности нельзя.
Второй - выяснить, насколько магазины приложений выполняют свои обещания по проверке приложений на безопасность.
Сразу скажу, что к тем сторам, где нет ни слова об анализе приложений на безопасность, вопросов никаких и нет. Однако к тем, которые эту проверку обещают, есть большой вопрос.
Исследование касалось именно проверки на уязвимости и недостатки в приложении, но никак не проверке на вирусы, рекламу и прочее, что любой уважающий себя магазин и так делает.
Статья выше разделена на две части:
- Первая рассказывает о нашем приложении, как оно устроено, какие проблемы мы в него закладывали, к чему они могут привести. Давно планировали это написать, но решили совместить, так что всем, кто решал наш CTF и хотел посмотреть, что было еще, добро пожаловать!
- Вторая часть касается уже непосредственно анализу проверок магазинами, что они обещают и как это выглядит на самом деле. С датами заявки, проверок и публикаций.
Выводы делайте сами, но на мой взгляд, все достаточно просто, нельзя доверять проверку своего приложения на безопасность магазинам приложений, чтобы они не обещали.
И если когда-то вам скажут о том, что аудит не нужен, так как есть проверки на стороне магазинов, просто покажите им эту статью.
Лайки, репосты и прочие активности очень приветствуются!
Ну а я дальше отдыхать 🌴🏝️
#research #android #googleplay #ctf
Хабр
Разрушители легенд: Как на самом деле магазины проверяют приложения на уязвимости
Intro Всем привет! Снова с вами Юрий Шабалин. Уже много лет я занимаюсь безопасностью мобильных приложений и в своих исследованиях доношу важность этого направления для бизнеса. В одной из прошлых...
❤3⚡1🔥1
Forwarded from Mobile AppSec World (Yury Shabalin)
Новая атака на цепочку поставок: Java и Android под ударом!
Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...
Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.
К примеру, пакет
Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.
Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...
Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%
Крайне интересные цифры.
Снимаю шляпу перед исследователями такого уровня :)
Я думаю, что скоро нас ждет интересное продолжение :)
#oversecured #supplychain #android
Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...
Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.
К примеру, пакет
com.stingray.mobile превращается в домен mobile.stingray.com. И, добавив несколько полей в TXT-запись мы получаем верифицированный аккаунт, который может загружать новые и обновлять существующие версии. Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.
Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...
Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%
Крайне интересные цифры.
Снимаю шляпу перед исследователями такого уровня :)
Я думаю, что скоро нас ждет интересное продолжение :)
#oversecured #supplychain #android
News, Techniques & Guides
Introducing MavenGate: a supply chain attack method for Java and Android applications
More recently, the cybersecurity community has seen numerous studies of supply chain attacks on Web apps.
Forwarded from Mobile AppSec World (Yury Shabalin)
Эксплуатация уязвимостей в Deeplink и Webview
Цикл статей из двух частей (раз и два) про эксплуатацию различных проблем, связанных с технологиями deeplink и WebView.
Первая часть рассказывает о том, что такое webview, а также показывает возможность эксплуатации XSS и доступа к Java-объектам.
Вторая часть уже про диплинки и проблемы, связанные с ними. Традиционно, сначала немного теории про сами технологии и компоненты, после примеры эксплуатации уязвимостей.
Статьи неплохие, особенно радует большое количество отсылок на разные инструменты, которые помогут вам найти диплинки как в статике, так и в динамике, через Frida.
#android #deeplink #webview
Цикл статей из двух частей (раз и два) про эксплуатацию различных проблем, связанных с технологиями deeplink и WebView.
Первая часть рассказывает о том, что такое webview, а также показывает возможность эксплуатации XSS и доступа к Java-объектам.
Вторая часть уже про диплинки и проблемы, связанные с ними. Традиционно, сначала немного теории про сами технологии и компоненты, после примеры эксплуатации уязвимостей.
Статьи неплохие, особенно радует большое количество отсылок на разные инструменты, которые помогут вам найти диплинки как в статике, так и в динамике, через Frida.
#android #deeplink #webview
Justmobilesec
Deep Links & WebViews Exploitations Part I
This post focuses on finding, exploiting and understanding some common vulnerabilities in Android WebViews. Essential to this analysis are two key concepts: Static and Dynamic Analysis of Android Apps.
Forwarded from Mobile AppSec World (Yury Shabalin)
Фокус на безопасность мобильных приложений
Всем привет!
Давно ничего не писал, аж целых два месяца)) Но взял себя в руки и теперь и канал оживает, будут всегда свежие посты и новости и на Хабр вышла новая статья.
Статья не совсем техническая, она посвящена особенностям мобильных приложений, которые часто упускают из вида и забывают при построении процесса безопасной разработки. Да и просто при планировании мероприятий по анализу защищенности ресурсов мобилки всегда отодвигают "на потом". Возможно это связано с тем, что не все до конца понимают нюансы при релизе мобилок и всех векторов атак. И что устранение уязвимости в мобилке это немного не тоже самое, что устранение в серверной части.
Можно считать, что это некоторое логическое продолжение статьи "Мифы о безопасности мобильных приложений", только затрагивает она не заблуждения о мобилках, а их особенности.
Я постарался изложить свои мысли по этому поводу, надеюсь это поможет кому-то по новому взглянуть на мобильные приложения, и запланировать мероприятия по регулярному анализу их защищенности (ну а мы поможем). Ну или просто посмотреть на взгляд со стороны, как это воспринимаем мы, по свою сторону баррикад, возможно я просто чего-то не понимаю, поэтому пожалуйста, не стесняйтесь писать комментарии.
Приятного чтения, надеюсь, вам понравится!
#android #ios #mobile #habr
Всем привет!
Давно ничего не писал, аж целых два месяца)) Но взял себя в руки и теперь и канал оживает, будут всегда свежие посты и новости и на Хабр вышла новая статья.
Статья не совсем техническая, она посвящена особенностям мобильных приложений, которые часто упускают из вида и забывают при построении процесса безопасной разработки. Да и просто при планировании мероприятий по анализу защищенности ресурсов мобилки всегда отодвигают "на потом". Возможно это связано с тем, что не все до конца понимают нюансы при релизе мобилок и всех векторов атак. И что устранение уязвимости в мобилке это немного не тоже самое, что устранение в серверной части.
Можно считать, что это некоторое логическое продолжение статьи "Мифы о безопасности мобильных приложений", только затрагивает она не заблуждения о мобилках, а их особенности.
Я постарался изложить свои мысли по этому поводу, надеюсь это поможет кому-то по новому взглянуть на мобильные приложения, и запланировать мероприятия по регулярному анализу их защищенности (ну а мы поможем). Ну или просто посмотреть на взгляд со стороны, как это воспринимаем мы, по свою сторону баррикад, возможно я просто чего-то не понимаю, поэтому пожалуйста, не стесняйтесь писать комментарии.
Приятного чтения, надеюсь, вам понравится!
#android #ios #mobile #habr
Хабр
Фокус на безопасность мобильных приложений
Всем привет! На связи Юрий Шабалин, генеральный директор «Стингрей Технолоджиз». Недавно я проводил вебинар для новых сотрудников компании, в котором рассказывал про проблемы...
🔥5
Forwarded from Mobile AppSec World (Yury Shabalin)
Статья для начинающих свой путь в Android
Всем привет!
Статейка для тех, кто только начинает свое знакомство с Android и хотел бы попробовать свои силы на нескольких CTF, чтобы понять какого это.
В статье описаны шаги для настройки окружения:
- Создание эмулятора
- Настройка Burpsuite
- Установка Frida
- Решение двух задачек с HackTheBox
В целом ничего особо примечательного, но как базовая точка для самого популярного вопроса «Как снять пиннинг» подойдет. Конечно, далеко не на всех приложениях эти шаги и этот скрипт сработают, но тем не менее, для старта неплохо.
Ну а дальше только снимать пиннинг и другие вещи с более сложных и не учебных приложений.
Добро пожаловать в мир безопасности мобилок»
#android #frida #ctf #burp
Всем привет!
Статейка для тех, кто только начинает свое знакомство с Android и хотел бы попробовать свои силы на нескольких CTF, чтобы понять какого это.
В статье описаны шаги для настройки окружения:
- Создание эмулятора
- Настройка Burpsuite
- Установка Frida
- Решение двух задачек с HackTheBox
В целом ничего особо примечательного, но как базовая точка для самого популярного вопроса «Как снять пиннинг» подойдет. Конечно, далеко не на всех приложениях эти шаги и этот скрипт сработают, но тем не менее, для старта неплохо.
Ну а дальше только снимать пиннинг и другие вещи с более сложных и не учебных приложений.
Добро пожаловать в мир безопасности мобилок»
#android #frida #ctf #burp
🔥10
Ледибаг в деле. Как найти уязвимости в Android и попасть в топ белых хакеров Google
#android #google #bugbounty
Ни для кого не секрет, что багхантинг с каждым годом набирает популярность, привлекая внимание как компаний, стремящихся повысить безопасность своих продуктов, так и белых хакеров, желающих применить свои технические навыки и заработать на поиске уязвимостей. Все больше компаний создают собственные багбаунти-программы, некоторые интегрируются в уже существующие площадки.
В 2010 году, когда направление багбаунти еще не получило широкой известности, корпорация Google запустила свою программу вознаграждений за уязвимости. С тех пор в Google Vulnerability Reward Program поучаствовало более 3000 исследователей безопасности. Каждый год Google обновляет списки своих лучших багхантеров, которые нашли наибольшее количество уязвимостей в их продуктах. И нам удалось пообщаться с одной из них.
➡️ Читать дальше
🌚 @poxek | 📺 RuTube | 🌚 Мерч Похек
#android #google #bugbounty
Ни для кого не секрет, что багхантинг с каждым годом набирает популярность, привлекая внимание как компаний, стремящихся повысить безопасность своих продуктов, так и белых хакеров, желающих применить свои технические навыки и заработать на поиске уязвимостей. Все больше компаний создают собственные багбаунти-программы, некоторые интегрируются в уже существующие площадки.
В 2010 году, когда направление багбаунти еще не получило широкой известности, корпорация Google запустила свою программу вознаграждений за уязвимости. С тех пор в Google Vulnerability Reward Program поучаствовало более 3000 исследователей безопасности. Каждый год Google обновляет списки своих лучших багхантеров, которые нашли наибольшее количество уязвимостей в их продуктах. И нам удалось пообщаться с одной из них.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍9
#en #android #mobile #xss #webview
Если вы всегда думали, что взлом Android-приложений сводится лишь к обходу проверки на root, SSL pinning'а или проксирования HTTP-запросов через Burp Suite для выявления уязвимостей в серверной части, возможно, пришло время изменить своё мышление. Хотя эти шаги действительно полезны, но они не раскрывают сущности всех уязвимостей Android-приложений. Автор, глубоко погрузившийся в безопасность мобильных приложений, может сказать, что настоящие уязвимости часто скрываются в самом Java-коде Android, а не только в API серверной части.
В этой статье автор покажет вам пример вредоносной отправки расширенного уведомления, которое приводит к XSS-уязвимости при обработке в WebView. Это яркий пример того, как понимание внутренних механизмов Android-приложений может помочь обнаружить значимые уязвимости, которые в противном случае могли бы остаться незамеченными.
Please open Telegram to view this post
VIEW IN TELEGRAM
5👍9🔥1
Такие разные Android AppLinks, WebLinks, DeepLinks. Разбираемся и пытаемся сломать
#android #mobilepentest #mobile
С каждым годом мобильные приложения становятся всё более сложными и взаимосвязанными, предлагая пользователям бесшовный опыт взаимодействия. Одной из ключевых частей этого опыта являются ссылки, которые могут направить пользователя прямо на определённый экран приложения или на конкретный контент. Однако многие (как и мы до того, как написать эту статью) путают такие термины, как Deep Links, Web Links и App Links, что может привести к ошибкам в реализации и уязвимостям.
Цель этой статьи — разобраться в различиях между этим похожим функционалом, понять, какие атаки могут быть на них направлены и как ведёт себя Android, если несколько приложений пытаются зарегистрировать одни и те же ссылки. Сразу оговорюсь, что это статья не совсем похожа на наши обычные материалы — она призвана скорее рассказать, что мы узнали в процессе внутреннего исследования и консолидировать эту информацию в небольших "заметках на полях".
➡️ Читать далее
🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча
#android #mobilepentest #mobile
С каждым годом мобильные приложения становятся всё более сложными и взаимосвязанными, предлагая пользователям бесшовный опыт взаимодействия. Одной из ключевых частей этого опыта являются ссылки, которые могут направить пользователя прямо на определённый экран приложения или на конкретный контент. Однако многие (как и мы до того, как написать эту статью) путают такие термины, как Deep Links, Web Links и App Links, что может привести к ошибкам в реализации и уязвимостям.
Цель этой статьи — разобраться в различиях между этим похожим функционалом, понять, какие атаки могут быть на них направлены и как ведёт себя Android, если несколько приложений пытаются зарегистрировать одни и те же ссылки. Сразу оговорюсь, что это статья не совсем похожа на наши обычные материалы — она призвана скорее рассказать, что мы узнали в процессе внутреннего исследования и консолидировать эту информацию в небольших "заметках на полях".
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5🔥1
Деобфускация и поиск уязвимости в Android приложениях с помощью Gemini AI
#android #reverse #mobilepentest #gemini #google #ai
Тулза предназначена для выявления потенциальных уязвимостей и деобфускации кода Android-приложений. Используя публичный API Google's Gemini, он анализирует декомпилированный код, улучшая его читаемость путем переименования переменных и функций, а также добавления комментариев.
➡️ На вход инструмент принимает папку с декомпилированным кодом
➡️ На выходе мы получаем JSON файлик с именем
➡️ Установка
1️⃣ Установка инструмента
2️⃣ Устанавливаем jadx, если уже установлен, то пропускаем
3️⃣ Настройка инструмента
➡️ Запуск
На прикрепленных скринах видно, что примерно можно ожидать от этой тулзы.
📱 Github
🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча
#android #reverse #mobilepentest #gemini #google #ai
Тулза предназначена для выявления потенциальных уязвимостей и деобфускации кода Android-приложений. Используя публичный API Google's Gemini, он анализирует декомпилированный код, улучшая его читаемость путем переименования переменных и функций, а также добавления комментариев.
vuln_report, где перечисляются возможные уязвимости и их импакт. Также получаем более читаемый деобфусцированный кодgit clone https://github.com/In3tinct/deobfuscate-android-app
cd deobfuscate-android-app
python3 -m venv venv
source venv/bin/activate
pip3 install -r requirements.txt
wget https://github.com/skylot/jadx/releases/download/v1.5.1/jadx-1.5.1.zip
unzip jadx-1.5.1.zip
cd jadx-1.5.1/bin
# Достаём API ключик ai.google.dev
EXPORT GEMINI_API_KEY= "Your Gemini API Key"
python3 script.py --llm_model gemini-1.5-flash -output_dir /tmp/ver/ -source_dir "input_dir1/ input_dir2/"
llm_model — модель LLM, используемая для анализа. В настоящее время поддерживается только Google's Gemini. Различные варианты модели можно найти здесь.output_dir — каталог, в котором будут сохранены сгенерированные файлы.source_dir — каталог с декомпилированным кодом. Можно указать несколько каталогов, разделяя их пробелами, как показано выше.save_code (опционально) — по умолчанию установлено в false. Если установить в true, инструмент деобфусцирует код и сохранит его в указанном каталоге вывода; в противном случае будет сгенерирован только файл отчета об уязвимостях (vuln_report).Важно: не отправляйте весь пакет целиком, включая библиотеки и прочее, так как сканирование может занять очень много времени. Рекомендуется указывать конкретные каталоги, содержащие код приложения. Например, если структура пакета выглядит как com/google/android/yourapp, укажите com/google/android/yourapp/receivers/.
На прикрепленных скринах видно, что примерно можно ожидать от этой тулзы.
Please open Telegram to view this post
VIEW IN TELEGRAM
1
Reverse Engineer Android Apps for API Keys
#android #reverse #RE #mobile #pentest #API
Статья с pwn.guide посвящена основам реверс-инжиниринга и цифровой криминалистики (форензики) приложений под Android. В ней рассматриваются ключевые этапы анализа мобильных приложений, важные инструменты и практические советы для начинающих и опытных специалистов по информационной безопасности.
➡️ Основные моменты статьи:
➡️ Описывается структура Android-приложений (APK-файлов), их компоненты и способы упаковки.
➡️ Даётся обзор инструментов для реверса и форензики Android, включая такие популярные решения, как Apktool, Androguard, jadx, а также специализированные forensic-утилиты вроде androick и backhack.
➡️ Пошагово разбирается процесс декомпиляции APK-файла, извлечения ресурсов, анализа манифеста и кода, поиска уязвимостей и вредоносных функций.
➡️ Приводятся советы по анализу разрешений, трекеров и подозрительных библиотек, а также по выявлению признаков компрометации или вредоносной активности.
➡️ Рассматриваются методы динамического анализа, включая запуск приложения на эмуляторе, мониторинг сетевых запросов и взаимодействие с файловой системой.
Даются рекомендации по автоматизации анализа с помощью скриптов и интеграции различных инструментов.
➡️ Необходимый тулинг
Android Studio — For running and testing APKs.
ADB — For interacting with Android devices or emulators.
APKTool — For decompiling and recompiling APKs.
JADX — For decompiling APKs to Java source code.
HTTP Toolkit — For intercepting and analyzing HTTP/HTTPS traffic.
Кому будет полезна статья:
Материал рассчитан на специалистов по кибербезопасности, исследователей вредоносных программ, а также всех, кто интересуется анализом безопасности мобильных приложений Android.
🔗 Читать далее
🌚 @poxek | 🌚 Блог | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч
#android #reverse #RE #mobile #pentest #API
Статья с pwn.guide посвящена основам реверс-инжиниринга и цифровой криминалистики (форензики) приложений под Android. В ней рассматриваются ключевые этапы анализа мобильных приложений, важные инструменты и практические советы для начинающих и опытных специалистов по информационной безопасности.
Даются рекомендации по автоматизации анализа с помощью скриптов и интеграции различных инструментов.
Android Studio — For running and testing APKs.
ADB — For interacting with Android devices or emulators.
APKTool — For decompiling and recompiling APKs.
JADX — For decompiling APKs to Java source code.
HTTP Toolkit — For intercepting and analyzing HTTP/HTTPS traffic.
Кому будет полезна статья:
Материал рассчитан на специалистов по кибербезопасности, исследователей вредоносных программ, а также всех, кто интересуется анализом безопасности мобильных приложений Android.
Please open Telegram to view this post
VIEW IN TELEGRAM
Ловите вкусные баги прошедшей недели
#CVE #Java #AEM #Cisco #Android #Microsoft
➡️ SAP NetWeaver AS Java / Insecure deserialization (CVE-2025-42944, CVSS 10.0)
Критическая уязвимость в модуле RMI-P4. Имея доступ к открытому RMI-интерфейсу, можно доставить на открытый RMI-порт специально сформированные сериализованные объекты и добиться RCE без аутентификации.
➡️ Adobe Experience Manager (AEM) / misconfiguration (CVE-2025-54253, CVSS 10.0)
Проблема связана с небезопасной конфигурацией/режимом разработки (devMode) и взаимодействием со Struts/OGNL. Специально сформированные запросы могут привести к выполнению выражений и RCE без аутентификации и без участия пользователя.
➡️ Cisco ASA/FTD (CVE-2025-20362 CVSS 6.5, CVE-2025-20333, CVSS 9.9)
Недостаточная валидация пользовательского ввода в веб-компоненте VPN + неправильная проверка входа в VPN/WebVPN web-сервере соответственно. Эта пара используется в атаках по меньшей мере с мая 2025 года. Позволяет получать доступ к URL-эндпойнтам, которые должны требовать аутентификацию, и выполнять RCE под root на устройстве.
➡️ Android Framework / information disclosure (CVE-2025-48561, CVSS 8.3)
Локальное приложение может использовать побочные графические/рендер-сигналы, чтобы восстановить отображаемые на экране данные (2FA-коды, уведомления и т.д.). 0-click + не требует дополнительных прав. Достаточно запустить вредоносный APK на устройстве.
➡️ Microsoft Patch Tuesday
Microsoft выпустила крупнейший в истории Patch Tuesday с исправлениями 170+ уязвимостей, включая шесть zero-day. Исчерпывающий обзор обновлений с перечислением самых критичных багов есть у Bleeping Computers, Talos и Qualys.
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч
#CVE #Java #AEM #Cisco #Android #Microsoft
Критическая уязвимость в модуле RMI-P4. Имея доступ к открытому RMI-интерфейсу, можно доставить на открытый RMI-порт специально сформированные сериализованные объекты и добиться RCE без аутентификации.
Проблема связана с небезопасной конфигурацией/режимом разработки (devMode) и взаимодействием со Struts/OGNL. Специально сформированные запросы могут привести к выполнению выражений и RCE без аутентификации и без участия пользователя.
Недостаточная валидация пользовательского ввода в веб-компоненте VPN + неправильная проверка входа в VPN/WebVPN web-сервере соответственно. Эта пара используется в атаках по меньшей мере с мая 2025 года. Позволяет получать доступ к URL-эндпойнтам, которые должны требовать аутентификацию, и выполнять RCE под root на устройстве.
Локальное приложение может использовать побочные графические/рендер-сигналы, чтобы восстановить отображаемые на экране данные (2FA-коды, уведомления и т.д.). 0-click + не требует дополнительных прав. Достаточно запустить вредоносный APK на устройстве.
Microsoft выпустила крупнейший в истории Patch Tuesday с исправлениями 170+ уязвимостей, включая шесть zero-day. Исчерпывающий обзор обновлений с перечислением самых критичных багов есть у Bleeping Computers, Talos и Qualys.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥9👍3
Landfall — новый коммерческий шпионский софт для Android и уязвимость CVE-2025-21042 в устройствах Samsung
#0day #0click #mobile #Landfall #malware #CVE #android #samsung
Landfall внедрялся через zero-day в библиотеке обработки изображений Samsung (CVE-2025-21042) и срабатывал без клика. Достаточно было отправить на устройство жертвы вредоносное DNG-изображение, и система оказывалась скомпрометирована ещё до того, как файл был открыт. Еще один яркий пример того, что zero-click остаются рабочим инструментом для атак на мобилки.
Список возможностей шпиона немалый: запись аудио/звонков, кража фото, сообщений и файлов, мониторинг активности приложений и системных событий, скрытый C2 по HTTPS с пиннингом и обходами защит (включая манипуляции SELinux и уклонение от отладки).
Судя по артефактам в коде и географии обнаруженных образцов, Landfall использовался в точечных операциях против целей на Ближнем Востоке. Стиль применения характерен для профессиональных кибершпионских группировок, работающих по заказу спецслужб или государственных структур.
🔗 Подробности и технический разбор в блоге
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK | ❤️ Мерч
#0day #0click #mobile #Landfall #malware #CVE #android #samsung
Landfall внедрялся через zero-day в библиотеке обработки изображений Samsung (CVE-2025-21042) и срабатывал без клика. Достаточно было отправить на устройство жертвы вредоносное DNG-изображение, и система оказывалась скомпрометирована ещё до того, как файл был открыт. Еще один яркий пример того, что zero-click остаются рабочим инструментом для атак на мобилки.
Список возможностей шпиона немалый: запись аудио/звонков, кража фото, сообщений и файлов, мониторинг активности приложений и системных событий, скрытый C2 по HTTPS с пиннингом и обходами защит (включая манипуляции SELinux и уклонение от отладки).
Судя по артефактам в коде и географии обнаруженных образцов, Landfall использовался в точечных операциях против целей на Ближнем Востоке. Стиль применения характерен для профессиональных кибершпионских группировок, работающих по заказу спецслужб или государственных структур.
Please open Telegram to view this post
VIEW IN TELEGRAM