​📱 اتصال همزمان ده‌ها سیم‌کارت به یک آیفون و دور زدن بن‌شدن‌های واتساپ!

​شاید در نگاه اول عجیب به نظر برسد، اما در این ویدیو با دستگاهی به نام Chipeira (شبیه‌ساز سخت‌افزاری سیم‌کارت) آشنا می‌شوید که به هکرها و متخصصان سئو/مارکتینگ اجازه می‌دهد صدها اکانت واتساپ را به طور همزمان روی یک گوشی مدیریت کنند.

​⚙️ ترفند کار کجاست؟
۱. بورد سخت‌افزاری: کنترل دستی سیم‌کارت‌ها؛ برای فعال‌سازی یا دریافت پیامک تأیید هر شماره، کلید مربوط به آن سیم‌کارت روی بورد روشن می‌شود و نیازی به خرید ده‌ها گوشی نیست.

۲. ایزوله‌سازی نرم‌افزاری (Cloning): با فریب دادن هویت دیجیتال برنامه (Device ID و MAC Address)، واتساپ تصور می‌کند هر اکانت روی یک گوشی کاملاً مجزا در نقطه‌ای دیگر از دنیا نصب شده است؛ در نتیجه با بن شدن یک اکانت، بقیه اکانت‌ها هیچ آسیبی نمی‌بینند!

​🚀 ابزاری کاربردی برای پروژه‌های ترافیک مستقیم و ارسال انبوه که ساختار امنیتی واتساپ را به چالش می‌کشد.

​🆔 @androidSec_fa

#‌امنیت #تست_نفوذ #واتساپ #امنیت_شبکه #هک #

​یه ابزار برای مهندسی معکوس اندروید که قابلیت اجرا مستقیم روی گوشی رو داره. از Flutter و il2cpp هم پشتیبانی می‌کنه.

​لینک: https://github.com/UltraSina/androidReverse/releases

​🆔 @androidSec_fa

​#Android #ReverseEngineering #Security

​⚠️ هشدار امنیتی: ادعای روت کردن اندروید ۱۷ با استفاده از لینک

​اخیراً در فضای مجازی توییتی منتشر شده که ادعا می‌کند یک زنجیره اکسپلویت (Full Chain) برای روت کردن سیستم‌عامل اندروید ۱۷ کشف شده است. این حمله ادعا می‌کند که با کلیک روی یک لینک و بهره‌برداری از دو آسیب‌پذیری 0-day در مرورگر فایرفاکس (از جمله CVE-2026-10702)، امکان نفوذ به هسته سیستم‌عامل وجود دارد.

​نکات کلیدی برای کاربران:
۱. این آسیب‌پذیری در نسخه‌های جدید فایرفاکس (151.0.3 و بالاتر) به‌طور کامل اصلاح شده است.

۲. زنجیره‌های اکسپلویت این‌چنینی معمولاً وابسته به سخت‌افزار و نسخه‌های خاص هستند و به صورت عمومی و پایدار برای همه دستگاه‌ها کارایی ندارند.

۳. بهترین راه مقابله، به‌روزرسانی مداوم مرورگر و سیستم‌عامل است.

​منبع و جزئیات بیشتر را می‌توانید در توییتر مشاهده کنید:

https://x.com/nebusecurity/status/2069707520160227688

​🛡 برای آگاهی از آخرین اخبار و تحلیل‌های امنیتی، کانال ما را دنبال کنید:
@androidSec_fa

​#امنیت #اندروید #فایرفاکس #هشدار_امنیتی #CVE202610702 #سایبری #AndroidSecurity

​🔴 آسیب‌پذیری خطرناک در هدست‌های Meta Quest؛ کرش دادن کل سیستم با یک اپلیکیشن ساده!

​تیم امنیتی Djini.ai گزارش فنی یک آسیب‌پذیری DoS (محروم‌سازی از سرویس) در سیستم‌عامل هدست‌های واقعیت مجازی Meta Quest (از جمله Quest 3S) منتشر کرده که نشان می‌دهد چطور یک اپلیکیشن بدون داشتن هیچ دسترسی حساسی، می‌توانست کل دستگاه را غیرقابل استفاده کند.

​⚙️ ماجرا از چه قرار است؟

در سیستم‌عامل این هدست‌ها، یک برنامه پیش‌فرض و سیستمی به نام com.oculus.systemresource وجود داشت که برای تست و مانیتورینگ منابع دستگاه استفاده می‌شد. توسعه‌دهندگان متا فراموش کرده بودند روی کامپوننت‌های این برنامه (Broadcast Receiver و Service) کنترل دسترسی یا Permission Gate قرار دهند!

​🛠 نحوه سوءاستفاده (Attack Chain):

هر اپلیکیشن ثالثی (Third-party) که کاربر روی هدست نصب می‌کرد، بدون نیاز به دسترسی‌های خطرناک یا روت، می‌توانست ۳ مرحله زیر را اجرا کند:

1️⃣ سرویسِ سیستم را استارت بزند.

2️⃣ با فرستادن یک Broadcast، محیط نیتیو آن را مقداردهی اولیه کند.

3️⃣ با فرستادن یک دستور به بخش AllocationEngine، سیستم را مجبور کند یک فایل ۸.۶ گیگابایتی را روی حافظه رم (RAM) مپ (Memory-map) کند!

​💥 نتیجه چه می‌شد؟

از آنجا که دستگاهی مثل Quest 3S کلاً ۸ گیگابایت رم دارد، این درخواستِ سنگین فوراً حافظه را اشباع می‌کرد. در این حالت سیستم مدیریت حافظه اندروید (Low Memory Killer) برای نجات دستگاه فعال می‌شد و شروع به کشتن اجباری (Kill) فرآیندهای حیاتی سیستم با UID 1000 (مانند تنظیمات، سرویس احراز هویت، سیستم ردیابی محیط یا Guardian و مرورگر) می‌کرد که باعث فریز شدن و از کار افتادن کامل هدست می‌شد.

​✅ وضعیت اصلاحیه:

متا این آسیب‌پذیری را در نسخه vros 204 با حذف کامل این پکیجِ عیب‌یابی از روی سیستم‌عامل برطرف کرده است؛ بنابراین اگر هدست خود را آپدیت کرده باشید، دیگر خطری شما را تهدید نمی‌کند.

​🔗 لینک مقاله کامل و تحلیل کدها:
https://www.djini.ai/blog/technical-advisory-meta-quest-system-wide-dos-via-unprotected-memory

​🆔 @androidSec_fa

​#Android #Security #Vulnerability #MetaQuest #VR #DoS #AndroidSecurity

​🚨 هشدار امنیتی: بدافزار بانکی در لباس برنامه‌های سندخوان!

​گروه امنیتی ThreatLabz به‌تازگی هشدار داده که یک تروجان بانکی خطرناک با نام Anatsa (که با نام TeaBot هم شناخته می‌شود)، موفق شده از سد امنیتی گوگل‌پلی عبور کند.

​⚠️ نکات مهمی که باید بدانید:

🔹 این بدافزار تحت پوشش یک برنامه «سندخوان» (PDF/Document Reader) در فروشگاه گوگل عرضه شده و بیش از ۱۰۰ هزار بار دانلود شده است.

🔹 روش فریب: برنامه در ابتدا کاملاً سالم به‌نظر می‌رسد، اما پس از نصب، فایل مخرب اصلی را از سرور هکرها دانلود می‌کند.

🔹 هدف: این تروجان می‌تواند با ایجاد صفحات ورود جعلی روی اپلیکیشن‌های بانکی و صرافی‌ها، رمزهای عبور شما را سرقت کند و حتی به پیامک‌های حاوی رمز پویا دسترسی پیدا کند.

​🛡 توصیه امنیتی:

پیش از نصب برنامه‌های جدید، حتماً اعتبار توسعه‌دهنده را بررسی کنید و از دادن دسترسی‌های غیرضروری (مانند Accessibility) به برنامه‌ها خودداری کنید.

​🔗 منبع و جزئیات بیشتر:
https://x.com/Threatlabz/status/2069190345418854810

​➖➖➖➖➖➖➖➖

🆔 @androidSec_fa

​#امنیت #اندروید #بدافزار #هشدار #Anatsa #AndroidSecurity #CyberSecurity

معماری پردازنده گرافیکی به زبان آدمیزاد! (بخش اول: کارگاه نقاشی)

​خیلی از ما فکر می‌کنیم کارت گرافیک یا همان GPU داخل گوشی، فقط یک قطعه برای بالا آوردن بازی‌ها یا رندر کردن ویدیوهاست. اما در دنیای هک و امنیت، پردازنده گرافیکی یکی از خطرناک‌ترین و جذاب‌ترین مسیرها برای نفوذ به قلب سیستم‌عامل (کرنل) است.

​تیم قرمز اندروید گوگل (Android Red Team) در کنفرانس امنیتی OffensiveCon 2026 از یک زنجیره باگ خیره‌کننده روی پردازنده‌های گرافیکی PowerVR (تراشه Tensor G5 در گوشی‌های گوگل) پرده برداشته که نشان می‌دهد چطور یک اشتباه در نقاشی تصاویر، کل امنیت گوشی را به باد می‌دهد.

​قبل از اینکه وارد بحث باگ بشویم، باید بفهمیم این قطعه اصلاً چطور کار می‌کند.

پردازنده‌های گرافیکی موبایل برای اینکه باتری کمتری مصرف کنند و سرعتشان بالا برود، از روشی به نام Tile-Based Deferred Rendering (TBDR) استفاده می‌کنند.

​💡 یک مثال ساده:

تصور کنید می‌خواهید یک بوم نقاشی خیلی بزرگ را رنگ کنید. اگر بخواهید کل بوم را یک‌دفعه رنگ کنید، دستتان خسته می‌شود و رنگ کم می‌آورید. GPU موبایل می‌آید این بوم بزرگ (صفحه نمایش) را به مربع‌های بسیار کوچک مثل کاشی (Tile) تقسیم می‌کند. سپس رندر کردن هر کاشی را تا آخرین لحظه عقب می‌اندازد تا مطمئن شود دقیقاً چه چیزی قرار است روی صفحه دیده شود و فقط همان را نقاشی کند.

​برای اینکه این «کاشی‌ها» و اطلاعات هندسی نقاشی‌ها در حافظه موقت گم نشوند، پردازنده گرافیکی از مکانیزمی به نام FreeList (FL) استفاده می‌کند.

فری‌لیست را مثل یک «کمد بایگانی مخصوص سخت‌افزار گرافیک» در نظر بگیرید که وظیفه‌اش رزرو کردن و مدیریت صفحات حافظه برای ذخیره داده‌های گرافیکی است.

​در پست بعدی می‌بینیم که چطور هکرها قفل این کمد بایگانی را می‌شکنند! 👇

​🆔 @androidSec_fa

​#AndroidSecurity #GPU_Hacking #ReverseEngineering #PowerVR #Part1

جرقه اول؛ وقتی نقاش آدرس را گم می‌کند! (بخش دوم: بررسی باگ)

​در پست قبلی گفتیم که پردازنده گرافیکی برای مدیریت نقاشی‌هایش یک کمد بایگانی به نام FreeList دارد. حالا آسیب‌پذیری اصلی که با شناسه CVE-2025-25180 ثبت شده، دقیقاً در همین بخش اتفاق می‌افتد.

​وقتی یک برنامه یا بازی اجرا می‌شود، درایور گرافیک شروع به ساختن یک FreeList جدید در حافظه می‌کند. برای این کار، یک‌سری پارامتر و عدد به سخت‌افزار داده می‌شود. اما محققان گوگل متوجه شدند اگر این اعداد و پارامترها را به شکل خاص و بدخواهانه‌ای دستکاری کنند، یک بخش حیاتی به نام ثبات‌گر یا ریجسترِ پوینترِ استکِ فری‌لیست (FL Stack Pointer Register) دچار اختلال و خرابکاری (Corruption) می‌شود.

​💡 به زبان ساده یعنی چی؟

پوینتر (Pointer) در دنیای کامپیوتر یعنی «اشاره‌گر» یا آدرس. فرض کنید به نقاش می‌گویید: «وسایلت را در کمد شماره ۱۰ بگذار». اما به خاطر این باگ، مغز نقاش اصطلاحاً ردیف می‌کند و آدرس کمد ۱۰ را اشتباهی «اتاق گاوصندوق رئیس» می‌خواند!

​اینجا پردازنده گرافیکی از محدوده حافظه مجازی مجاز خودش خارج می‌شود (Out-of-bound GPU VA). در نتیجه، سیستم امنیتی کنترل حافظه سخت‌افزاری (MMU) که مثل یک دیوار بین گرافیک و بقیه سیستم است، کاملاً دور زده می‌شود.

حالا پردازنده گرافیکی فریب خورده و شروع به نوشتن داده‌های گرافیکی روی صفحات حافظه فیزیکی دلخواه سیستم (Arbitrary Physical Memory Pages) می‌کند! یعنی جایی که اصلاً و ابداً اجازه دسترسی به آن را نداشته است.

​اما چطور می‌شود از این نوشتنِ اشتباه، برای هک کردن کل گوشی استفاده کرد؟

پست بعدی را دنبال کنید. 👇

​🆔 @androidSec_fa

​#ExploitDev #Vulnerability #CVE_2025_25180 #KernelHacking #Part2

از یک کرش ساده تا دور زدن KASLR (زنجیره باگ - گام اول)

​وقتی شما می‌تونید با پردازنده گرافیکی روی حافظه اصلی بنویسید، اولش همه چیز خراب میشه و سیستم اصطلاحاً ریستارت میشه یا کرش می‌کنه (Kernel Panic).

چون شما دارید کورکورانه داده‌ها رو بازنویسی می‌کنید (فقط ۳.۵ بایت اول هر صفحه حافظه فیزیکی تغییر می‌کرد).

​برای اینکه این باگ به یک اکسپلویت (کد مخرب کارآمد) تبدیل بشه، هکرها باید سد اول امنیتی کرنل یعنی KASLR رو دور می‌زدند.

اصطلاح ​KASLR چیه؟

مبحث (Kernel Address Space Layout Randomization) یک تکنیک امنیتیه که هر بار گوشی روشن میشه، آدرس توابع و بخش‌های حساس کرنل رو در حافظه جابه‌جا می‌کنه تا هکر نتونه حدس بزنه فلان دستور کجای حافظه قرار داره.

​هکرها چطور دورش زدن؟

اون‌ها اومدن و از قابلیت نوشتن محدود پردازنده گرافیکی استفاده کردن تا توابع مربوط به سیستم‌فایل‌های مجازی اندروید (مثل مسیر /proc) رو پچ (دستکاری) کنن.

مشخصاً تابع proc_sched_show_task رو طوری تغییر دادن که به جای چاپ کردن آمارهای معمولی سیستم، آدرس‌های واقعی و پنهان شده حافظه کرنل رو بهشون نشون بده (Information Leak). با این کار، نقشه حافظه لو رفت و KASLR کاملاً بی‌اثر شد!

​حالا آدرس‌ها رو داریم، گام بعدی چیه؟

پست بعدی رو بخونید. 👇

​#KASLR_Bypass #AndroidExploit #KernelLeak #OffensiveSecurity #Part3

غول اول؛ چطور نقشه مخفی حافظه را لو بدهیم؟ (بخش چهارم: دور زدن KASLR)

​برای اینکه بتوانید یک سیستم‌عامل را هک کنید، باید بدانید دستورات و توابع اصلی آن در کجای حافظه (رم) قرار دارند. اما سیستم‌عامل‌های مدرن مثل اندروید، سد محکمی به نام KASLR دارند.

​💡 اصطلاح کاربردی: KASLR چیست؟

مخفف Kernel Address Space Layout Randomization است. فرض کنید اتاق‌های یک هتل هر ثانیه جابه‌جا شوند! KASLR کاری می‌کند که هر بار گوشی روشن می‌شود، تمام توابع و بخش‌های حساس هسته سیستم‌عامل (کرنل) در آدرس‌های کاملاً تصادفی و متفاوتی از حافظه قرار بگیرند تا هکر نتواند جایش را پیدا کند.

​هکرها چطور این سد را شکستند؟

آن‌ها از همان باگ گرافیکی و نوشتن ۳.۵ بایتی استفاده کردند تا کدهای مربوط به سیستم‌فایل‌های مجازی اندروید (مسیر /proc) را در حافظه دستکاری یا اصطلاحاً پچ (Patch) کنند. در اندروید، فایل‌های این مسیر اطلاعاتی درباره وضعیت سیستم به ما می‌دهند.

​مشخصاً آن‌ها سراغ تابعی به نام proc_sched_show_task رفتند که کارش چاپ کردن آمارهای زمان‌بندی پردازنده است. هکرها این تابع را طوری بازنویسی کردند که فرمت خروجی‌اش عوض شود. حالا وقتی برنامه معمولی هکر این فایل را باز می‌کرد، تابع به جای آمارهای معمولی، آدرس‌های واقعی و پنهان‌شده کرنل را در خروجی چاپ می‌کرد (Information Leak)!

​با این ترفند، نقشه هتل لو رفت و هکرها دقیقاً فهمیدند هر تابع کرنل کجای حافظه قرار دارد! گام بعدی؟ ساخت کلید اصلی. 👇

​🆔 @androidSec_fa

​#KASLR_Bypass #InfoLeak #KernelHacking #AndroidSecurity #Part4

ساخت پیش‌خدمت مطیع در قلب سیستم (بخش پنجم: نوشتن دلخواه)

​حالا هکرها دو چیز دارند:
۱. یک باگ گرافیکی که آدرس‌ها را جابه‌جا می‌کند
۲. نقشه دقیق حافظه کرنل (به خاطر دور زدن KASLR). اما هنوز یک مشکل بزرگ هست؛ باگ گرافیکی اولیه خیلی محدود است و نمی‌شود با آن کدهای پیچیده نوشت. هکر نیاز به یک ابزار پایداری دارد که بتواند «هر داده‌ای را در هر کجای حافظه کرنل» بنویسد. به این ابزار در دنیای هک Arbitrary Write Primitive می‌گویند.

​برای ساخت این ابزار، هکرها سراغ یک تابع سیستمی (System Call) در قلب کرنل به نام __arm64_sys_setitimer رفتند. این تابع در حالت عادی کارش مدیریت تایمرهای سیستم است.

​هکرها با استفاده از همان باگ گرافیکی، کدهای داخلی این تابع تایمر را در حافظه رم پچ (دستکاری) کردند. آن‌ها منطق تابع را طوری تغییر دادند که از آن به بعد، هر وقت برنامه هکر این تایمر را صدا بزند و یک آدرس و یک مقدار به آن بدهد، این تابع بدون هیچ لایه امنیتی، آن مقدار را دقیقاً در آن آدرس حساس کرنل بنویسد!

​به زبان ساده، آن‌ها یکی از کارکنان رسمی و مورد اعتماد کرنل را جیره_خوار خود کردند تا هر دستوری که هکر از بیرون می‌دهد را در حافظه حساس سیستم اجرا کند. حالا قدرت نوشتن کامل باز شده است. اما برای خواندن اطلاعات چطور؟ 👇

​🆔 @androidSec_fa

​#ArbitraryWrite #ExploitPrimitive #LinuxKernel #AndroidOffsec #Part5

چشم‌انداز کامل؛ کور کردن سیستم امنیتی (بخش ششم: خواندن دلخواه)

​داشتن قدرت نوشتن در حافظه عالی است، اما اگر نتوانید حافظه را بخوانید، مثل نابینایی هستید که اسلحه دارد اما نمی‌داند به کجا شلیک کند! هکرها برای کنترل کامل به ابزاری برای «خواندن هر کجای حافظه کرنل» (Arbitrary Read Primitive) نیاز داشتند.

​یک لایه امنیتی در اندروید به نام kptr_restrict وجود دارد که تمام آدرس‌ها و پوینترهای حساس را به صورت هش‌شده (رمزنگاری شده) نگه می‌دارد تا حتی اگر هکر دسترسی پیدا کرد، نتواند آن‌ها را بخواند. اما هکرها یک کلید مخفی پیدا کردند؛ کلیدی به نام ptr_key در بخش .data کرنل وجود دارد که وظیفه‌اش تولید همین هش‌هاست.

​هکرها با استفاده از ابزار نوشتنی که در مرحله قبل ساختند، مقدار این کلید (ptr_key) را در حافظه پیدا کردند و آن را به صفر تغییر دادند! با صفر شدن این کلید، تمام سیستم هشینگ عملاً از کار افتاد و آدرس‌ها به صورت متن ساده (Plaintext) درآمدند.

​سپس سراغ بخش شبکه کرنل و مسیر /proc/self/net/udp رفتند و ساختار یک سوکت شبکه (به نام sk_socket) را بازنویسی کردند. از این به بعد، هکر هر آدرس فیزیکی از رم گوشی را که می‌خواست بخواند، به این بخش می‌داد و سیستم مثل یک کتاب باز، اطلاعات آن آدرس را به هکر تحویل می‌داد.

​حالا هکر هم بینایی کامل دارد (خواندن) و هم توانایی کامل (نوشتن). وقت ضربه آخر است. 👇

​🆔 @androidSec_fa

​#KernelRead #InformationDisclosure #AndroidInternals #Hacking #Part6

فروپاشی پادشاهی اندروید؛ فتح قله روت (بخش هفتم: تغییر اعتبارات)
​به فاز نهایی زنجیره اکسپلویت رسیدیم.

هکر اکنون دو ابزار فوق‌العاده قدرتمند دارد:

خواندن و نوشتن بی‌قید و شرط در تمام حافظه کرنل سیستم‌عامل. هدف نهایی چیست؟ به دست آوردن دسترسی Root (بالاترین سطح دسترسی در لینوکس و اندروید).

​توجیه این بخش بسیار ساده و در عین حال هیجان‌انگیز است. در سیستم‌عامل اندروید، هر برنامه یا پروسسی که اجرا می‌شود، یک شیء یا ساختار داده به نام cred (مخفف Credentials یا اعتبارات) در حافظه کرنل دارد. این ساختار مشخص می‌کند که این برنامه چه کسی است و چقدر اجازه دارد دسترسی داشته باشد. برای کاربر Root یا همان سوپریوزر، شناسه‌های این ساختار (مثل UID و GID) برابر با صفر است.

​هکر با استفاده از ابزار خواندن خود، شروع به جستجو در لیست تمام پروسس‌های فعال کرنل (init_task_list_head) می‌کند تا برنامه خودش را پیدا کند.

​به محض پیدا کردن برنامه خود، با ابزار نوشتن وارد عمل می‌شود و تمام شناسه‌های امنیتی شیء cred برنامه خود را پاک کرده و به صفر تغییر می‌دهد! به همین سادگی، سیستم‌عامل فریب می‌خورد و فکر می‌کند این برنامه معمولی، همان رئیس بزرگ یا کاربر روت است. اما هنوز یک لایه محافظتی سرسخت باقی مانده است: SELinux! 👇

​🆔 @androidSec_fa

​#Rooting #PrivilegeEscalation #KernelExploit #AndroidSecurity #Part7

تیر خلاص؛ چطور SELinux را فلج کنیم؟ (بخش هشتم: خلع سلاح نگهبان)

​حتی اگر شما در اندروید دسترسی روت (Root) داشته باشید، یک نگهبان بسیار سختگیر و بی‌رحم به نام SELinux بالای سر شما ایستاده است.

​💡 اصطلاح کاربردی: SELinux چیست؟

مخفف Security-Enhanced Linux است. این لایه امنیتی یک قانون دارد:

«حتی اگر روت هستید، حق ندارید کارهای خارج از تعریف خود را انجام دهید».

ویژگی SELinux معمولاً جلوی اکسپلویت‌ها را حتی بعد از روت شدن می‌گیرد.

​اما هکری که دسترسی کامل به خواندن و نوشتن حافظه کرنل دارد را هیچ چیز نمی‌تواند متوقف کند. هکرها به جای اینکه تلاش کنند SELinux را متقاعد کنند، تصمیم گرفتند مغز آن را دستکاری کنند!

​آن‌ها با ابزار نوشتن خود سراغ جدول تصمیم‌گیری‌های SELinux (معروف به AVC Decision Mapping) در حافظه کرنل رفتند و تمام قوانین آن را پاک کردند. سپس حافظه پنهان یا کاشِ (Cache) تصمیمات امنیتی آن را کاملاً فلش (پاکسازی) کردند.

​نتیجه؟

نگهبان سختگیر سیستم‌عامل (SELinux) عملاً کور و فلج شد و دیگر هیچ درخواستی را رد نمی‌کرد. این تکنیک بی‌نظیر که از یک باگ کاشی‌کاری گرافیکی شروع شد و به روت کامل دستگاه ختم شد، Tile-based Deferred Rooting نام دارد! گوشی حالا کاملاً و ۱۰۰٪ در اختیار هکر است.

​در پست آخر، جمع‌بندی نهایی و لینک مقاله اصلی را قرار داده‌ام. 👇

​🆔 @androidSec_fa

​#SELinux #AndroidSecurity #ExploitChain #KernelDefense #Part8

جمع‌بندی نهایی و لینک مقاله اصلی (بخش پایانی)

​این تحقیق شاهکار که در کنفرانس OffensiveCon 2026 ارائه شد، توسط شینگیو جین (Xingyu Jin) و مارتین بوگارد (Martijn Bogaard) از تیم درخشان قرمز اندروید گوگل انجام شده است.

​چه چیزهایی از این زنجیره باگ یاد گرفتیم؟

۱. فهمیدیم که چطور یک اشتباه کوچک در پیکربندی حافظه موقت پردازنده گرافیکی (GPU) می‌تواند به سخت‌افزار اجازه دهد سیستم امنیتی کنترل حافظه را دور بزند.

۲. یاد گرفتیم که هکرهای پیشرفته چطور با ترکیب کردن چند تکنیک (دور زدن KASLR، پچ کردن توابع کرنل و دستکاری ساختار cred) یک باگ کوچک را به کنترل کامل گوشی تبدیل می‌کنند.

​⚠️ آیا گوشی ما در خطر است؟

خوشبختانه به هیچ وجه! این اکسپلویت و زنجیره باگ روی یک نسخه آزمایشی داخلی و آزمایشگاهی (Internal test build) پیاده‌سازی شده بود. تیم امنیتی گوگل و شرکت Imagination Technologies خیلی قبل از اینکه این مقاله و اسلایدها به صورت عمومی منتشر شوند، وصله‌ها و پچ‌های امنیتی آن را تولید و برای تمام گوشی‌ها فرستادند. بنابراین تمام دستگاه‌های موجود در بازار امن هستند.

​اگر به مباحث مهندسی معکوس، کدهای اسمبلی سخت‌افزاری و جزئیات دقیق‌تر ساختار حافظه این باگ علاقه‌مندید، حتماً اسلایدهای رسمی این ارائه را از لینک زیر دانلود و مطالعه کنید:

​🔗 لینک دانلود مستقیم اسلایدهای مقاله در وب‌سایت گوگل:

https://androidoffsec.withgoogle.com/slides/art_imagination_gpu_offensivecon_2026.pdf

​امیدوارم این سلسله پست‌های آموزشی گام‌به‌گام برای شما مفید بوده باشد.🔥

​🆔 @androidSec_fa

​#AndroidSecurity #CyberSecurity #OffensiveCon2026 #GoogleRedTeam #TheEnd

دور زدن سیستم‌های بزرگ انقدرها هم سخت نیست😂😂

معما چو حل گشت آسان شود.

ID: @androidSec_fa

🚨 کشف یک تروجان جدید و بسیار پیشرفته اندروید: Glitch SPY RAT 🚨

کارشناسان امنیتی شرکت Cyble گزارش فنی مفصلی از یک بدافزار نوظهور و فوق‌العاده خطرناک به نام Glitch SPY منتشر کرده‌اند که کاربران سیستم‌عامل اندروید را هدف قرار داده است. این بدافزار با اهداف جاسوسی، سرقت اطلاعات حساس و کلاهبرداری‌های مالی طراحی شده و به صورت فعال در حال توسعه است.

🔹 نحوه انتشار و فریب کاربران:

مهاجمان سایبری با راه‌اندازی یک وب‌سایت جعلی به نام Tutaj Dom (پلتفرم لهستانی اجاره خانه بدون واسطه)، کاربران را فریب می‌دهند تا یک فایل APK را دانلود کنند.

این فایل در ابتدا یک لودر جعلی (Brokewell) است که با نمایش صفحه به‌روزرسانی دروغین، کاربر را متقاعد می‌کند تا اجازه نصب از منابع ناشناس را صادر کند و سپس پی‌لود اصلی Glitch SPY را روی دستگاه می‌نشاند.

🔹 سوءاستفاده از Accessibility Service:

به محض نصب، بدافزار اصرار به فعال‌سازی خدمات دسترسی‌پذیری (Accessibility) دارد. با فعال شدن این بخش، بدافزار کنترل رابط کاربری را کاملاً به دست می‌گیرد؛ مجوزها را خودکار تایید می‌کند، محتوای متنی صفحه (شامل پیامک‌ها و کدهای OTP) را می‌خواند و حتی مانع از پاک کردن (Uninstall) خود توسط کاربر می‌شود.

🔹 قابلیت‌های جاسوسی و سرقت اطلاعات (بیش از ۷۰ فرمان پنهان):

* استریم زنده و اسکرین‌شات: مهاجم می‌تواند صفحه نمایش گوشی را به صورت زنده مشاهده کرده یا صفحه را از دید قربانی مخفی کند.

* شنود محیطی: دسترسی و استریم پنهانی دوربین و میکروفون دستگاه.

* سرقت اطلاعات شخصی: دسترسی کامل به پیامک‌ها، لیست مخاطبین، تاریخچه تماس‌ها و موقعیت مکانی لحظه‌ای.

* کیلاگر پنهان: ثبت و ضبط تمام کلیدهای لمس‌شده توسط کاربر از جمله رمزهای عبور.

* باج‌افزار مخفی: رمزگذاری فایل‌های حافظه گوشی با الگوریتم AES و حذف ایمن نسخه اصلی برای عدم بازگشت فایل.
* بای‌پاس قفل: سرقت پترن، پین و رمز عبور گوشی و سرکوب پاپ‌آپ‌های بیومتریک (اثر انگشت) جهت اجبار سیستم به fallback روی پین.

🔹 ماژول مخرب مالی (Crypto Clipper):

این بدافزار به طور مداوم کلیپ‌بورد (حافظه موقت کپی متن) را رصد می‌کند.

اگر کاربر آدرس ولت دیجیتال (فرمت‌های ETH/EVM، TRON، Bitcoin legacy و Bech32) را کپی کند، بدافزار فوراً آن را با آدرس متعلق به هکر جایگزین می‌کند تا انتقال وجه به حساب مهاجم انجام شود.

🔹 مرورگر کنترل از راه دور پنهان (Remote Browser):

مهاجم می‌تواند یک پنجره مرورگر مخفی (WebView) را در پس‌زمینه گوشی باز کرده و تراکنش‌ها یا فرآیند تصاحب حساب (Account Takeover) را دقیقاً از داخل گوشی قربانی و با آی‌پی واقعی و کوکی‌های فعال او انجام دهد! این کار باعث می‌شود سیستم‌های ضدتقلب بانک‌ها یا صرافی‌ها به این اتصال مشکوک نشوند.

⚠️ توصیه‌های امنیتی:

۱- اپلیکیشن‌ها را صرفاً از منابع رسمی نظیر Google Play Store دانلود کنید.

۲- به هیچ عنوان مجوزهای حساسی مانند Accessibility Service یا Install Unknown Apps را به برنامه‌های متفرقه ندهید.

۳- قابلیت Google Play Protect را همیشه روشن نگه دارید.

📝 مطالعه متن کامل گزارش فنی در سایت Cyble:

🔗 https://cyble.com/blog/glitch-spy-rat-distributed-via-fake-polish-app/

📢 کانال تخصصی امنیت اندروید:

🆔 @androidSec_fa

#Android #CyberSecurity #Malware #RAT #GlitchSPY #CryptoClipper #AndroidSecurity #امنیت_سایبری #بدافزار #اندروید

آشنایی با کلان‌خطای CVE-2025-27363 و زنجیره حمله Zero-Click

​🔥 کالبدشکافی یک آسیب‌پذیری بحرانی؛ چگونه یک فونت بدون نیاز به کلیک، جاسوس‌افزار تحویل می‌دهد!

​آسیب‌پذیری CVE-2025-27363 یکی از خطرناک‌ترین باگ‌های زیرساختی اخیر در سیستم‌عامل اندروید است که در کتابخانه مدیریت فونت FreeType (نسخه 2.13.0) کشف شده است. این باگ به هکرها اجازه می‌دهد بدون نیاز به هیچ‌گونه تعامل از سوی کاربر (Zero-Click)، کنترل کامل دستگاه را به دست بگیرند.

​📌 موتور FreeType چیست و چرا این باگ انقدر خطرناک است؟

این کتابخانه وظیفه تبدیل بایت‌های فایل‌های فونت به پیکسل‌های قابل نمایش روی صفحه را دارد. از آنجا که FreeType در پس‌زمینه اندروید، مرورگر کرومیوم، PDFium و تمام پی‌دی‌اف‌خوان‌ها به طور خودکار اجرا می‌شود، در بالاترین سطح دسترسی سیستمی و بدون نیاز به تایید کاربر فعالیت می‌کند.

​🕵️‍♂️ زنجیره حمله در واتس‌اپ (WhatsApp) چگونه عمل می‌کرد؟

این باگ پیش از انتشار وصله رسمی، توسط اپراتورهای جاسوس‌افزارهای تجاری در حال بهره‌برداری فعال در دنیا بود:

1️⃣ مهاجم قربانی را به صورت یک‌طرفه به یک گروه واتس‌اپ اضافه می‌کند.

2️⃣ یک فایل PDF حاوی فونت متغیر (Variable Font) دست‌کاری شده ارسال می‌شود.

3️⃣ واتس‌اپ به محض دریافت پیام، برای نمایش پیش‌نمایش (Thumbnail)، موتور FreeType را فراخوانی می‌کند.

4️⃣ باگ در پس‌زمینه شلیک شده، حافظه تخریب می‌شود و هکر به دسترسی اجرای کد از راه دور (RCE) و در نهایت کنترل کامل دستگاه می‌رسد!

​در پست بعدی، به ریشه فنی این خطای محاسباتی در کدهای C و نحوه بازسازی دقیق این PoC خواهیم پرداخت. همراه ما باشید.

​🆔 @androidSec_fa

​#AndroidSecurity #CVE202527363 #FreeType #ZeroClick #Exploit #Vulnerability #WhatsApp

کالبدشکافی فنی و مدل بازسازی آسیب‌پذیری (PoC)

​🛠 ریشه فنی باگ CVE-2025-27363: وقتی ریاضیات کدهای C به نفع هکرها کار می‌کند!

​در این پست به سراغ ریشه محاسباتی خطای سرریز در فایل src/truetype/ttgload.c و نحوه تحریک آن می‌رویم.

​📐 ریاضیات سرریز (Signed-Short Truncation):

در مسیر پردازش فونت‌های متغیر (GX_VAR_SUPPORT)، برنامه تعداد زیر-گلیف‌های یک فونت ترکیبی را می‌خواند.

​مهاجم تعداد این اجزا را برابر با عدد 0xFFFD (معادل 65,533) قرار می‌دهد.

​کد برنامه این مقدار را به یک عدد ۱۶ بیتی علامت‌دار (FT_Short) تبدیل می‌کند که باعث می‌شود این عدد بزرگ به ۳- تبدیل شود!

​فرمول تخصیص حافظه برای نقاط فرضی فونت limit + 4 است؛ در نتیجه:
1 = 4 + 3-.

​کتابخانه FreeType به جای فضای بزرگ، تنها حافظه‌ای به اندازه ۱ اسلات (۱۶ بایت) اختصاص می‌دهد (FT_NEW_ARRAY).

​اما در خطوط بعدی، برنامه اقدام به نوشتن ۴ اسلات داده می‌کند! اسلات اول درون محدوده است ولی ۳ اسلات بعدی داده‌های کنترل‌شده توسط هکر را دقیقاً ۱۶، ۳۲ و ۴۸ بایت خارج از محدوده مجاز حافظه هیپ (OOB Write) بازنویسی می‌کنند.

​📝 مدل کد لایه C برای اجرای تریگر (Harness PoC):

با بارگذاری فونت دست‌کاری شده به عنوان Named Instance، اولین فراخوانی تابع رندر فونت، باگ را شلیک می‌کند:

// تریگر کردن باگ در زمان بارگذاری فونت مخرب
FT_Long face_index = (1L << 16) | 0L; 
err = FT_New_Face(lib, font_path, face_index, &face);

// فراخوانی گلیف شماره ۲ (کامپوزیت مخرب) و وقوع کرش
err = FT_Load_Glyph(face, 2, FT_LOAD_DEFAULT);

در تست‌های آزمایشگاهی روی گوشی Galaxy S20+ با فعال‌سازی ابزار AddressSanitizer (ASAN)، خطای heap-buffer-overflow دقیقاً در خط ۱۹۲۹ لایه ttgload.c و روی بایت‌های ممنوعه حافظه (Redzone) با موفقیت تأیید و ثبت شد.

​در پست آخر، ابعاد فاجعه‌بار عدم دریافت آپدیت برای ۱ میلیارد دستگاه و راه‌حل رفع آن را بررسی می‌کنیم.

​🆔 @androidSec_fa

​#AndroidSecurity #FreeType #ExploitDev #PoC #AddressSanitizer #HeapOverflow #ReverseEngineering

وضعیت آپدیت دستگاه‌ها و چالش مرگبار گوشی‌های EOL

​🛑 ابعاد فاجعه امنیتی: ۱ میلیارد دستگاه اندرویدی برای همیشه بدون وصله و آسیب‌پذیر باقی می‌مانند!

​در این پست پایانی، به بررسی سیستم‌های تحت تاثیر و راهکار رفع آسیب‌پذیری CVE-2025-27363 می‌پردازیم.

​📊 وضعیت دستگاه‌های اندروید و iOS:

​اندرویدهای ۱۴ و ۱۵: در به‌روزرسانی مه ۲۰۲۵ (Patch Level 2025-05-05) این باگ را وصله کرده‌اند.

​اندروید ۱۳: پیش از پایان عمر پشتیبانی خود وصله شد.

​اندروید ۱۲ و پایین‌تر (حدود ۳۵٪ کل دستگاه‌های فعال جهان): به دلیل پایان عمر پشتیبانی (EOL)، این آپدیت را دریافت نخواهند کرد. از آنجا که FreeType جزو ماژول‌های گوگل‌پلی (Mainline) نیست، این دستگاه‌ها (مانند سری گلکسی S20 سامسونگ که آخرین آپدیت خود را در مارس ۲۰۲۵ گرفتند) برای همیشه به این حمله Zero-Click آسیب‌پذیر خواهند بود.
​اکوسیستم iOS: خود سیستم‌عامل از FreeType استفاده نمی‌کند و مصون است؛ اما اپلیکیشن‌ها و بازی‌های شخص ثالث (مثلاً بازی‌های ساخته شده با موتور Unity نسخه‌های قدیمی‌تر) که این کتابخانه را به طور مستقل در خود دارند، همچنان روی iOS آسیب‌پذیر هستند.

​✅ وصله ایمن در نسخه جدید (The Fix):

در نسخه‌های جدید FreeType (نسخه 2.13.1 به بعد)، قبل از تخصیص حافظه یک Bounds Check دقیق با ماکروی ایمن FT_QNEW_ARRAY اضافه شده است که جلوی سرریز و کوتاه شدن امضای عدد را به طور کامل می‌گیرد.

​💡 درس کلیدی برای پژوهشگران:

حملات بدون کلیک (Zero-Click) ربطی به جادویی بودن باگ ندارند، بلکه به محیط اجرای باگ وابسته‌اند. اجرای خودکار رندر فونت در پس‌زمینه پیام‌رسان‌ها و سرویس‌های پیش‌نمایش سیستم‌عامل، یک باگ محلی حافظه را به یک سلاح سایبری خطرناک تبدیل می‌کند.

​🔗 مطالعه متن کامل و جزئیات بیشتر این مقاله فوق‌العاده در وب‌سایت منبع:

https://www.mobilehackinglab.com/blog/cve-2025-27363-freetype-oob-write?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511

​🆔 @androidSec_fa

​#AndroidSecurity #PatchManagement #CyberSecurity #MobileHacking #FreeType #Infosec #iOS

​📥 [پست ۱ از ۳] — شروع طوفانی با هک Gaming Hub

​🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 در مسابقات Pwn2Own 2024 (بخش اول)

​چگونه هکرها توانستند با ترکیب ۵ باگ امنیتی در ۴ برنامه مختلف، کنترل کامل پرچمدار سامسونگ را به دست بگیرند؟

بیایید مرحله به مرحله وارد منطق فنی این حمله (Attack Chain) شویم.

​📍 گام اول: ورود از گیت آسیب‌پذیر Gaming Hub

برنامه Gaming Hub سامسونگ (نسخه 7.1.01.7 یا پایین‌تر) دارای یک اکتیویتی عمومی به نام MainActivity است که هر برنامه‌ای (حتی یک لینک در مرورگر) می‌تواند آن را صدا بزند. این برنامه لینک‌ها را به کلاس GmpDeepLinkUtil می‌فرستد تا در یک صفحه وب داخلی (WebView) باز کند.

​باگ اول (CVE-2024-49419): این برنامه بدون هیچ اعتبارسنجی اولیه، هر لینکی که در پارامتر url قرار بگیرد را کورکورانه در WebView لود می‌کند!

​باگ دوم (CVE-2024-49418):

سامسونگ برای امنیت، تابعی به نام F(String) ساخته بود تا بررسی کند آیا سایت لود شده متعلق به خود سامسونگ است یا خیر، تا فقط برای دامنه‌های رسمی جاوا اسکریپت (JS) را فعال کند. این تابع بررسی می‌کرد که آدرس با دامنه‌ای مثل https://us.mcsvc.samsung.com شروع شود، اما برنامه‌نویس فراموش کرده بود کاراکتر اسلش (/) را به انتهای شرط اضافه کند!

​تکنیک مهاجم: هکر دامنه‌ای به این شکل ثبت کرد:
https://us.mcsvc.samsung.com.attacker.com. سیستم سامسونگ گمراه شد و چون آدرس با عبارت مجاز شروع شده بود، جاوا اسکریپت را با بالاترین دسترسی در WebView فعال کرد!

​📍 گام دوم: تبدیل WebView به ریموت کنترل گوشی

حالا سایت هکر درون گوشی قربانی باز شده و جاوا اسکریپت هم فعال است.

​باگ سوم (CVE-2024-49420): برنامه Gaming Hub یک ردیاب به نام shouldOverrideUrlLoading دارد. اگر سایت هکر یک ریدایرکت به یک پروتکل intent:// بفرستد، این تابع بدون هیچ بررسی امنیتی، آن را به سیستم‌عامل اندروید می‌فرستد تا اجرا شود. از این لحظه، سایت هکر می‌تواند دستور اجرای اکتیویتی‌های برنامه‌های دیگر گوشی را صادر کند!

​👇 ادامه‌ی این زنجیره هیجان‌انگیز را در پست بعدی بخوانید...

​📢 @androidSec_fa

#Android #Security #Samsung #Pwn2Own #Exploit #Vulnerability

[پست ۲ از ۳] — دور زدن فیلترها و جاسازی بدافزار

​🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم)

​در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود.

​📍 گام سوم: سرقت فایل در هوا با Quick Share
هکر با استفاده از ریموت کنترلی که به دست آورده (باگ ۳)، برنامه Quick Share سامسونگ و اکتیویتیِ QrCodeAppLinkActivity آن را صدا می‌زند و آدرس یک کد QR فیک را به برنامه قالب می‌کند.

این اکتیویتی طوری طراحی شده که برای راحتی کاربر، سریعاً و بدون معطلی به دستگاه فرستنده متصل شود. در نتیجه، گوشی قربانی در پس‌زمینه و بدون نیاز به هیچ تایید یا اجازه کاربر، به گوشی مهاجم (که نزدیک اوست) وصل شده و فایل مخرب yay.apk را دانلود می‌کند!

​📍 گام چهارم: فرار از زندان فایل‌ها (Path Traversal)

در حالت عادی، فایل‌ها باید در پوشه امن دانلود ذخیره شوند. اما در پشت صحنه، اطلاعات فایل به صورت متنی (JSON) جابه‌جا می‌شود. مهاجم با ابزار Frida پیام خروجی گوشی خود را دستکاری کرده و مقدار یک فیلد خاص را تغییر می‌دهد:

"IsPrivateShare": true

​باگ چهارم (CVE-2024-49421): در برنامه Quick Share Agent قربانی، تابعی برای فیلتر و پاکسازی مسیر فایل وجود دارد. اما یک شرط عجیب در کد نوشته شده: اگر فرستنده ادعا کند انتقال از نوع "PrivateShare" (اشتراک‌گذاری امن) است، برنامه سامسونگ به طور کامل فیلترهای امنیتی مسیر فایل را غیرفعال می‌کند!

​نتیجه: هکر از کاراکترهای بازگشت به عقب (../) در آدرس فایل استفاده می‌کند و فایل مخرب از پوشه دانلود فرار کرده و در پوشه اختصاصی یک برنامه سیستمی دیگر به نام GPUWatch جاسازی می‌شود!

​👇 در پست بعدی، تیر خلاص و فاز نهایی حمله را ببینید...

​📢 @androidSec_fa

#Android #Security #Samsung #QuickShare #PathTraversal