اندروید | امنیت و هک
چشم‌انداز کامل؛ کور کردن سیستم امنیتی (بخش ششم: خواندن دلخواه) داشتن قدرت نوشتن در حافظه عالی است، اما اگر نتوانید حافظه را بخوانید، مثل نابینایی هستید که اسلحه دارد اما نمی‌داند به کجا شلیک کند! هکرها برای کنترل کامل به ابزاری برای «خواندن هر کجای حافظه…
فروپاشی پادشاهی اندروید؛ فتح قله روت (بخش هفتم: تغییر اعتبارات)
به فاز نهایی زنجیره اکسپلویت رسیدیم.
هکر اکنون دو ابزار فوق‌العاده قدرتمند دارد:
خواندن و نوشتن بی‌قید و شرط در تمام حافظه کرنل سیستم‌عامل. هدف نهایی چیست؟ به دست آوردن دسترسی Root (بالاترین سطح دسترسی در لینوکس و اندروید).
توجیه این بخش بسیار ساده و در عین حال هیجان‌انگیز است. در سیستم‌عامل اندروید، هر برنامه یا پروسسی که اجرا می‌شود، یک شیء یا ساختار داده به نام cred (مخفف Credentials یا اعتبارات) در حافظه کرنل دارد. این ساختار مشخص می‌کند که این برنامه چه کسی است و چقدر اجازه دارد دسترسی داشته باشد. برای کاربر Root یا همان سوپریوزر، شناسه‌های این ساختار (مثل UID و GID) برابر با صفر است.
هکر با استفاده از ابزار خواندن خود، شروع به جستجو در لیست تمام پروسس‌های فعال کرنل (init_task_list_head) می‌کند تا برنامه خودش را پیدا کند.
به محض پیدا کردن برنامه خود، با ابزار نوشتن وارد عمل می‌شود و تمام شناسه‌های امنیتی شیء cred برنامه خود را پاک کرده و به صفر تغییر می‌دهد! به همین سادگی، سیستم‌عامل فریب می‌خورد و فکر می‌کند این برنامه معمولی، همان رئیس بزرگ یا کاربر روت است. اما هنوز یک لایه محافظتی سرسخت باقی مانده است: SELinux! 👇
🆔 @androidSec_fa
#Rooting #PrivilegeEscalation #KernelExploit #AndroidSecurity #Part7
به فاز نهایی زنجیره اکسپلویت رسیدیم.
هکر اکنون دو ابزار فوق‌العاده قدرتمند دارد:
خواندن و نوشتن بی‌قید و شرط در تمام حافظه کرنل سیستم‌عامل. هدف نهایی چیست؟ به دست آوردن دسترسی Root (بالاترین سطح دسترسی در لینوکس و اندروید).
توجیه این بخش بسیار ساده و در عین حال هیجان‌انگیز است. در سیستم‌عامل اندروید، هر برنامه یا پروسسی که اجرا می‌شود، یک شیء یا ساختار داده به نام cred (مخفف Credentials یا اعتبارات) در حافظه کرنل دارد. این ساختار مشخص می‌کند که این برنامه چه کسی است و چقدر اجازه دارد دسترسی داشته باشد. برای کاربر Root یا همان سوپریوزر، شناسه‌های این ساختار (مثل UID و GID) برابر با صفر است.
هکر با استفاده از ابزار خواندن خود، شروع به جستجو در لیست تمام پروسس‌های فعال کرنل (init_task_list_head) می‌کند تا برنامه خودش را پیدا کند.
به محض پیدا کردن برنامه خود، با ابزار نوشتن وارد عمل می‌شود و تمام شناسه‌های امنیتی شیء cred برنامه خود را پاک کرده و به صفر تغییر می‌دهد! به همین سادگی، سیستم‌عامل فریب می‌خورد و فکر می‌کند این برنامه معمولی، همان رئیس بزرگ یا کاربر روت است. اما هنوز یک لایه محافظتی سرسخت باقی مانده است: SELinux! 👇
🆔 @androidSec_fa
#Rooting #PrivilegeEscalation #KernelExploit #AndroidSecurity #Part7
👍3
اندروید | امنیت و هک
فروپاشی پادشاهی اندروید؛ فتح قله روت (بخش هفتم: تغییر اعتبارات) به فاز نهایی زنجیره اکسپلویت رسیدیم. هکر اکنون دو ابزار فوق‌العاده قدرتمند دارد: خواندن و نوشتن بی‌قید و شرط در تمام حافظه کرنل سیستم‌عامل. هدف نهایی چیست؟ به دست آوردن دسترسی Root (بالاترین…
تیر خلاص؛ چطور SELinux را فلج کنیم؟ (بخش هشتم: خلع سلاح نگهبان)
حتی اگر شما در اندروید دسترسی روت (Root) داشته باشید، یک نگهبان بسیار سختگیر و بی‌رحم به نام SELinux بالای سر شما ایستاده است.
💡 اصطلاح کاربردی: SELinux چیست؟
مخفف Security-Enhanced Linux است. این لایه امنیتی یک قانون دارد:
«حتی اگر روت هستید، حق ندارید کارهای خارج از تعریف خود را انجام دهید».
ویژگی SELinux معمولاً جلوی اکسپلویت‌ها را حتی بعد از روت شدن می‌گیرد.
اما هکری که دسترسی کامل به خواندن و نوشتن حافظه کرنل دارد را هیچ چیز نمی‌تواند متوقف کند. هکرها به جای اینکه تلاش کنند SELinux را متقاعد کنند، تصمیم گرفتند مغز آن را دستکاری کنند!
آن‌ها با ابزار نوشتن خود سراغ جدول تصمیم‌گیری‌های SELinux (معروف به AVC Decision Mapping) در حافظه کرنل رفتند و تمام قوانین آن را پاک کردند. سپس حافظه پنهان یا کاشِ (Cache) تصمیمات امنیتی آن را کاملاً فلش (پاکسازی) کردند.
نتیجه؟
نگهبان سختگیر سیستم‌عامل (SELinux) عملاً کور و فلج شد و دیگر هیچ درخواستی را رد نمی‌کرد. این تکنیک بی‌نظیر که از یک باگ کاشی‌کاری گرافیکی شروع شد و به روت کامل دستگاه ختم شد، Tile-based Deferred Rooting نام دارد! گوشی حالا کاملاً و ۱۰۰٪ در اختیار هکر است.
در پست آخر، جمع‌بندی نهایی و لینک مقاله اصلی را قرار داده‌ام. 👇
🆔 @androidSec_fa
#SELinux #AndroidSecurity #ExploitChain #KernelDefense #Part8
حتی اگر شما در اندروید دسترسی روت (Root) داشته باشید، یک نگهبان بسیار سختگیر و بی‌رحم به نام SELinux بالای سر شما ایستاده است.
💡 اصطلاح کاربردی: SELinux چیست؟
مخفف Security-Enhanced Linux است. این لایه امنیتی یک قانون دارد:
«حتی اگر روت هستید، حق ندارید کارهای خارج از تعریف خود را انجام دهید».
ویژگی SELinux معمولاً جلوی اکسپلویت‌ها را حتی بعد از روت شدن می‌گیرد.
اما هکری که دسترسی کامل به خواندن و نوشتن حافظه کرنل دارد را هیچ چیز نمی‌تواند متوقف کند. هکرها به جای اینکه تلاش کنند SELinux را متقاعد کنند، تصمیم گرفتند مغز آن را دستکاری کنند!
آن‌ها با ابزار نوشتن خود سراغ جدول تصمیم‌گیری‌های SELinux (معروف به AVC Decision Mapping) در حافظه کرنل رفتند و تمام قوانین آن را پاک کردند. سپس حافظه پنهان یا کاشِ (Cache) تصمیمات امنیتی آن را کاملاً فلش (پاکسازی) کردند.
نتیجه؟
نگهبان سختگیر سیستم‌عامل (SELinux) عملاً کور و فلج شد و دیگر هیچ درخواستی را رد نمی‌کرد. این تکنیک بی‌نظیر که از یک باگ کاشی‌کاری گرافیکی شروع شد و به روت کامل دستگاه ختم شد، Tile-based Deferred Rooting نام دارد! گوشی حالا کاملاً و ۱۰۰٪ در اختیار هکر است.
در پست آخر، جمع‌بندی نهایی و لینک مقاله اصلی را قرار داده‌ام. 👇
🆔 @androidSec_fa
#SELinux #AndroidSecurity #ExploitChain #KernelDefense #Part8
👍3
اندروید | امنیت و هک
تیر خلاص؛ چطور SELinux را فلج کنیم؟ (بخش هشتم: خلع سلاح نگهبان) حتی اگر شما در اندروید دسترسی روت (Root) داشته باشید، یک نگهبان بسیار سختگیر و بی‌رحم به نام SELinux بالای سر شما ایستاده است. 💡 اصطلاح کاربردی: SELinux چیست؟ مخفف Security-Enhanced Linux…
جمع‌بندی نهایی و لینک مقاله اصلی (بخش پایانی)
این تحقیق شاهکار که در کنفرانس OffensiveCon 2026 ارائه شد، توسط شینگیو جین (Xingyu Jin) و مارتین بوگارد (Martijn Bogaard) از تیم درخشان قرمز اندروید گوگل انجام شده است.
چه چیزهایی از این زنجیره باگ یاد گرفتیم؟
۱. فهمیدیم که چطور یک اشتباه کوچک در پیکربندی حافظه موقت پردازنده گرافیکی (GPU) می‌تواند به سخت‌افزار اجازه دهد سیستم امنیتی کنترل حافظه را دور بزند.
۲. یاد گرفتیم که هکرهای پیشرفته چطور با ترکیب کردن چند تکنیک (دور زدن KASLR، پچ کردن توابع کرنل و دستکاری ساختار cred) یک باگ کوچک را به کنترل کامل گوشی تبدیل می‌کنند.
⚠️ آیا گوشی ما در خطر است؟
خوشبختانه به هیچ وجه! این اکسپلویت و زنجیره باگ روی یک نسخه آزمایشی داخلی و آزمایشگاهی (Internal test build) پیاده‌سازی شده بود. تیم امنیتی گوگل و شرکت Imagination Technologies خیلی قبل از اینکه این مقاله و اسلایدها به صورت عمومی منتشر شوند، وصله‌ها و پچ‌های امنیتی آن را تولید و برای تمام گوشی‌ها فرستادند. بنابراین تمام دستگاه‌های موجود در بازار امن هستند.
اگر به مباحث مهندسی معکوس، کدهای اسمبلی سخت‌افزاری و جزئیات دقیق‌تر ساختار حافظه این باگ علاقه‌مندید، حتماً اسلایدهای رسمی این ارائه را از لینک زیر دانلود و مطالعه کنید:
🔗 لینک دانلود مستقیم اسلایدهای مقاله در وب‌سایت گوگل:
https://androidoffsec.withgoogle.com/slides/art_imagination_gpu_offensivecon_2026.pdf
امیدوارم این سلسله پست‌های آموزشی گام‌به‌گام برای شما مفید بوده باشد.🔥
🆔 @androidSec_fa
#AndroidSecurity #CyberSecurity #OffensiveCon2026 #GoogleRedTeam #TheEnd
این تحقیق شاهکار که در کنفرانس OffensiveCon 2026 ارائه شد، توسط شینگیو جین (Xingyu Jin) و مارتین بوگارد (Martijn Bogaard) از تیم درخشان قرمز اندروید گوگل انجام شده است.
چه چیزهایی از این زنجیره باگ یاد گرفتیم؟
۱. فهمیدیم که چطور یک اشتباه کوچک در پیکربندی حافظه موقت پردازنده گرافیکی (GPU) می‌تواند به سخت‌افزار اجازه دهد سیستم امنیتی کنترل حافظه را دور بزند.
۲. یاد گرفتیم که هکرهای پیشرفته چطور با ترکیب کردن چند تکنیک (دور زدن KASLR، پچ کردن توابع کرنل و دستکاری ساختار cred) یک باگ کوچک را به کنترل کامل گوشی تبدیل می‌کنند.
⚠️ آیا گوشی ما در خطر است؟
خوشبختانه به هیچ وجه! این اکسپلویت و زنجیره باگ روی یک نسخه آزمایشی داخلی و آزمایشگاهی (Internal test build) پیاده‌سازی شده بود. تیم امنیتی گوگل و شرکت Imagination Technologies خیلی قبل از اینکه این مقاله و اسلایدها به صورت عمومی منتشر شوند، وصله‌ها و پچ‌های امنیتی آن را تولید و برای تمام گوشی‌ها فرستادند. بنابراین تمام دستگاه‌های موجود در بازار امن هستند.
اگر به مباحث مهندسی معکوس، کدهای اسمبلی سخت‌افزاری و جزئیات دقیق‌تر ساختار حافظه این باگ علاقه‌مندید، حتماً اسلایدهای رسمی این ارائه را از لینک زیر دانلود و مطالعه کنید:
🔗 لینک دانلود مستقیم اسلایدهای مقاله در وب‌سایت گوگل:
https://androidoffsec.withgoogle.com/slides/art_imagination_gpu_offensivecon_2026.pdf
امیدوارم این سلسله پست‌های آموزشی گام‌به‌گام برای شما مفید بوده باشد.🔥
🆔 @androidSec_fa
#AndroidSecurity #CyberSecurity #OffensiveCon2026 #GoogleRedTeam #TheEnd
👍5
🚨 کشف یک تروجان جدید و بسیار پیشرفته اندروید: Glitch SPY RAT 🚨
کارشناسان امنیتی شرکت Cyble گزارش فنی مفصلی از یک بدافزار نوظهور و فوق‌العاده خطرناک به نام Glitch SPY منتشر کرده‌اند که کاربران سیستم‌عامل اندروید را هدف قرار داده است. این بدافزار با اهداف جاسوسی، سرقت اطلاعات حساس و کلاهبرداری‌های مالی طراحی شده و به صورت فعال در حال توسعه است.
🔹 نحوه انتشار و فریب کاربران:
مهاجمان سایبری با راه‌اندازی یک وب‌سایت جعلی به نام Tutaj Dom (پلتفرم لهستانی اجاره خانه بدون واسطه)، کاربران را فریب می‌دهند تا یک فایل APK را دانلود کنند.
این فایل در ابتدا یک لودر جعلی (Brokewell) است که با نمایش صفحه به‌روزرسانی دروغین، کاربر را متقاعد می‌کند تا اجازه نصب از منابع ناشناس را صادر کند و سپس پی‌لود اصلی Glitch SPY را روی دستگاه می‌نشاند.
🔹 سوءاستفاده از Accessibility Service:
به محض نصب، بدافزار اصرار به فعال‌سازی خدمات دسترسی‌پذیری (Accessibility) دارد. با فعال شدن این بخش، بدافزار کنترل رابط کاربری را کاملاً به دست می‌گیرد؛ مجوزها را خودکار تایید می‌کند، محتوای متنی صفحه (شامل پیامک‌ها و کدهای OTP) را می‌خواند و حتی مانع از پاک کردن (Uninstall) خود توسط کاربر می‌شود.
🔹 قابلیت‌های جاسوسی و سرقت اطلاعات (بیش از ۷۰ فرمان پنهان):
* استریم زنده و اسکرین‌شات: مهاجم می‌تواند صفحه نمایش گوشی را به صورت زنده مشاهده کرده یا صفحه را از دید قربانی مخفی کند.
* شنود محیطی: دسترسی و استریم پنهانی دوربین و میکروفون دستگاه.
* سرقت اطلاعات شخصی: دسترسی کامل به پیامک‌ها، لیست مخاطبین، تاریخچه تماس‌ها و موقعیت مکانی لحظه‌ای.
* کیلاگر پنهان: ثبت و ضبط تمام کلیدهای لمس‌شده توسط کاربر از جمله رمزهای عبور.
* باج‌افزار مخفی: رمزگذاری فایل‌های حافظه گوشی با الگوریتم AES و حذف ایمن نسخه اصلی برای عدم بازگشت فایل.
* بای‌پاس قفل: سرقت پترن، پین و رمز عبور گوشی و سرکوب پاپ‌آپ‌های بیومتریک (اثر انگشت) جهت اجبار سیستم به fallback روی پین.
🔹 ماژول مخرب مالی (Crypto Clipper):
این بدافزار به طور مداوم کلیپ‌بورد (حافظه موقت کپی متن) را رصد می‌کند.
اگر کاربر آدرس ولت دیجیتال (فرمت‌های ETH/EVM، TRON، Bitcoin legacy و Bech32) را کپی کند، بدافزار فوراً آن را با آدرس متعلق به هکر جایگزین می‌کند تا انتقال وجه به حساب مهاجم انجام شود.
🔹 مرورگر کنترل از راه دور پنهان (Remote Browser):
مهاجم می‌تواند یک پنجره مرورگر مخفی (WebView) را در پس‌زمینه گوشی باز کرده و تراکنش‌ها یا فرآیند تصاحب حساب (Account Takeover) را دقیقاً از داخل گوشی قربانی و با آی‌پی واقعی و کوکی‌های فعال او انجام دهد! این کار باعث می‌شود سیستم‌های ضدتقلب بانک‌ها یا صرافی‌ها به این اتصال مشکوک نشوند.
⚠️ توصیه‌های امنیتی:
۱- اپلیکیشن‌ها را صرفاً از منابع رسمی نظیر Google Play Store دانلود کنید.
۲- به هیچ عنوان مجوزهای حساسی مانند Accessibility Service یا Install Unknown Apps را به برنامه‌های متفرقه ندهید.
۳- قابلیت Google Play Protect را همیشه روشن نگه دارید.
📝 مطالعه متن کامل گزارش فنی در سایت Cyble:
🔗 https://cyble.com/blog/glitch-spy-rat-distributed-via-fake-polish-app/
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#Android #CyberSecurity #Malware #RAT #GlitchSPY #CryptoClipper #AndroidSecurity #امنیت_سایبری #بدافزار #اندروید
کارشناسان امنیتی شرکت Cyble گزارش فنی مفصلی از یک بدافزار نوظهور و فوق‌العاده خطرناک به نام Glitch SPY منتشر کرده‌اند که کاربران سیستم‌عامل اندروید را هدف قرار داده است. این بدافزار با اهداف جاسوسی، سرقت اطلاعات حساس و کلاهبرداری‌های مالی طراحی شده و به صورت فعال در حال توسعه است.
🔹 نحوه انتشار و فریب کاربران:
مهاجمان سایبری با راه‌اندازی یک وب‌سایت جعلی به نام Tutaj Dom (پلتفرم لهستانی اجاره خانه بدون واسطه)، کاربران را فریب می‌دهند تا یک فایل APK را دانلود کنند.
این فایل در ابتدا یک لودر جعلی (Brokewell) است که با نمایش صفحه به‌روزرسانی دروغین، کاربر را متقاعد می‌کند تا اجازه نصب از منابع ناشناس را صادر کند و سپس پی‌لود اصلی Glitch SPY را روی دستگاه می‌نشاند.
🔹 سوءاستفاده از Accessibility Service:
به محض نصب، بدافزار اصرار به فعال‌سازی خدمات دسترسی‌پذیری (Accessibility) دارد. با فعال شدن این بخش، بدافزار کنترل رابط کاربری را کاملاً به دست می‌گیرد؛ مجوزها را خودکار تایید می‌کند، محتوای متنی صفحه (شامل پیامک‌ها و کدهای OTP) را می‌خواند و حتی مانع از پاک کردن (Uninstall) خود توسط کاربر می‌شود.
🔹 قابلیت‌های جاسوسی و سرقت اطلاعات (بیش از ۷۰ فرمان پنهان):
* استریم زنده و اسکرین‌شات: مهاجم می‌تواند صفحه نمایش گوشی را به صورت زنده مشاهده کرده یا صفحه را از دید قربانی مخفی کند.
* شنود محیطی: دسترسی و استریم پنهانی دوربین و میکروفون دستگاه.
* سرقت اطلاعات شخصی: دسترسی کامل به پیامک‌ها، لیست مخاطبین، تاریخچه تماس‌ها و موقعیت مکانی لحظه‌ای.
* کیلاگر پنهان: ثبت و ضبط تمام کلیدهای لمس‌شده توسط کاربر از جمله رمزهای عبور.
* باج‌افزار مخفی: رمزگذاری فایل‌های حافظه گوشی با الگوریتم AES و حذف ایمن نسخه اصلی برای عدم بازگشت فایل.
* بای‌پاس قفل: سرقت پترن، پین و رمز عبور گوشی و سرکوب پاپ‌آپ‌های بیومتریک (اثر انگشت) جهت اجبار سیستم به fallback روی پین.
🔹 ماژول مخرب مالی (Crypto Clipper):
این بدافزار به طور مداوم کلیپ‌بورد (حافظه موقت کپی متن) را رصد می‌کند.
اگر کاربر آدرس ولت دیجیتال (فرمت‌های ETH/EVM، TRON، Bitcoin legacy و Bech32) را کپی کند، بدافزار فوراً آن را با آدرس متعلق به هکر جایگزین می‌کند تا انتقال وجه به حساب مهاجم انجام شود.
🔹 مرورگر کنترل از راه دور پنهان (Remote Browser):
مهاجم می‌تواند یک پنجره مرورگر مخفی (WebView) را در پس‌زمینه گوشی باز کرده و تراکنش‌ها یا فرآیند تصاحب حساب (Account Takeover) را دقیقاً از داخل گوشی قربانی و با آی‌پی واقعی و کوکی‌های فعال او انجام دهد! این کار باعث می‌شود سیستم‌های ضدتقلب بانک‌ها یا صرافی‌ها به این اتصال مشکوک نشوند.
⚠️ توصیه‌های امنیتی:
۱- اپلیکیشن‌ها را صرفاً از منابع رسمی نظیر Google Play Store دانلود کنید.
۲- به هیچ عنوان مجوزهای حساسی مانند Accessibility Service یا Install Unknown Apps را به برنامه‌های متفرقه ندهید.
۳- قابلیت Google Play Protect را همیشه روشن نگه دارید.
📝 مطالعه متن کامل گزارش فنی در سایت Cyble:
🔗 https://cyble.com/blog/glitch-spy-rat-distributed-via-fake-polish-app/
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#Android #CyberSecurity #Malware #RAT #GlitchSPY #CryptoClipper #AndroidSecurity #امنیت_سایبری #بدافزار #اندروید
Cyble
Glitch SPY: An Emerging Android RAT Distributed Through a Fake Polish Rental App
CRIL analyzes Glitch SPY, an Android RAT with 70+ commands, crypto-clipping, and a silent remote browser, giving attackers full device control.
👍3
آشنایی با کلان‌خطای CVE-2025-27363 و زنجیره حمله Zero-Click
🔥 کالبدشکافی یک آسیب‌پذیری بحرانی؛ چگونه یک فونت بدون نیاز به کلیک، جاسوس‌افزار تحویل می‌دهد!
آسیب‌پذیری CVE-2025-27363 یکی از خطرناک‌ترین باگ‌های زیرساختی اخیر در سیستم‌عامل اندروید است که در کتابخانه مدیریت فونت FreeType (نسخه 2.13.0) کشف شده است. این باگ به هکرها اجازه می‌دهد بدون نیاز به هیچ‌گونه تعامل از سوی کاربر (Zero-Click)، کنترل کامل دستگاه را به دست بگیرند.
📌 موتور FreeType چیست و چرا این باگ انقدر خطرناک است؟
این کتابخانه وظیفه تبدیل بایت‌های فایل‌های فونت به پیکسل‌های قابل نمایش روی صفحه را دارد. از آنجا که FreeType در پس‌زمینه اندروید، مرورگر کرومیوم، PDFium و تمام پی‌دی‌اف‌خوان‌ها به طور خودکار اجرا می‌شود، در بالاترین سطح دسترسی سیستمی و بدون نیاز به تایید کاربر فعالیت می‌کند.
🕵️♂️ زنجیره حمله در واتس‌اپ (WhatsApp) چگونه عمل می‌کرد؟
این باگ پیش از انتشار وصله رسمی، توسط اپراتورهای جاسوس‌افزارهای تجاری در حال بهره‌برداری فعال در دنیا بود:
1️⃣ مهاجم قربانی را به صورت یک‌طرفه به یک گروه واتس‌اپ اضافه می‌کند.
2️⃣ یک فایل PDF حاوی فونت متغیر (Variable Font) دستکاری شده ارسال می‌شود.
3️⃣ واتس‌اپ به محض دریافت پیام، برای نمایش پیش‌نمایش (Thumbnail)، موتور FreeType را فراخوانی می‌کند.
4️⃣ باگ در پس‌زمینه شلیک شده، حافظه تخریب می‌شود و هکر به دسترسی اجرای کد از راه دور (RCE) و در نهایت کنترل کامل دستگاه می‌رسد!
در پست بعدی، به ریشه فنی این خطای محاسباتی در کدهای C و نحوه بازسازی دقیق این PoC خواهیم پرداخت. همراه ما باشید.
🆔 @androidSec_fa
#AndroidSecurity #CVE202527363 #FreeType #ZeroClick #Exploit #Vulnerability #WhatsApp
🔥 کالبدشکافی یک آسیب‌پذیری بحرانی؛ چگونه یک فونت بدون نیاز به کلیک، جاسوس‌افزار تحویل می‌دهد!
آسیب‌پذیری CVE-2025-27363 یکی از خطرناک‌ترین باگ‌های زیرساختی اخیر در سیستم‌عامل اندروید است که در کتابخانه مدیریت فونت FreeType (نسخه 2.13.0) کشف شده است. این باگ به هکرها اجازه می‌دهد بدون نیاز به هیچ‌گونه تعامل از سوی کاربر (Zero-Click)، کنترل کامل دستگاه را به دست بگیرند.
📌 موتور FreeType چیست و چرا این باگ انقدر خطرناک است؟
این کتابخانه وظیفه تبدیل بایت‌های فایل‌های فونت به پیکسل‌های قابل نمایش روی صفحه را دارد. از آنجا که FreeType در پس‌زمینه اندروید، مرورگر کرومیوم، PDFium و تمام پی‌دی‌اف‌خوان‌ها به طور خودکار اجرا می‌شود، در بالاترین سطح دسترسی سیستمی و بدون نیاز به تایید کاربر فعالیت می‌کند.
🕵️♂️ زنجیره حمله در واتس‌اپ (WhatsApp) چگونه عمل می‌کرد؟
این باگ پیش از انتشار وصله رسمی، توسط اپراتورهای جاسوس‌افزارهای تجاری در حال بهره‌برداری فعال در دنیا بود:
1️⃣ مهاجم قربانی را به صورت یک‌طرفه به یک گروه واتس‌اپ اضافه می‌کند.
2️⃣ یک فایل PDF حاوی فونت متغیر (Variable Font) دستکاری شده ارسال می‌شود.
3️⃣ واتس‌اپ به محض دریافت پیام، برای نمایش پیش‌نمایش (Thumbnail)، موتور FreeType را فراخوانی می‌کند.
4️⃣ باگ در پس‌زمینه شلیک شده، حافظه تخریب می‌شود و هکر به دسترسی اجرای کد از راه دور (RCE) و در نهایت کنترل کامل دستگاه می‌رسد!
در پست بعدی، به ریشه فنی این خطای محاسباتی در کدهای C و نحوه بازسازی دقیق این PoC خواهیم پرداخت. همراه ما باشید.
🆔 @androidSec_fa
#AndroidSecurity #CVE202527363 #FreeType #ZeroClick #Exploit #Vulnerability #WhatsApp
👍3
کالبدشکافی فنی و مدل بازسازی آسیب‌پذیری (PoC)
🛠 ریشه فنی باگ CVE-2025-27363: وقتی ریاضیات کدهای C به نفع هکرها کار می‌کند!
در این پست به سراغ ریشه محاسباتی خطای سرریز در فایل src/truetype/ttgload.c و نحوه تحریک آن می‌رویم.
📐 ریاضیات سرریز (Signed-Short Truncation):
در مسیر پردازش فونت‌های متغیر (GX_VAR_SUPPORT)، برنامه تعداد زیر-گلیف‌های یک فونت ترکیبی را می‌خواند.
مهاجم تعداد این اجزا را برابر با عدد 0xFFFD (معادل 65,533) قرار می‌دهد.
کد برنامه این مقدار را به یک عدد ۱۶ بیتی علامت‌دار (FT_Short) تبدیل می‌کند که باعث می‌شود این عدد بزرگ به ۳- تبدیل شود!
فرمول تخصیص حافظه برای نقاط فرضی فونت limit + 4 است؛ در نتیجه:
1 = 4 + 3-.
کتابخانه FreeType به جای فضای بزرگ، تنها حافظه‌ای به اندازه ۱ اسلات (۱۶ بایت) اختصاص می‌دهد (FT_NEW_ARRAY).
اما در خطوط بعدی، برنامه اقدام به نوشتن ۴ اسلات داده می‌کند! اسلات اول درون محدوده است ولی ۳ اسلات بعدی داده‌های کنترل‌شده توسط هکر را دقیقاً ۱۶، ۳۲ و ۴۸ بایت خارج از محدوده مجاز حافظه هیپ (OOB Write) بازنویسی می‌کنند.
📝 مدل کد لایه C برای اجرای تریگر (Harness PoC):
با بارگذاری فونت دستکاری شده به عنوان Named Instance، اولین فراخوانی تابع رندر فونت، باگ را شلیک می‌کند:
در تست‌های آزمایشگاهی روی گوشی Galaxy S20+ با فعال‌سازی ابزار AddressSanitizer (ASAN)، خطای heap-buffer-overflow دقیقاً در خط ۱۹۲۹ لایه ttgload.c و روی بایت‌های ممنوعه حافظه (Redzone) با موفقیت تأیید و ثبت شد.
در پست آخر، ابعاد فاجعه‌بار عدم دریافت آپدیت برای ۱ میلیارد دستگاه و راه‌حل رفع آن را بررسی می‌کنیم.
🆔 @androidSec_fa
#AndroidSecurity #FreeType #ExploitDev #PoC #AddressSanitizer #HeapOverflow #ReverseEngineering
🛠 ریشه فنی باگ CVE-2025-27363: وقتی ریاضیات کدهای C به نفع هکرها کار می‌کند!
در این پست به سراغ ریشه محاسباتی خطای سرریز در فایل src/truetype/ttgload.c و نحوه تحریک آن می‌رویم.
📐 ریاضیات سرریز (Signed-Short Truncation):
در مسیر پردازش فونت‌های متغیر (GX_VAR_SUPPORT)، برنامه تعداد زیر-گلیف‌های یک فونت ترکیبی را می‌خواند.
مهاجم تعداد این اجزا را برابر با عدد 0xFFFD (معادل 65,533) قرار می‌دهد.
کد برنامه این مقدار را به یک عدد ۱۶ بیتی علامت‌دار (FT_Short) تبدیل می‌کند که باعث می‌شود این عدد بزرگ به ۳- تبدیل شود!
فرمول تخصیص حافظه برای نقاط فرضی فونت limit + 4 است؛ در نتیجه:
1 = 4 + 3-.
کتابخانه FreeType به جای فضای بزرگ، تنها حافظه‌ای به اندازه ۱ اسلات (۱۶ بایت) اختصاص می‌دهد (FT_NEW_ARRAY).
اما در خطوط بعدی، برنامه اقدام به نوشتن ۴ اسلات داده می‌کند! اسلات اول درون محدوده است ولی ۳ اسلات بعدی داده‌های کنترل‌شده توسط هکر را دقیقاً ۱۶، ۳۲ و ۴۸ بایت خارج از محدوده مجاز حافظه هیپ (OOB Write) بازنویسی می‌کنند.
📝 مدل کد لایه C برای اجرای تریگر (Harness PoC):
با بارگذاری فونت دستکاری شده به عنوان Named Instance، اولین فراخوانی تابع رندر فونت، باگ را شلیک می‌کند:
// تریگر کردن باگ در زمان بارگذاری فونت مخرب
FT_Long face_index = (1L << 16) | 0L;
err = FT_New_Face(lib, font_path, face_index, &face);
// فراخوانی گلیف شماره ۲ (کامپوزیت مخرب) و وقوع کرش
err = FT_Load_Glyph(face, 2, FT_LOAD_DEFAULT);
در تست‌های آزمایشگاهی روی گوشی Galaxy S20+ با فعال‌سازی ابزار AddressSanitizer (ASAN)، خطای heap-buffer-overflow دقیقاً در خط ۱۹۲۹ لایه ttgload.c و روی بایت‌های ممنوعه حافظه (Redzone) با موفقیت تأیید و ثبت شد.
در پست آخر، ابعاد فاجعه‌بار عدم دریافت آپدیت برای ۱ میلیارد دستگاه و راه‌حل رفع آن را بررسی می‌کنیم.
🆔 @androidSec_fa
#AndroidSecurity #FreeType #ExploitDev #PoC #AddressSanitizer #HeapOverflow #ReverseEngineering
👍3❤1
اندروید | امنیت و هک
کالبدشکافی فنی و مدل بازسازی آسیب‌پذیری (PoC) 🛠 ریشه فنی باگ CVE-2025-27363: وقتی ریاضیات کدهای C به نفع هکرها کار می‌کند! در این پست به سراغ ریشه محاسباتی خطای سرریز در فایل src/truetype/ttgload.c و نحوه تحریک آن می‌رویم. 📐 ریاضیات سرریز (Signed-Short…
وضعیت آپدیت دستگاه‌ها و چالش مرگبار گوشی‌های EOL
🛑 ابعاد فاجعه امنیتی: ۱ میلیارد دستگاه اندرویدی برای همیشه بدون وصله و آسیب‌پذیر باقی می‌مانند!
در این پست پایانی، به بررسی سیستم‌های تحت تاثیر و راهکار رفع آسیب‌پذیری CVE-2025-27363 می‌پردازیم.
📊 وضعیت دستگاه‌های اندروید و iOS:
اندرویدهای ۱۴ و ۱۵: در به‌روزرسانی مه ۲۰۲۵ (Patch Level 2025-05-05) این باگ را وصله کرده‌اند.
اندروید ۱۳: پیش از پایان عمر پشتیبانی خود وصله شد.
اندروید ۱۲ و پایین‌تر (حدود ۳۵٪ کل دستگاه‌های فعال جهان): به دلیل پایان عمر پشتیبانی (EOL)، این آپدیت را دریافت نخواهند کرد. از آنجا که FreeType جزو ماژول‌های گوگل‌پلی (Mainline) نیست، این دستگاه‌ها (مانند سری گلکسی S20 سامسونگ که آخرین آپدیت خود را در مارس ۲۰۲۵ گرفتند) برای همیشه به این حمله Zero-Click آسیب‌پذیر خواهند بود.
اکوسیستم iOS: خود سیستم‌عامل از FreeType استفاده نمی‌کند و مصون است؛ اما اپلیکیشن‌ها و بازی‌های شخص ثالث (مثلاً بازی‌های ساخته شده با موتور Unity نسخه‌های قدیمی‌تر) که این کتابخانه را به طور مستقل در خود دارند، همچنان روی iOS آسیب‌پذیر هستند.
✅ وصله ایمن در نسخه جدید (The Fix):
در نسخه‌های جدید FreeType (نسخه 2.13.1 به بعد)، قبل از تخصیص حافظه یک Bounds Check دقیق با ماکروی ایمن FT_QNEW_ARRAY اضافه شده است که جلوی سرریز و کوتاه شدن امضای عدد را به طور کامل می‌گیرد.
💡 درس کلیدی برای پژوهشگران:
حملات بدون کلیک (Zero-Click) ربطی به جادویی بودن باگ ندارند، بلکه به محیط اجرای باگ وابسته‌اند. اجرای خودکار رندر فونت در پس‌زمینه پیام‌رسان‌ها و سرویس‌های پیش‌نمایش سیستم‌عامل، یک باگ محلی حافظه را به یک سلاح سایبری خطرناک تبدیل می‌کند.
🔗 مطالعه متن کامل و جزئیات بیشتر این مقاله فوق‌العاده در وب‌سایت منبع:
https://www.mobilehackinglab.com/blog/cve-2025-27363-freetype-oob-write?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
🆔 @androidSec_fa
#AndroidSecurity #PatchManagement #CyberSecurity #MobileHacking #FreeType #Infosec #iOS
🛑 ابعاد فاجعه امنیتی: ۱ میلیارد دستگاه اندرویدی برای همیشه بدون وصله و آسیب‌پذیر باقی می‌مانند!
در این پست پایانی، به بررسی سیستم‌های تحت تاثیر و راهکار رفع آسیب‌پذیری CVE-2025-27363 می‌پردازیم.
📊 وضعیت دستگاه‌های اندروید و iOS:
اندرویدهای ۱۴ و ۱۵: در به‌روزرسانی مه ۲۰۲۵ (Patch Level 2025-05-05) این باگ را وصله کرده‌اند.
اندروید ۱۳: پیش از پایان عمر پشتیبانی خود وصله شد.
اندروید ۱۲ و پایین‌تر (حدود ۳۵٪ کل دستگاه‌های فعال جهان): به دلیل پایان عمر پشتیبانی (EOL)، این آپدیت را دریافت نخواهند کرد. از آنجا که FreeType جزو ماژول‌های گوگل‌پلی (Mainline) نیست، این دستگاه‌ها (مانند سری گلکسی S20 سامسونگ که آخرین آپدیت خود را در مارس ۲۰۲۵ گرفتند) برای همیشه به این حمله Zero-Click آسیب‌پذیر خواهند بود.
اکوسیستم iOS: خود سیستم‌عامل از FreeType استفاده نمی‌کند و مصون است؛ اما اپلیکیشن‌ها و بازی‌های شخص ثالث (مثلاً بازی‌های ساخته شده با موتور Unity نسخه‌های قدیمی‌تر) که این کتابخانه را به طور مستقل در خود دارند، همچنان روی iOS آسیب‌پذیر هستند.
✅ وصله ایمن در نسخه جدید (The Fix):
در نسخه‌های جدید FreeType (نسخه 2.13.1 به بعد)، قبل از تخصیص حافظه یک Bounds Check دقیق با ماکروی ایمن FT_QNEW_ARRAY اضافه شده است که جلوی سرریز و کوتاه شدن امضای عدد را به طور کامل می‌گیرد.
💡 درس کلیدی برای پژوهشگران:
حملات بدون کلیک (Zero-Click) ربطی به جادویی بودن باگ ندارند، بلکه به محیط اجرای باگ وابسته‌اند. اجرای خودکار رندر فونت در پس‌زمینه پیام‌رسان‌ها و سرویس‌های پیش‌نمایش سیستم‌عامل، یک باگ محلی حافظه را به یک سلاح سایبری خطرناک تبدیل می‌کند.
🔗 مطالعه متن کامل و جزئیات بیشتر این مقاله فوق‌العاده در وب‌سایت منبع:
https://www.mobilehackinglab.com/blog/cve-2025-27363-freetype-oob-write?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
🆔 @androidSec_fa
#AndroidSecurity #PatchManagement #CyberSecurity #MobileHacking #FreeType #Infosec #iOS
Mobilehackinglab
CVE-2025-27363: The FreeType Vulnerability That Turned Fonts Into Spyware Delivery — Mobile Hacking Lab
A signed-short truncation in FreeType ≤ 2.13.0 was actively exploited via WhatsApp PDF auto-preview to target journalists across 24 countries. We reproduced the crash on a real Samsung Galaxy S20+ with AddressSanitizer.
👍3
📥 [پست ۱ از ۳] — شروع طوفانی با هک Gaming Hub
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 در مسابقات Pwn2Own 2024 (بخش اول)
چگونه هکرها توانستند با ترکیب ۵ باگ امنیتی در ۴ برنامه مختلف، کنترل کامل پرچمدار سامسونگ را به دست بگیرند؟
بیایید مرحله به مرحله وارد منطق فنی این حمله (Attack Chain) شویم.
📍 گام اول: ورود از گیت آسیب‌پذیر Gaming Hub
برنامه Gaming Hub سامسونگ (نسخه 7.1.01.7 یا پایین‌تر) دارای یک اکتیویتی عمومی به نام MainActivity است که هر برنامه‌ای (حتی یک لینک در مرورگر) می‌تواند آن را صدا بزند. این برنامه لینک‌ها را به کلاس GmpDeepLinkUtil می‌فرستد تا در یک صفحه وب داخلی (WebView) باز کند.
باگ اول (CVE-2024-49419): این برنامه بدون هیچ اعتبارسنجی اولیه، هر لینکی که در پارامتر url قرار بگیرد را کورکورانه در WebView لود می‌کند!
باگ دوم (CVE-2024-49418):
سامسونگ برای امنیت، تابعی به نام F(String) ساخته بود تا بررسی کند آیا سایت لود شده متعلق به خود سامسونگ است یا خیر، تا فقط برای دامنه‌های رسمی جاوا اسکریپت (JS) را فعال کند. این تابع بررسی می‌کرد که آدرس با دامنه‌ای مثل https://us.mcsvc.samsung.com شروع شود، اما برنامه‌نویس فراموش کرده بود کاراکتر اسلش (/) را به انتهای شرط اضافه کند!
تکنیک مهاجم: هکر دامنه‌ای به این شکل ثبت کرد:
https://us.mcsvc.samsung.com.attacker.com. سیستم سامسونگ گمراه شد و چون آدرس با عبارت مجاز شروع شده بود، جاوا اسکریپت را با بالاترین دسترسی در WebView فعال کرد!
📍 گام دوم: تبدیل WebView به ریموت کنترل گوشی
حالا سایت هکر درون گوشی قربانی باز شده و جاوا اسکریپت هم فعال است.
باگ سوم (CVE-2024-49420): برنامه Gaming Hub یک ردیاب به نام shouldOverrideUrlLoading دارد. اگر سایت هکر یک ریدایرکت به یک پروتکل intent:// بفرستد، این تابع بدون هیچ بررسی امنیتی، آن را به سیستم‌عامل اندروید می‌فرستد تا اجرا شود. از این لحظه، سایت هکر می‌تواند دستور اجرای اکتیویتی‌های برنامه‌های دیگر گوشی را صادر کند!
👇 ادامه‌ی این زنجیره هیجان‌انگیز را در پست بعدی بخوانید...
📢 @androidSec_fa
#Android #Security #Samsung #Pwn2Own #Exploit #Vulnerability
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 در مسابقات Pwn2Own 2024 (بخش اول)
چگونه هکرها توانستند با ترکیب ۵ باگ امنیتی در ۴ برنامه مختلف، کنترل کامل پرچمدار سامسونگ را به دست بگیرند؟
بیایید مرحله به مرحله وارد منطق فنی این حمله (Attack Chain) شویم.
📍 گام اول: ورود از گیت آسیب‌پذیر Gaming Hub
برنامه Gaming Hub سامسونگ (نسخه 7.1.01.7 یا پایین‌تر) دارای یک اکتیویتی عمومی به نام MainActivity است که هر برنامه‌ای (حتی یک لینک در مرورگر) می‌تواند آن را صدا بزند. این برنامه لینک‌ها را به کلاس GmpDeepLinkUtil می‌فرستد تا در یک صفحه وب داخلی (WebView) باز کند.
باگ اول (CVE-2024-49419): این برنامه بدون هیچ اعتبارسنجی اولیه، هر لینکی که در پارامتر url قرار بگیرد را کورکورانه در WebView لود می‌کند!
باگ دوم (CVE-2024-49418):
سامسونگ برای امنیت، تابعی به نام F(String) ساخته بود تا بررسی کند آیا سایت لود شده متعلق به خود سامسونگ است یا خیر، تا فقط برای دامنه‌های رسمی جاوا اسکریپت (JS) را فعال کند. این تابع بررسی می‌کرد که آدرس با دامنه‌ای مثل https://us.mcsvc.samsung.com شروع شود، اما برنامه‌نویس فراموش کرده بود کاراکتر اسلش (/) را به انتهای شرط اضافه کند!
تکنیک مهاجم: هکر دامنه‌ای به این شکل ثبت کرد:
https://us.mcsvc.samsung.com.attacker.com. سیستم سامسونگ گمراه شد و چون آدرس با عبارت مجاز شروع شده بود، جاوا اسکریپت را با بالاترین دسترسی در WebView فعال کرد!
📍 گام دوم: تبدیل WebView به ریموت کنترل گوشی
حالا سایت هکر درون گوشی قربانی باز شده و جاوا اسکریپت هم فعال است.
باگ سوم (CVE-2024-49420): برنامه Gaming Hub یک ردیاب به نام shouldOverrideUrlLoading دارد. اگر سایت هکر یک ریدایرکت به یک پروتکل intent:// بفرستد، این تابع بدون هیچ بررسی امنیتی، آن را به سیستم‌عامل اندروید می‌فرستد تا اجرا شود. از این لحظه، سایت هکر می‌تواند دستور اجرای اکتیویتی‌های برنامه‌های دیگر گوشی را صادر کند!
👇 ادامه‌ی این زنجیره هیجان‌انگیز را در پست بعدی بخوانید...
📢 @androidSec_fa
#Android #Security #Samsung #Pwn2Own #Exploit #Vulnerability
👍4
اندروید | امنیت و هک
📥 [پست ۱ از ۳] — شروع طوفانی با هک Gaming Hub 🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 در مسابقات Pwn2Own 2024 (بخش اول) چگونه هکرها توانستند با ترکیب ۵ باگ امنیتی در ۴ برنامه مختلف، کنترل کامل پرچمدار سامسونگ را به دست بگیرند؟ بیایید مرحله به مرحله…
[پست ۲ از ۳] — دور زدن فیلترها و جاسازی بدافزار
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم)
در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود.
📍 گام سوم: سرقت فایل در هوا با Quick Share
هکر با استفاده از ریموت کنترلی که به دست آورده (باگ ۳)، برنامه Quick Share سامسونگ و اکتیویتیِ QrCodeAppLinkActivity آن را صدا می‌زند و آدرس یک کد QR فیک را به برنامه قالب می‌کند.
این اکتیویتی طوری طراحی شده که برای راحتی کاربر، سریعاً و بدون معطلی به دستگاه فرستنده متصل شود. در نتیجه، گوشی قربانی در پس‌زمینه و بدون نیاز به هیچ تایید یا اجازه کاربر، به گوشی مهاجم (که نزدیک اوست) وصل شده و فایل مخرب yay.apk را دانلود می‌کند!
📍 گام چهارم: فرار از زندان فایل‌ها (Path Traversal)
در حالت عادی، فایل‌ها باید در پوشه امن دانلود ذخیره شوند. اما در پشت صحنه، اطلاعات فایل به صورت متنی (JSON) جابه‌جا می‌شود. مهاجم با ابزار Frida پیام خروجی گوشی خود را دستکاری کرده و مقدار یک فیلد خاص را تغییر می‌دهد:
"IsPrivateShare": true
باگ چهارم (CVE-2024-49421): در برنامه Quick Share Agent قربانی، تابعی برای فیلتر و پاکسازی مسیر فایل وجود دارد. اما یک شرط عجیب در کد نوشته شده: اگر فرستنده ادعا کند انتقال از نوع "PrivateShare" (اشتراک‌گذاری امن) است، برنامه سامسونگ به طور کامل فیلترهای امنیتی مسیر فایل را غیرفعال می‌کند!
نتیجه: هکر از کاراکترهای بازگشت به عقب (../) در آدرس فایل استفاده می‌کند و فایل مخرب از پوشه دانلود فرار کرده و در پوشه اختصاصی یک برنامه سیستمی دیگر به نام GPUWatch جاسازی می‌شود!
👇 در پست بعدی، تیر خلاص و فاز نهایی حمله را ببینید...
📢 @androidSec_fa
#Android #Security #Samsung #QuickShare #PathTraversal
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم)
در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود.
📍 گام سوم: سرقت فایل در هوا با Quick Share
هکر با استفاده از ریموت کنترلی که به دست آورده (باگ ۳)، برنامه Quick Share سامسونگ و اکتیویتیِ QrCodeAppLinkActivity آن را صدا می‌زند و آدرس یک کد QR فیک را به برنامه قالب می‌کند.
این اکتیویتی طوری طراحی شده که برای راحتی کاربر، سریعاً و بدون معطلی به دستگاه فرستنده متصل شود. در نتیجه، گوشی قربانی در پس‌زمینه و بدون نیاز به هیچ تایید یا اجازه کاربر، به گوشی مهاجم (که نزدیک اوست) وصل شده و فایل مخرب yay.apk را دانلود می‌کند!
📍 گام چهارم: فرار از زندان فایل‌ها (Path Traversal)
در حالت عادی، فایل‌ها باید در پوشه امن دانلود ذخیره شوند. اما در پشت صحنه، اطلاعات فایل به صورت متنی (JSON) جابه‌جا می‌شود. مهاجم با ابزار Frida پیام خروجی گوشی خود را دستکاری کرده و مقدار یک فیلد خاص را تغییر می‌دهد:
"IsPrivateShare": true
باگ چهارم (CVE-2024-49421): در برنامه Quick Share Agent قربانی، تابعی برای فیلتر و پاکسازی مسیر فایل وجود دارد. اما یک شرط عجیب در کد نوشته شده: اگر فرستنده ادعا کند انتقال از نوع "PrivateShare" (اشتراک‌گذاری امن) است، برنامه سامسونگ به طور کامل فیلترهای امنیتی مسیر فایل را غیرفعال می‌کند!
نتیجه: هکر از کاراکترهای بازگشت به عقب (../) در آدرس فایل استفاده می‌کند و فایل مخرب از پوشه دانلود فرار کرده و در پوشه اختصاصی یک برنامه سیستمی دیگر به نام GPUWatch جاسازی می‌شود!
👇 در پست بعدی، تیر خلاص و فاز نهایی حمله را ببینید...
📢 @androidSec_fa
#Android #Security #Samsung #QuickShare #PathTraversal
👍4
اندروید | امنیت و هک
[پست ۲ از ۳] — دور زدن فیلترها و جاسازی بدافزار 🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم) در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود. 📍 گام سوم:…
[پست ۳ از ۳] — شلیک نهایی با Smart Switch و تسخیر کامل
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش پایانی)
فایل مخرب روی حافظه گوشی نشسته است، اما هنوز نصب و اجرا نشده است.
هکر چگونه زنجیره را کامل می‌کند؟
📍 گام پنجم: نصب مخفیانه توسط Smart Switch
هکر دوباره به برنامه Gaming Hub برمی‌گردد. این برنامه به دلیل مجوزهای سیستمی بالا، توانایی اجرای برنامه‌ها در پس‌زمینه را دارد. هدف بعدی هکر برنامه Smart Switch Agent (ابزار رسمی انتقال و نصب اپلیکیشن‌ها) است.
اکتیویتیِ نصب در این برنامه توسط یک مجوز اختصاصی محافظت می‌شود تا هر برنامه‌ای نتواند آن را باز کند، اما Gaming Hub این مجوز را دارد! Gaming Hub برنامه Smart Switch را باز کرده و آدرس فایل مخرب پنهان‌شده را از طریق بخش HtmlDumpProvider برنامه GPUWatch به آن می‌دهد.
باگ پنجم (CVE-2024-49413): برنامه Smart Switch فایل را برمی‌دارد و مستقیماً دستور نصب آن را صادر می‌کند، اما هیچ‌گونه بررسی امنیتی انجام نمی‌دهد که آیا این فایل از کجا آمده و آیا توسط توسعه‌دهندگان رسمی سامسونگ امضا (Sign) شده است یا خیر! در نتیجه فایل مخرب بدون هیچ هشداری روی گوشی نصب می‌شود.
🏁 پایان بازی: دسترسی کامل (Shell)
برنامه مخرب (ابزار Drozer) بدون اینکه کاربر روحش خبردار شود، نصب و بلافاصله اجرا می‌شود. این برنامه یک پورت مخفی (Bind Shell) روی گوشی باز می‌کند. هکر از راه دور به این پورت وصل شده و با دسترسی‌های سطح بالای سیستمی، کنترل کامل خط فرمان گوشی قربانی را به دست می‌گیرد!
دیواره دفاعی پرچمدار سامسونگ به همین راحتی و با تکیه بر زنجیره‌ای از خطاهای کوچک برنامه‌نویسان فرو می‌ریزد.
🌐 لینک مطالعه مقاله اصلی و کدهای اکسپلویت:
https://yogehi.github.io/published-research/pwn2own-ireland-2024-samsung-s24-attack-chain?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
📢 @androidSec_fa
#Android #Security #Samsung #SmartSwitch #Exploit #BugBounty
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش پایانی)
فایل مخرب روی حافظه گوشی نشسته است، اما هنوز نصب و اجرا نشده است.
هکر چگونه زنجیره را کامل می‌کند؟
📍 گام پنجم: نصب مخفیانه توسط Smart Switch
هکر دوباره به برنامه Gaming Hub برمی‌گردد. این برنامه به دلیل مجوزهای سیستمی بالا، توانایی اجرای برنامه‌ها در پس‌زمینه را دارد. هدف بعدی هکر برنامه Smart Switch Agent (ابزار رسمی انتقال و نصب اپلیکیشن‌ها) است.
اکتیویتیِ نصب در این برنامه توسط یک مجوز اختصاصی محافظت می‌شود تا هر برنامه‌ای نتواند آن را باز کند، اما Gaming Hub این مجوز را دارد! Gaming Hub برنامه Smart Switch را باز کرده و آدرس فایل مخرب پنهان‌شده را از طریق بخش HtmlDumpProvider برنامه GPUWatch به آن می‌دهد.
باگ پنجم (CVE-2024-49413): برنامه Smart Switch فایل را برمی‌دارد و مستقیماً دستور نصب آن را صادر می‌کند، اما هیچ‌گونه بررسی امنیتی انجام نمی‌دهد که آیا این فایل از کجا آمده و آیا توسط توسعه‌دهندگان رسمی سامسونگ امضا (Sign) شده است یا خیر! در نتیجه فایل مخرب بدون هیچ هشداری روی گوشی نصب می‌شود.
🏁 پایان بازی: دسترسی کامل (Shell)
برنامه مخرب (ابزار Drozer) بدون اینکه کاربر روحش خبردار شود، نصب و بلافاصله اجرا می‌شود. این برنامه یک پورت مخفی (Bind Shell) روی گوشی باز می‌کند. هکر از راه دور به این پورت وصل شده و با دسترسی‌های سطح بالای سیستمی، کنترل کامل خط فرمان گوشی قربانی را به دست می‌گیرد!
دیواره دفاعی پرچمدار سامسونگ به همین راحتی و با تکیه بر زنجیره‌ای از خطاهای کوچک برنامه‌نویسان فرو می‌ریزد.
🌐 لینک مطالعه مقاله اصلی و کدهای اکسپلویت:
https://yogehi.github.io/published-research/pwn2own-ireland-2024-samsung-s24-attack-chain?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
📢 @androidSec_fa
#Android #Security #Samsung #SmartSwitch #Exploit #BugBounty
YayWebsiteYay (I suck at titles)
Pwn2Own Ireland 2024 - Samsung S24 Attack Chain White Paper
Sometimes I want to publish stuff unfiltered.
👍3❤1
🚨 شناسایی RedWing؛ یک بدافزار جاسوسی مخوف و همه‌فن‌حریف در اندروید!
تیم امنیتی Zimperium در گزارش اخیر خود پرده از یک بدافزار جدید اندرویدی به نام RedWing برداشته است که به صورت MaaS (بدافزار به عنوان یک خدمت) در کانال‌های تلگرامی فروخته می‌شود و احتمالاً با هکرهای روسی در ارتباط است.
این بدافزار ساختار بسیار هوشمندی دارد و امنیت کاربران اندروید را به شدت تهدید می‌کند.
🔴 بدافزار RedWing چطور کار می‌کند و چه قابلیت‌هایی دارد؟
فریب با صفحات جعلی استورها:
هکرها با ساخت صفحات فیشینگ کاملاً مشابه گوگل‌پلی، گلکسی‌استور و هواوی اپ‌گالری، به همراه کامنت‌ها و امتیازهای ۵ ستاره جعلی، کاربر را فریب می‌دهند تا برنامه آلوده را دانلود کند.
سرقت اطلاعات بانکی و کریپتو (Overlay): این بدافزار با انداختن صفحات جعلی روی برنامه‌های بانکی (به‌ویژه بانک‌های روسی) و کیف‌پول‌های کریپتو، کلمات بازیابی (Seed phrase)، رمز عبور و اطلاعات کارت شما را می‌دزدد.
کنترل کامل گوشی از راه دور (VNC):
هکر می‌تواند صفحه نمایش گوشی را زنده ببیند، کلیک کند، اسکرین‌شات بگیرد و با فعال کردن کیلاگر، هر چیزی را که تایپ می‌کنید ذخیره کند.
سوءاستفاده از دسترسی‌پذیری (Accessibility):
پس از نصب، با ترفندهای مهندسی معکوس دسترسی Accessibility و نوتیفیکیشن‌ها را می‌گیرد تا کنترل کامل گوشی را بدون متوجه شدن شما به دست بیاورد.
جاسوسی محیطی و دایورت تماس:
ابزار RedWing می‌تواند به طور مخفیانه با دوربین عکس بگیرد، صدای محیط را ضبط کند، فایل‌های گوشی را بدزدد و با اجرای کدهای مخفی USSD، تمام تماس‌های ورودی شما را به شماره هکر دایورت کند تا سیستم‌های ضدکلاهبرداری بانکی را دور بزند!
تبدیل گوشی به ربات جنگی (DDoS): این بدافزار قادر است از پهنای باند گوشی‌های قربانی برای انجام حملات سایبری سنگین (DDoS) و از کار انداختن سایت‌های هدف استفاده کند.
🔹 نتیجه‌گیری: توسعه‌دهندگان RedWing بدافزار خود را طوری طراحی کرده‌اند که سیستم امنیتی Google Play Protect را دور بزند. بنابراین هرگز برنامه‌ها را از منابع غیررسمی و لینک‌های ناشناس دانلود نکنید.
🔗 مطالعه متن کامل گزارش فنی در سایت Zimperium:
📎 Https://zimperium.com/blog/redwing-a-mobile-malware-as-a-service-operation
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #هک #فیشینگ #امنیت_سایبری #AndroidSecurity #RedWing #Malware
تیم امنیتی Zimperium در گزارش اخیر خود پرده از یک بدافزار جدید اندرویدی به نام RedWing برداشته است که به صورت MaaS (بدافزار به عنوان یک خدمت) در کانال‌های تلگرامی فروخته می‌شود و احتمالاً با هکرهای روسی در ارتباط است.
این بدافزار ساختار بسیار هوشمندی دارد و امنیت کاربران اندروید را به شدت تهدید می‌کند.
🔴 بدافزار RedWing چطور کار می‌کند و چه قابلیت‌هایی دارد؟
فریب با صفحات جعلی استورها:
هکرها با ساخت صفحات فیشینگ کاملاً مشابه گوگل‌پلی، گلکسی‌استور و هواوی اپ‌گالری، به همراه کامنت‌ها و امتیازهای ۵ ستاره جعلی، کاربر را فریب می‌دهند تا برنامه آلوده را دانلود کند.
سرقت اطلاعات بانکی و کریپتو (Overlay): این بدافزار با انداختن صفحات جعلی روی برنامه‌های بانکی (به‌ویژه بانک‌های روسی) و کیف‌پول‌های کریپتو، کلمات بازیابی (Seed phrase)، رمز عبور و اطلاعات کارت شما را می‌دزدد.
کنترل کامل گوشی از راه دور (VNC):
هکر می‌تواند صفحه نمایش گوشی را زنده ببیند، کلیک کند، اسکرین‌شات بگیرد و با فعال کردن کیلاگر، هر چیزی را که تایپ می‌کنید ذخیره کند.
سوءاستفاده از دسترسی‌پذیری (Accessibility):
پس از نصب، با ترفندهای مهندسی معکوس دسترسی Accessibility و نوتیفیکیشن‌ها را می‌گیرد تا کنترل کامل گوشی را بدون متوجه شدن شما به دست بیاورد.
جاسوسی محیطی و دایورت تماس:
ابزار RedWing می‌تواند به طور مخفیانه با دوربین عکس بگیرد، صدای محیط را ضبط کند، فایل‌های گوشی را بدزدد و با اجرای کدهای مخفی USSD، تمام تماس‌های ورودی شما را به شماره هکر دایورت کند تا سیستم‌های ضدکلاهبرداری بانکی را دور بزند!
تبدیل گوشی به ربات جنگی (DDoS): این بدافزار قادر است از پهنای باند گوشی‌های قربانی برای انجام حملات سایبری سنگین (DDoS) و از کار انداختن سایت‌های هدف استفاده کند.
🔹 نتیجه‌گیری: توسعه‌دهندگان RedWing بدافزار خود را طوری طراحی کرده‌اند که سیستم امنیتی Google Play Protect را دور بزند. بنابراین هرگز برنامه‌ها را از منابع غیررسمی و لینک‌های ناشناس دانلود نکنید.
🔗 مطالعه متن کامل گزارش فنی در سایت Zimperium:
📎 Https://zimperium.com/blog/redwing-a-mobile-malware-as-a-service-operation
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #هک #فیشینگ #امنیت_سایبری #AndroidSecurity #RedWing #Malware
Zimperium
RedWing: A Mobile Malware-as-a-Service Operation
true
👍4
📢 بررسی فنی و گام‌به‌گام تروجان بانکی پیشرفته GoldPickaxe؛ وقتی چهره شما کلید گاوصندوق می‌شود!
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode): بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست: ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه: تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی: با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping): با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین: تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode): بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست: ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه: تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی: با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping): با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین: تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍2
📎 https://zimperium.com/blog/goldpickaxe-returns-when-your-biometric-information-is-as-important-as-your-money
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
🔴 نسخه جدید RedHook؛ سوءاستفاده هوشمندانه از قابلیت‌های قانونی اندروید
شرکت Group-IB در جدیدترین گزارش خود نسخه به‌روزشده بدافزار اندرویدی RedHook را تحلیل کرده است. برخلاف چیزی که ممکن است از تیتر مقاله برداشت شود، این بدافزار از یک آسیب‌پذیری (Exploit) جدید استفاده نمی‌کند؛ بلکه با زنجیره‌ای از قابلیت‌های کاملاً قانونی اندروید، سطح دسترسی خود را به شکل قابل‌توجهی افزایش می‌دهد.
سناریوی حمله به این صورت است که ابتدا کاربر را با صفحات فیشینگ و رابط‌های کاربری جعلی فریب می‌دهد تا برنامه را نصب کرده و مجوز Accessibility Service را فعال کند. پس از آن، بدافزار با استفاده از همین مجوز، به‌صورت خودکار وارد تنظیمات دستگاه شده، Developer Options را فعال می‌کند، Wireless ADB Debugging را روشن کرده و فرآیند Pair شدن را نیز بدون نیاز به رایانه انجام می‌دهد.
در ادامه، RedHook با استفاده از پروژه متن‌باز Shizuku یک ADB Client را روی خود دستگاه اجرا کرده و به ADB Daemon از طریق آدرس 127.0.0.1 (Loopback) متصل می‌شود. نتیجه این فرآیند، اجرای یک پردازه با Shell UID (2000) است که امکان استفاده از برخی APIهای محافظت‌شده، اجرای دستورات Shell، تغییر برخی تنظیمات سیستمی و اعطای مجوزهای حساس به خود بدافزار را فراهم می‌کند.
علاوه بر این، RedHook از مکانیزم‌های مختلفی برای ماندگاری (Persistence) استفاده می‌کند؛ از جمله One-Pixel Activity، WakeLock، پخش صدای بی‌صدا، احیای متقابل سرویس‌ها (Cross-Process Resurrection) و اجرای خودکار پس از راه‌اندازی مجدد دستگاه.
در مجموع، نوآوری اصلی این بدافزار کشف یک روش نفوذ جدید نیست، بلکه خودکارسازی کامل زنجیره سوءاستفاده از Accessibility، Wireless ADB و Shizuku برای رسیدن به دسترسی‌های سطح Shell است؛ موضوعی که نشان می‌دهد قابلیت‌های توسعه‌دهندگان اندروید نیز می‌توانند در صورت سوءاستفاده، به ابزارهای قدرتمند مهاجمان تبدیل شوند.
📖 مقاله کامل:
https://www.group-ib.com/blog/redhook-android-rat-upgraded/
#Android #AndroidSecurity #Malware #RedHook #RAT #ADB #WirelessADB #Accessibility #Shizuku #ThreatIntelligence #ReverseEngineering #CyberSecurity
📢 @androidSec_fa
شرکت Group-IB در جدیدترین گزارش خود نسخه به‌روزشده بدافزار اندرویدی RedHook را تحلیل کرده است. برخلاف چیزی که ممکن است از تیتر مقاله برداشت شود، این بدافزار از یک آسیب‌پذیری (Exploit) جدید استفاده نمی‌کند؛ بلکه با زنجیره‌ای از قابلیت‌های کاملاً قانونی اندروید، سطح دسترسی خود را به شکل قابل‌توجهی افزایش می‌دهد.
سناریوی حمله به این صورت است که ابتدا کاربر را با صفحات فیشینگ و رابط‌های کاربری جعلی فریب می‌دهد تا برنامه را نصب کرده و مجوز Accessibility Service را فعال کند. پس از آن، بدافزار با استفاده از همین مجوز، به‌صورت خودکار وارد تنظیمات دستگاه شده، Developer Options را فعال می‌کند، Wireless ADB Debugging را روشن کرده و فرآیند Pair شدن را نیز بدون نیاز به رایانه انجام می‌دهد.
در ادامه، RedHook با استفاده از پروژه متن‌باز Shizuku یک ADB Client را روی خود دستگاه اجرا کرده و به ADB Daemon از طریق آدرس 127.0.0.1 (Loopback) متصل می‌شود. نتیجه این فرآیند، اجرای یک پردازه با Shell UID (2000) است که امکان استفاده از برخی APIهای محافظت‌شده، اجرای دستورات Shell، تغییر برخی تنظیمات سیستمی و اعطای مجوزهای حساس به خود بدافزار را فراهم می‌کند.
علاوه بر این، RedHook از مکانیزم‌های مختلفی برای ماندگاری (Persistence) استفاده می‌کند؛ از جمله One-Pixel Activity، WakeLock، پخش صدای بی‌صدا، احیای متقابل سرویس‌ها (Cross-Process Resurrection) و اجرای خودکار پس از راه‌اندازی مجدد دستگاه.
در مجموع، نوآوری اصلی این بدافزار کشف یک روش نفوذ جدید نیست، بلکه خودکارسازی کامل زنجیره سوءاستفاده از Accessibility، Wireless ADB و Shizuku برای رسیدن به دسترسی‌های سطح Shell است؛ موضوعی که نشان می‌دهد قابلیت‌های توسعه‌دهندگان اندروید نیز می‌توانند در صورت سوءاستفاده، به ابزارهای قدرتمند مهاجمان تبدیل شوند.
📖 مقاله کامل:
https://www.group-ib.com/blog/redhook-android-rat-upgraded/
#Android #AndroidSecurity #Malware #RedHook #RAT #ADB #WirelessADB #Accessibility #Shizuku #ThreatIntelligence #ReverseEngineering #CyberSecurity
📢 @androidSec_fa
Group-IB
RedHook Returns with a Dangerous Upgrade
Group-IB analysts examine this resurfaced Android Remote Access Trojan, demonstrating new, sophisticated and malicious functionalities including autonomous privilege abuse, expanded command-and-control capabilities, and a robust persistence stack.
👍3
📢 بررسی فنی و گام‌به‌گام تروجان بانکی پیشرفته GoldPickaxe؛ وقتی چهره شما کلید گاوصندوق می‌شود!
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode):
بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست:
ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه:
تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی:
با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping):
با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین:
تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode):
بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست:
ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه:
تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی:
با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping):
با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین:
تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
📎 https://zimperium.com/blog/goldpickaxe-returns-when-your-biometric-information-is-as-important-as-your-money
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
📢 دور زدن مجوز مخاطبین در اندروید از طریق گوگل مسیجز! (Confused Deputy Bug)
📱 یک آسیب‌پذیری امنیتی جالب در برنامه Google Messages کشف شده بود که به اپلیکیشن‌های مخرب یا بدون دسترسی اجازه می‌داد بدون داشتن مجوز رسمی خواندن مخاطبین (READ_CONTACTS)، به عکس‌های ذخیره‌شده روی مخاطبین گوشی شما دسترسی پیدا کنند.
🔍 این باگ چطور کار می‌کرد؟
این آسیب‌پذیری از نوع Confused Deputy (معاون گیج) بود. گوگل مسیجز برای لود کردن تصاویر مخاطبان از یک ContentProvider عمومی به نام AvatarContentProvider استفاده می‌کرد که برای برنامه‌های دیگر هم قابل دسترسی بود.
مراحل اجرای باگ به این صورت بود:
1️⃣ برنامه مهاجم (که هیچ دسترسی به مخاطبین نداشت) آدرس عکس یک مخاطب خاص را به گوگل مسیجز می‌فرستاد.
2️⃣ گوگل مسیجز با استفاده از دسترسی‌های سیستمی خودش، آن عکس را لود و به فرمت PNG تبدیل می‌کرد.
3️⃣ در نهایت، گوگل مسیجز تصویر خروجی را دودستی تقدیم برنامه مهاجم می‌کرد!
⚠️ میزان خطر و تأثیرگذاری:
با اینکه این باگ کل اطلاعات مخاطب (مثل شماره تلفن) را فاش نمی‌کرد و فقط به عکس‌ها دسترسی داشت، اما یک بای‌پاس کامل برای لایه امنیتی اندروید به شمار می‌رفت. از آنجا که شناسه‌های عددی مخاطبان در اندروید ترتیبی هستند، مهاجم با یک اسکن ساده می‌توانست تمام تصاویر مخاطبان کاربر را استخراج کند.
🛠 وضعیت باگ:
این گزارش توسط Daniel Pua ثبت شد و گوگل در تاریخ ۲۳ خرداد ۱۴۰۵ (June 12, 2026) آن را به طور کامل برطرف کرد و پاداشی نیز به یابنده تعلق گرفت.
🔗 لینک مقاله کامل برای مطالعه جزئیات فنی و PoC:
👉 https://blog.devploit.dev/posts/google-messages-avatarcontentprovider-contacts-bypass/
#Android #AndroidSecurity #GoogleMessages #Vulnerability #BugBounty #ConfusedDeputy #Exploit
📢 @androidSec_fa
📱 یک آسیب‌پذیری امنیتی جالب در برنامه Google Messages کشف شده بود که به اپلیکیشن‌های مخرب یا بدون دسترسی اجازه می‌داد بدون داشتن مجوز رسمی خواندن مخاطبین (READ_CONTACTS)، به عکس‌های ذخیره‌شده روی مخاطبین گوشی شما دسترسی پیدا کنند.
🔍 این باگ چطور کار می‌کرد؟
این آسیب‌پذیری از نوع Confused Deputy (معاون گیج) بود. گوگل مسیجز برای لود کردن تصاویر مخاطبان از یک ContentProvider عمومی به نام AvatarContentProvider استفاده می‌کرد که برای برنامه‌های دیگر هم قابل دسترسی بود.
مراحل اجرای باگ به این صورت بود:
1️⃣ برنامه مهاجم (که هیچ دسترسی به مخاطبین نداشت) آدرس عکس یک مخاطب خاص را به گوگل مسیجز می‌فرستاد.
2️⃣ گوگل مسیجز با استفاده از دسترسی‌های سیستمی خودش، آن عکس را لود و به فرمت PNG تبدیل می‌کرد.
3️⃣ در نهایت، گوگل مسیجز تصویر خروجی را دودستی تقدیم برنامه مهاجم می‌کرد!
⚠️ میزان خطر و تأثیرگذاری:
با اینکه این باگ کل اطلاعات مخاطب (مثل شماره تلفن) را فاش نمی‌کرد و فقط به عکس‌ها دسترسی داشت، اما یک بای‌پاس کامل برای لایه امنیتی اندروید به شمار می‌رفت. از آنجا که شناسه‌های عددی مخاطبان در اندروید ترتیبی هستند، مهاجم با یک اسکن ساده می‌توانست تمام تصاویر مخاطبان کاربر را استخراج کند.
🛠 وضعیت باگ:
این گزارش توسط Daniel Pua ثبت شد و گوگل در تاریخ ۲۳ خرداد ۱۴۰۵ (June 12, 2026) آن را به طور کامل برطرف کرد و پاداشی نیز به یابنده تعلق گرفت.
🔗 لینک مقاله کامل برای مطالعه جزئیات فنی و PoC:
👉 https://blog.devploit.dev/posts/google-messages-avatarcontentprovider-contacts-bypass/
#Android #AndroidSecurity #GoogleMessages #Vulnerability #BugBounty #ConfusedDeputy #Exploit
📢 @androidSec_fa
devploit / blog
Reading Contact Photos Without READ_CONTACTS: A Google Messages Confused Deputy Bug
Analysis of a fixed Google Messages vulnerability that exposed contact photos without READ_CONTACTS, covering its root cause and responsible disclosure.
👍4
پست اول: آشنایی با چالش و ساختار دفاعی (۱/۳)
تارگت‌های کله‌گنده و سد محکمی به نام
تا حالا موقع تست نفوذ یا مهندسی معکوس اپلیکیشن‌های بانکی و مالی به
در این سری پست‌ها می‌خوایم قدم به قدم مکانیزم یک مقاله فوق‌العاده رو بررسی کنیم که نشون میده چطور میشه با ابزار قدرتمند `Frida` این سد امنیتی رو دور زد.
پترن دفاعی این اپلیکیشن چیه؟
خیلی از برنامه‌نویس‌ها برای محافظت از کلید خصوصی (`Private Key`) که روی گوشی کلاینت ذخیره میشه، از رمز عبورهای پویا در زمان اجرا (
🔴 رمز عبور به هیچ وجه هاردکد نشده.
🔴 رمز در لحظه اجرا از ترکیب `
🔴 برای سخت‌تر شدن کار، خروجی از ۲۰۰,۰۰۰ مرتبه تکرار الگوریتم `PBKDF2` رد میشه!
🔴 بعد از استفاده هم بلافاصله حافظه رم با `
به نظر غیرقابل نفوذ میاد، مگه نه؟ شکستن این رمز به صورت آفلاین تقریباً غیرممکنه! اما امان از یک اشتباه کوچک در معماری ذخیره‌سازی کلید...
در پست بعدی وارد فاز عملیاتی میشیم و اولین قفل رو با فریدا باز می‌کنیم. با ما همراه باشید!
#AndroidSecurity #mTLS #Frida #ReverseEngineering #PenetrationTesting
@AndroidSec_fa
تارگت‌های کله‌گنده و سد محکمی به نام
mTLS!تا حالا موقع تست نفوذ یا مهندسی معکوس اپلیکیشن‌های بانکی و مالی به
mTLS برخورد کردید؟ همون لایه امنیتی سرسختی که برخلاف TLS معمولی، سرور هم از کلاینت (گوشی) گواهینامه معتبر میخواد و اجازه نمیده ترافیک رو به این راحتی‌ها از Burp Suite رد کنید!در این سری پست‌ها می‌خوایم قدم به قدم مکانیزم یک مقاله فوق‌العاده رو بررسی کنیم که نشون میده چطور میشه با ابزار قدرتمند `Frida` این سد امنیتی رو دور زد.
پترن دفاعی این اپلیکیشن چیه؟
خیلی از برنامه‌نویس‌ها برای محافظت از کلید خصوصی (`Private Key`) که روی گوشی کلاینت ذخیره میشه، از رمز عبورهای پویا در زمان اجرا (
Runtime-Derived Password) استفاده می‌کنن. در این مقاله هم توسعه‌دهنده کارش رو بلد بوده:🔴 رمز عبور به هیچ وجه هاردکد نشده.
🔴 رمز در لحظه اجرا از ترکیب `
ANDROID_ID، مشخصات رام دستگاه (Build.FINGERPRINT`) و اسم پکیج ساخته میشه.🔴 برای سخت‌تر شدن کار، خروجی از ۲۰۰,۰۰۰ مرتبه تکرار الگوریتم `PBKDF2` رد میشه!
🔴 بعد از استفاده هم بلافاصله حافظه رم با `
Arrays.fill` وایپ (پاک) میشه.به نظر غیرقابل نفوذ میاد، مگه نه؟ شکستن این رمز به صورت آفلاین تقریباً غیرممکنه! اما امان از یک اشتباه کوچک در معماری ذخیره‌سازی کلید...
در پست بعدی وارد فاز عملیاتی میشیم و اولین قفل رو با فریدا باز می‌کنیم. با ما همراه باشید!
#AndroidSecurity #mTLS #Frida #ReverseEngineering #PenetrationTesting
@AndroidSec_fa
👍5
پست دوم: فاز عملیاتی و استخراج کلید از رم (۲/۳)
چطور رمز ۲۰۰,۰۰۰ مرتبه‌ای PBKDF2 با یک هوک فریدا بی‌اثر شد؟
در پست قبل دیدیم که اپلیکیشن چقدر قوی رمز عبور فایل گواهینامه (.p12) رو به صورت پویا تولید میکنه. اما مشکل اصلی سناریو اینجاست: محل نگهداری کلید!
برنامه برای تولید جفت‌کلید از این دستور استفاده کرده:
KeyPairGenerator.getInstance("EC")
این یعنی کلید به صورت یک شیء نرم‌افزاری معمولی توی حافظه رم (JVM Heap) ساخته میشه، نه داخل محیط ایزوله و سخت‌افزاری دستگاه (TEE).
حالا بریم سراغ سناریوی دور زدن (Bypass) در دو گام:
گام اول: شکستن SSL Pinning (بای‌پاس TrustManager)
قبل از هر چیز باید کاری کنیم اندروید گواهینامه جعلی Burp Suite رو قبول کنه. با فریدا متد SSLContext.init() رو هوک می‌کنیم و بخش TrustManager رو با یک کلاس سفارشی که هر سازوکاری رو تایید میکنه جایگزین می‌کنیم. حالا ترافیک تا Burp میاد، اما سرور به خاطر نداشتن کلید کلاینت ارور 401 میده.
گام دوم: قاپیدن کلید در لحظه طلایی!
قفل چقدر هم که قوی باشه، برنامه برای اینکه بتونه با سرور دست‌دادن (Handshake) انجام بده، مجبوره فایل رو باز کنه، رمزگشایی کنه و کلید رو به صورت متن آشکار وارد رم کنه!
نویسنده متد سازنده کلاس ClientKeyManager رو دقیقاً در لحظه لود شدن هوک میکنه. فریدا اینجا چیکار میکنه؟
رمز عبور ۶۴ کاراکتری حاصل از ۲۰۰ هزار بار فرآیند PBKDF2 رو قبل از پاک شدن از رم، دو دستی تقدیم مهاجم میکنه!
متدهای ks.getCertificate و ks.getKey رو صدا میزنه و بایت‌های واقعی کلید خصوصی رو از رم بیرون می‌کشه و به فرمت متنی استاندارد (PEM) توی کنسول چاپ میکنه!
در پست آخر، این کلید رو به Burp Suite تزریق می‌کنیم و ترافیک رو کاملاً دور می‌زنیم.
#AndroidSec #Exploit #MobileSecurity #BugBounty #SSLBinning
@AndroidSec_fa
چطور رمز ۲۰۰,۰۰۰ مرتبه‌ای PBKDF2 با یک هوک فریدا بی‌اثر شد؟
در پست قبل دیدیم که اپلیکیشن چقدر قوی رمز عبور فایل گواهینامه (.p12) رو به صورت پویا تولید میکنه. اما مشکل اصلی سناریو اینجاست: محل نگهداری کلید!
برنامه برای تولید جفت‌کلید از این دستور استفاده کرده:
KeyPairGenerator.getInstance("EC")
این یعنی کلید به صورت یک شیء نرم‌افزاری معمولی توی حافظه رم (JVM Heap) ساخته میشه، نه داخل محیط ایزوله و سخت‌افزاری دستگاه (TEE).
حالا بریم سراغ سناریوی دور زدن (Bypass) در دو گام:
گام اول: شکستن SSL Pinning (بای‌پاس TrustManager)
قبل از هر چیز باید کاری کنیم اندروید گواهینامه جعلی Burp Suite رو قبول کنه. با فریدا متد SSLContext.init() رو هوک می‌کنیم و بخش TrustManager رو با یک کلاس سفارشی که هر سازوکاری رو تایید میکنه جایگزین می‌کنیم. حالا ترافیک تا Burp میاد، اما سرور به خاطر نداشتن کلید کلاینت ارور 401 میده.
گام دوم: قاپیدن کلید در لحظه طلایی!
قفل چقدر هم که قوی باشه، برنامه برای اینکه بتونه با سرور دست‌دادن (Handshake) انجام بده، مجبوره فایل رو باز کنه، رمزگشایی کنه و کلید رو به صورت متن آشکار وارد رم کنه!
نویسنده متد سازنده کلاس ClientKeyManager رو دقیقاً در لحظه لود شدن هوک میکنه. فریدا اینجا چیکار میکنه؟
رمز عبور ۶۴ کاراکتری حاصل از ۲۰۰ هزار بار فرآیند PBKDF2 رو قبل از پاک شدن از رم، دو دستی تقدیم مهاجم میکنه!
متدهای ks.getCertificate و ks.getKey رو صدا میزنه و بایت‌های واقعی کلید خصوصی رو از رم بیرون می‌کشه و به فرمت متنی استاندارد (PEM) توی کنسول چاپ میکنه!
در پست آخر، این کلید رو به Burp Suite تزریق می‌کنیم و ترافیک رو کاملاً دور می‌زنیم.
#AndroidSec #Exploit #MobileSecurity #BugBounty #SSLBinning
@AndroidSec_fa
👍3
پست سوم: اتمام کار و راهکار امن‌سازی (۳/۳)
پایان کار mTLS و نفوذ کامل به ترافیک شبکه
توی دو تا پست قبلی تونستیم با فریدا، گواهینامه کلاینت و کلید خصوصی رو مستقیماً از حافظه رم اپلیکیشن استخراج کنیم. حالا نوبت به برداشت محصول میرسه!
گام نهایی: تزریق به Burp Suite
۱. دو بلاک متنی (PEM) مربوط به کلید و گواهی رو از کنسول فریدا کپی و ذخیره می‌کنیم.
۲. با ابزار OpenSSL اون‌ها را به یک فایل واحد کلاینت تبدیل می‌کنیم:
۳. فایل حاصل رو در تنظیمات Burp Suite و در بخش Client TLS Certificates وارد می‌کنیم.
کار تمومه! حالا Burp Suite گواهینامه معتبر رو به سرور ارائه میده، سرور فریب می‌خوره و درخواست‌های ما با پاسخ ۲Keep OK باز میشن. ترافیک کاملاً شنود و دستکاری میشه!
برنامه‌نویس‌ها چطور باید جلو این آسیب‌پذیری رو بگیرن؟
مهم‌ترین درسی که از این مقاله می‌گیریم اینه که رمزنگاری قویِ فایل، جایگزین امنیت محل ذخیره‌سازی نمیشه. راهکار قطعی:
۱. استفاده از AndroidKeyStore + TEE: کلیدها باید طوری ساخته بشن که در لایه سخت‌افزار قرار بگیرن. در این حالت متد getEncoded() مقدار null برمی‌گردونه و کلید هیچ‌وقت وارد رم نرم‌افزاری نمیشه که فریدا بتونه اون رو ببینه.
۲. استفاده از Key Attestation: سرور باید در زمان ثبت‌نام بررسی کنه که کلید حتماً سخت‌افزاری باشه و کلیدهای نرم‌افزاری رو رد کنه.
برای مطالعه جزئیات بیشتر، خطوط کد جاوای اپلیکیشن و اسکریپت فریدای استفاده شده، می‌تونید مقاله کامل رو در مدینوم مطالعه کنید:
🔗 https://kiratliygt.medium.com/how-to-bypass-mtls-on-android-with-frida-45c5e71373e8
#AndroidSecurity #CyberSecurity #AppSec #mTLSBypass #DefensiveCoding
@AndroidSec_fa
پایان کار mTLS و نفوذ کامل به ترافیک شبکه
توی دو تا پست قبلی تونستیم با فریدا، گواهینامه کلاینت و کلید خصوصی رو مستقیماً از حافظه رم اپلیکیشن استخراج کنیم. حالا نوبت به برداشت محصول میرسه!
گام نهایی: تزریق به Burp Suite
۱. دو بلاک متنی (PEM) مربوط به کلید و گواهی رو از کنسول فریدا کپی و ذخیره می‌کنیم.
۲. با ابزار OpenSSL اون‌ها را به یک فایل واحد کلاینت تبدیل می‌کنیم:
openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in cert.pem
۳. فایل حاصل رو در تنظیمات Burp Suite و در بخش Client TLS Certificates وارد می‌کنیم.
کار تمومه! حالا Burp Suite گواهینامه معتبر رو به سرور ارائه میده، سرور فریب می‌خوره و درخواست‌های ما با پاسخ ۲Keep OK باز میشن. ترافیک کاملاً شنود و دستکاری میشه!
برنامه‌نویس‌ها چطور باید جلو این آسیب‌پذیری رو بگیرن؟
مهم‌ترین درسی که از این مقاله می‌گیریم اینه که رمزنگاری قویِ فایل، جایگزین امنیت محل ذخیره‌سازی نمیشه. راهکار قطعی:
۱. استفاده از AndroidKeyStore + TEE: کلیدها باید طوری ساخته بشن که در لایه سخت‌افزار قرار بگیرن. در این حالت متد getEncoded() مقدار null برمی‌گردونه و کلید هیچ‌وقت وارد رم نرم‌افزاری نمیشه که فریدا بتونه اون رو ببینه.
۲. استفاده از Key Attestation: سرور باید در زمان ثبت‌نام بررسی کنه که کلید حتماً سخت‌افزاری باشه و کلیدهای نرم‌افزاری رو رد کنه.
برای مطالعه جزئیات بیشتر، خطوط کد جاوای اپلیکیشن و اسکریپت فریدای استفاده شده، می‌تونید مقاله کامل رو در مدینوم مطالعه کنید:
🔗 https://kiratliygt.medium.com/how-to-bypass-mtls-on-android-with-frida-45c5e71373e8
#AndroidSecurity #CyberSecurity #AppSec #mTLSBypass #DefensiveCoding
@AndroidSec_fa
Medium
How to Bypass mTLS on Android with Frida
Keywords: mTLS bypass Android, Frida mTLS, Android mutual TLS bypass, Burp Suite mTLS Android, Android mTLS pentest, PKCS12 Android…
👍3