اندروید | امنیت و هک
[پست ۲ از ۳] — دور زدن فیلترها و جاسازی بدافزار 🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم) در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود. 📍 گام سوم:…
[پست ۳ از ۳] — شلیک نهایی با Smart Switch و تسخیر کامل
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش پایانی)
فایل مخرب روی حافظه گوشی نشسته است، اما هنوز نصب و اجرا نشده است.
هکر چگونه زنجیره را کامل می‌کند؟
📍 گام پنجم: نصب مخفیانه توسط Smart Switch
هکر دوباره به برنامه Gaming Hub برمی‌گردد. این برنامه به دلیل مجوزهای سیستمی بالا، توانایی اجرای برنامه‌ها در پس‌زمینه را دارد. هدف بعدی هکر برنامه Smart Switch Agent (ابزار رسمی انتقال و نصب اپلیکیشن‌ها) است.
اکتیویتیِ نصب در این برنامه توسط یک مجوز اختصاصی محافظت می‌شود تا هر برنامه‌ای نتواند آن را باز کند، اما Gaming Hub این مجوز را دارد! Gaming Hub برنامه Smart Switch را باز کرده و آدرس فایل مخرب پنهان‌شده را از طریق بخش HtmlDumpProvider برنامه GPUWatch به آن می‌دهد.
باگ پنجم (CVE-2024-49413): برنامه Smart Switch فایل را برمی‌دارد و مستقیماً دستور نصب آن را صادر می‌کند، اما هیچ‌گونه بررسی امنیتی انجام نمی‌دهد که آیا این فایل از کجا آمده و آیا توسط توسعه‌دهندگان رسمی سامسونگ امضا (Sign) شده است یا خیر! در نتیجه فایل مخرب بدون هیچ هشداری روی گوشی نصب می‌شود.
🏁 پایان بازی: دسترسی کامل (Shell)
برنامه مخرب (ابزار Drozer) بدون اینکه کاربر روحش خبردار شود، نصب و بلافاصله اجرا می‌شود. این برنامه یک پورت مخفی (Bind Shell) روی گوشی باز می‌کند. هکر از راه دور به این پورت وصل شده و با دسترسی‌های سطح بالای سیستمی، کنترل کامل خط فرمان گوشی قربانی را به دست می‌گیرد!
دیواره دفاعی پرچمدار سامسونگ به همین راحتی و با تکیه بر زنجیره‌ای از خطاهای کوچک برنامه‌نویسان فرو می‌ریزد.
🌐 لینک مطالعه مقاله اصلی و کدهای اکسپلویت:
https://yogehi.github.io/published-research/pwn2own-ireland-2024-samsung-s24-attack-chain?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
📢 @androidSec_fa
#Android #Security #Samsung #SmartSwitch #Exploit #BugBounty
🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش پایانی)
فایل مخرب روی حافظه گوشی نشسته است، اما هنوز نصب و اجرا نشده است.
هکر چگونه زنجیره را کامل می‌کند؟
📍 گام پنجم: نصب مخفیانه توسط Smart Switch
هکر دوباره به برنامه Gaming Hub برمی‌گردد. این برنامه به دلیل مجوزهای سیستمی بالا، توانایی اجرای برنامه‌ها در پس‌زمینه را دارد. هدف بعدی هکر برنامه Smart Switch Agent (ابزار رسمی انتقال و نصب اپلیکیشن‌ها) است.
اکتیویتیِ نصب در این برنامه توسط یک مجوز اختصاصی محافظت می‌شود تا هر برنامه‌ای نتواند آن را باز کند، اما Gaming Hub این مجوز را دارد! Gaming Hub برنامه Smart Switch را باز کرده و آدرس فایل مخرب پنهان‌شده را از طریق بخش HtmlDumpProvider برنامه GPUWatch به آن می‌دهد.
باگ پنجم (CVE-2024-49413): برنامه Smart Switch فایل را برمی‌دارد و مستقیماً دستور نصب آن را صادر می‌کند، اما هیچ‌گونه بررسی امنیتی انجام نمی‌دهد که آیا این فایل از کجا آمده و آیا توسط توسعه‌دهندگان رسمی سامسونگ امضا (Sign) شده است یا خیر! در نتیجه فایل مخرب بدون هیچ هشداری روی گوشی نصب می‌شود.
🏁 پایان بازی: دسترسی کامل (Shell)
برنامه مخرب (ابزار Drozer) بدون اینکه کاربر روحش خبردار شود، نصب و بلافاصله اجرا می‌شود. این برنامه یک پورت مخفی (Bind Shell) روی گوشی باز می‌کند. هکر از راه دور به این پورت وصل شده و با دسترسی‌های سطح بالای سیستمی، کنترل کامل خط فرمان گوشی قربانی را به دست می‌گیرد!
دیواره دفاعی پرچمدار سامسونگ به همین راحتی و با تکیه بر زنجیره‌ای از خطاهای کوچک برنامه‌نویسان فرو می‌ریزد.
🌐 لینک مطالعه مقاله اصلی و کدهای اکسپلویت:
https://yogehi.github.io/published-research/pwn2own-ireland-2024-samsung-s24-attack-chain?utm_source=Mobile+Hacking+Lab&utm_campaign=6266054dfa-EMAIL_CAMPAIGN_2026_07_01_10_48&utm_medium=email&utm_term=0_0b348bd22d-6266054dfa-484319511
📢 @androidSec_fa
#Android #Security #Samsung #SmartSwitch #Exploit #BugBounty
YayWebsiteYay (I suck at titles)
Pwn2Own Ireland 2024 - Samsung S24 Attack Chain White Paper
Sometimes I want to publish stuff unfiltered.
👍3❤1
🚨 شناسایی RedWing؛ یک بدافزار جاسوسی مخوف و همه‌فن‌حریف در اندروید!
تیم امنیتی Zimperium در گزارش اخیر خود پرده از یک بدافزار جدید اندرویدی به نام RedWing برداشته است که به صورت MaaS (بدافزار به عنوان یک خدمت) در کانال‌های تلگرامی فروخته می‌شود و احتمالاً با هکرهای روسی در ارتباط است.
این بدافزار ساختار بسیار هوشمندی دارد و امنیت کاربران اندروید را به شدت تهدید می‌کند.
🔴 بدافزار RedWing چطور کار می‌کند و چه قابلیت‌هایی دارد؟
فریب با صفحات جعلی استورها:
هکرها با ساخت صفحات فیشینگ کاملاً مشابه گوگل‌پلی، گلکسی‌استور و هواوی اپ‌گالری، به همراه کامنت‌ها و امتیازهای ۵ ستاره جعلی، کاربر را فریب می‌دهند تا برنامه آلوده را دانلود کند.
سرقت اطلاعات بانکی و کریپتو (Overlay): این بدافزار با انداختن صفحات جعلی روی برنامه‌های بانکی (به‌ویژه بانک‌های روسی) و کیف‌پول‌های کریپتو، کلمات بازیابی (Seed phrase)، رمز عبور و اطلاعات کارت شما را می‌دزدد.
کنترل کامل گوشی از راه دور (VNC):
هکر می‌تواند صفحه نمایش گوشی را زنده ببیند، کلیک کند، اسکرین‌شات بگیرد و با فعال کردن کی‌لاگر، هر چیزی را که تایپ می‌کنید ذخیره کند.
سوءاستفاده از دسترسی‌پذیری (Accessibility):
پس از نصب، با ترفندهای مهندسی معکوس دسترسی Accessibility و نوتیفیکیشن‌ها را می‌گیرد تا کنترل کامل گوشی را بدون متوجه شدن شما به دست بیاورد.
جاسوسی محیطی و دایورت تماس:
ابزار RedWing می‌تواند به طور مخفیانه با دوربین عکس بگیرد، صدای محیط را ضبط کند، فایل‌های گوشی را بدزدد و با اجرای کدهای مخفی USSD، تمام تماس‌های ورودی شما را به شماره هکر دایورت کند تا سیستم‌های ضدکلاهبرداری بانکی را دور بزند!
تبدیل گوشی به ربات جنگی (DDoS): این بدافزار قادر است از پهنای باند گوشی‌های قربانی برای انجام حملات سایبری سنگین (DDoS) و از کار انداختن سایت‌های هدف استفاده کند.
🔹 نتیجه‌گیری: توسعه‌دهندگان RedWing بدافزار خود را طوری طراحی کرده‌اند که سیستم امنیتی Google Play Protect را دور بزند. بنابراین هرگز برنامه‌ها را از منابع غیررسمی و لینک‌های ناشناس دانلود نکنید.
🔗 مطالعه متن کامل گزارش فنی در سایت Zimperium:
📎 Https://zimperium.com/blog/redwing-a-mobile-malware-as-a-service-operation
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #هک #فیشینگ #امنیت_سایبری #AndroidSecurity #RedWing #Malware
تیم امنیتی Zimperium در گزارش اخیر خود پرده از یک بدافزار جدید اندرویدی به نام RedWing برداشته است که به صورت MaaS (بدافزار به عنوان یک خدمت) در کانال‌های تلگرامی فروخته می‌شود و احتمالاً با هکرهای روسی در ارتباط است.
این بدافزار ساختار بسیار هوشمندی دارد و امنیت کاربران اندروید را به شدت تهدید می‌کند.
🔴 بدافزار RedWing چطور کار می‌کند و چه قابلیت‌هایی دارد؟
فریب با صفحات جعلی استورها:
هکرها با ساخت صفحات فیشینگ کاملاً مشابه گوگل‌پلی، گلکسی‌استور و هواوی اپ‌گالری، به همراه کامنت‌ها و امتیازهای ۵ ستاره جعلی، کاربر را فریب می‌دهند تا برنامه آلوده را دانلود کند.
سرقت اطلاعات بانکی و کریپتو (Overlay): این بدافزار با انداختن صفحات جعلی روی برنامه‌های بانکی (به‌ویژه بانک‌های روسی) و کیف‌پول‌های کریپتو، کلمات بازیابی (Seed phrase)، رمز عبور و اطلاعات کارت شما را می‌دزدد.
کنترل کامل گوشی از راه دور (VNC):
هکر می‌تواند صفحه نمایش گوشی را زنده ببیند، کلیک کند، اسکرین‌شات بگیرد و با فعال کردن کی‌لاگر، هر چیزی را که تایپ می‌کنید ذخیره کند.
سوءاستفاده از دسترسی‌پذیری (Accessibility):
پس از نصب، با ترفندهای مهندسی معکوس دسترسی Accessibility و نوتیفیکیشن‌ها را می‌گیرد تا کنترل کامل گوشی را بدون متوجه شدن شما به دست بیاورد.
جاسوسی محیطی و دایورت تماس:
ابزار RedWing می‌تواند به طور مخفیانه با دوربین عکس بگیرد، صدای محیط را ضبط کند، فایل‌های گوشی را بدزدد و با اجرای کدهای مخفی USSD، تمام تماس‌های ورودی شما را به شماره هکر دایورت کند تا سیستم‌های ضدکلاهبرداری بانکی را دور بزند!
تبدیل گوشی به ربات جنگی (DDoS): این بدافزار قادر است از پهنای باند گوشی‌های قربانی برای انجام حملات سایبری سنگین (DDoS) و از کار انداختن سایت‌های هدف استفاده کند.
🔹 نتیجه‌گیری: توسعه‌دهندگان RedWing بدافزار خود را طوری طراحی کرده‌اند که سیستم امنیتی Google Play Protect را دور بزند. بنابراین هرگز برنامه‌ها را از منابع غیررسمی و لینک‌های ناشناس دانلود نکنید.
🔗 مطالعه متن کامل گزارش فنی در سایت Zimperium:
📎 Https://zimperium.com/blog/redwing-a-mobile-malware-as-a-service-operation
📢 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #هک #فیشینگ #امنیت_سایبری #AndroidSecurity #RedWing #Malware
Zimperium
RedWing: A Mobile Malware-as-a-Service Operation
true
👍4
📢 بررسی فنی و گام‌به‌گام تروجان بانکی پیشرفته GoldPickaxe؛ وقتی چهره شما کلید گاوصندوق می‌شود!
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode): بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست: ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه: تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی: با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping): با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین: تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode): بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست: ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه: تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی: با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping): با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین: تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍2
📎 https://zimperium.com/blog/goldpickaxe-returns-when-your-biometric-information-is-as-important-as-your-money
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
🔴 نسخه جدید RedHook؛ سوءاستفاده هوشمندانه از قابلیت‌های قانونی اندروید
شرکت Group-IB در جدیدترین گزارش خود نسخه به‌روزشده بدافزار اندرویدی RedHook را تحلیل کرده است. برخلاف چیزی که ممکن است از تیتر مقاله برداشت شود، این بدافزار از یک آسیب‌پذیری (Exploit) جدید استفاده نمی‌کند؛ بلکه با زنجیره‌ای از قابلیت‌های کاملاً قانونی اندروید، سطح دسترسی خود را به شکل قابل‌توجهی افزایش می‌دهد.
سناریوی حمله به این صورت است که ابتدا کاربر را با صفحات فیشینگ و رابط‌های کاربری جعلی فریب می‌دهد تا برنامه را نصب کرده و مجوز Accessibility Service را فعال کند. پس از آن، بدافزار با استفاده از همین مجوز، به‌صورت خودکار وارد تنظیمات دستگاه شده، Developer Options را فعال می‌کند، Wireless ADB Debugging را روشن کرده و فرآیند Pair شدن را نیز بدون نیاز به رایانه انجام می‌دهد.
در ادامه، RedHook با استفاده از پروژه متن‌باز Shizuku یک ADB Client را روی خود دستگاه اجرا کرده و به ADB Daemon از طریق آدرس 127.0.0.1 (Loopback) متصل می‌شود. نتیجه این فرآیند، اجرای یک پردازه با Shell UID (2000) است که امکان استفاده از برخی APIهای محافظت‌شده، اجرای دستورات Shell، تغییر برخی تنظیمات سیستمی و اعطای مجوزهای حساس به خود بدافزار را فراهم می‌کند.
علاوه بر این، RedHook از مکانیزم‌های مختلفی برای ماندگاری (Persistence) استفاده می‌کند؛ از جمله One-Pixel Activity، WakeLock، پخش صدای بی‌صدا، احیای متقابل سرویس‌ها (Cross-Process Resurrection) و اجرای خودکار پس از راه‌اندازی مجدد دستگاه.
در مجموع، نوآوری اصلی این بدافزار کشف یک روش نفوذ جدید نیست، بلکه خودکارسازی کامل زنجیره سوءاستفاده از Accessibility، Wireless ADB و Shizuku برای رسیدن به دسترسی‌های سطح Shell است؛ موضوعی که نشان می‌دهد قابلیت‌های توسعه‌دهندگان اندروید نیز می‌توانند در صورت سوءاستفاده، به ابزارهای قدرتمند مهاجمان تبدیل شوند.
📖 مقاله کامل:
https://www.group-ib.com/blog/redhook-android-rat-upgraded/
#Android #AndroidSecurity #Malware #RedHook #RAT #ADB #WirelessADB #Accessibility #Shizuku #ThreatIntelligence #ReverseEngineering #CyberSecurity
📢 @androidSec_fa
شرکت Group-IB در جدیدترین گزارش خود نسخه به‌روزشده بدافزار اندرویدی RedHook را تحلیل کرده است. برخلاف چیزی که ممکن است از تیتر مقاله برداشت شود، این بدافزار از یک آسیب‌پذیری (Exploit) جدید استفاده نمی‌کند؛ بلکه با زنجیره‌ای از قابلیت‌های کاملاً قانونی اندروید، سطح دسترسی خود را به شکل قابل‌توجهی افزایش می‌دهد.
سناریوی حمله به این صورت است که ابتدا کاربر را با صفحات فیشینگ و رابط‌های کاربری جعلی فریب می‌دهد تا برنامه را نصب کرده و مجوز Accessibility Service را فعال کند. پس از آن، بدافزار با استفاده از همین مجوز، به‌صورت خودکار وارد تنظیمات دستگاه شده، Developer Options را فعال می‌کند، Wireless ADB Debugging را روشن کرده و فرآیند Pair شدن را نیز بدون نیاز به رایانه انجام می‌دهد.
در ادامه، RedHook با استفاده از پروژه متن‌باز Shizuku یک ADB Client را روی خود دستگاه اجرا کرده و به ADB Daemon از طریق آدرس 127.0.0.1 (Loopback) متصل می‌شود. نتیجه این فرآیند، اجرای یک پردازه با Shell UID (2000) است که امکان استفاده از برخی APIهای محافظت‌شده، اجرای دستورات Shell، تغییر برخی تنظیمات سیستمی و اعطای مجوزهای حساس به خود بدافزار را فراهم می‌کند.
علاوه بر این، RedHook از مکانیزم‌های مختلفی برای ماندگاری (Persistence) استفاده می‌کند؛ از جمله One-Pixel Activity، WakeLock، پخش صدای بی‌صدا، احیای متقابل سرویس‌ها (Cross-Process Resurrection) و اجرای خودکار پس از راه‌اندازی مجدد دستگاه.
در مجموع، نوآوری اصلی این بدافزار کشف یک روش نفوذ جدید نیست، بلکه خودکارسازی کامل زنجیره سوءاستفاده از Accessibility، Wireless ADB و Shizuku برای رسیدن به دسترسی‌های سطح Shell است؛ موضوعی که نشان می‌دهد قابلیت‌های توسعه‌دهندگان اندروید نیز می‌توانند در صورت سوءاستفاده، به ابزارهای قدرتمند مهاجمان تبدیل شوند.
📖 مقاله کامل:
https://www.group-ib.com/blog/redhook-android-rat-upgraded/
#Android #AndroidSecurity #Malware #RedHook #RAT #ADB #WirelessADB #Accessibility #Shizuku #ThreatIntelligence #ReverseEngineering #CyberSecurity
📢 @androidSec_fa
Group-IB
RedHook Returns with a Dangerous Upgrade
Group-IB analysts examine this resurfaced Android Remote Access Trojan, demonstrating new, sophisticated and malicious functionalities including autonomous privilege abuse, expanded command-and-control capabilities, and a robust persistence stack.
👍3
📢 بررسی فنی و گام‌به‌گام تروجان بانکی پیشرفته GoldPickaxe؛ وقتی چهره شما کلید گاوصندوق می‌شود!
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode):
بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست:
ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه:
تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی:
با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping):
با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین:
تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.
در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:
1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)
مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.
2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل
برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.
این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.
3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)
کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.
در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.
4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی
حذف آیکون (Stealth Mode):
بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.
دستکاری فایل مانیفست:
ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!
رمزنگاری ترافیک شبکه:
تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.
5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک
بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:
غیرفعال کردن تشخیص چهره گوشی:
با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.
سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.
جاسوسی کامل از صفحه (Screen Scraping):
با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.
سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!
تخلیه پیامک‌ها و مخاطبین:
تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.
🎯 هدف نهایی
مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.
🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر:
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
📎 https://zimperium.com/blog/goldpickaxe-returns-when-your-biometric-information-is-as-important-as-your-money
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
🆔 @androidSec_fa
#Malware #AndroidSecurity #GoldPickaxe #CyberSecurity #BankingTrojan #BiometricTheft #ReverseEngineering
Zimperium
GoldPickaxe Returns: When Your Biometric Information is as Important as Your Money
true
👍3
📢 دور زدن مجوز مخاطبین در اندروید از طریق گوگل مسیجز! (Confused Deputy Bug)
📱 یک آسیب‌پذیری امنیتی جالب در برنامه Google Messages کشف شده بود که به اپلیکیشن‌های مخرب یا بدون دسترسی اجازه می‌داد بدون داشتن مجوز رسمی خواندن مخاطبین (READ_CONTACTS)، به عکس‌های ذخیره‌شده روی مخاطبین گوشی شما دسترسی پیدا کنند.
🔍 این باگ چطور کار می‌کرد؟
این آسیب‌پذیری از نوع Confused Deputy (معاون گیج) بود. گوگل مسیجز برای لود کردن تصاویر مخاطبان از یک ContentProvider عمومی به نام AvatarContentProvider استفاده می‌کرد که برای برنامه‌های دیگر هم قابل دسترسی بود.
مراحل اجرای باگ به این صورت بود:
1️⃣ برنامه مهاجم (که هیچ دسترسی به مخاطبین نداشت) آدرس عکس یک مخاطب خاص را به گوگل مسیجز می‌فرستاد.
2️⃣ گوگل مسیجز با استفاده از دسترسی‌های سیستمی خودش، آن عکس را لود و به فرمت PNG تبدیل می‌کرد.
3️⃣ در نهایت، گوگل مسیجز تصویر خروجی را دودستی تقدیم برنامه مهاجم می‌کرد!
⚠️ میزان خطر و تأثیرگذاری:
با اینکه این باگ کل اطلاعات مخاطب (مثل شماره تلفن) را فاش نمی‌کرد و فقط به عکس‌ها دسترسی داشت، اما یک بای‌پاس کامل برای لایه امنیتی اندروید به شمار می‌رفت. از آنجا که شناسه‌های عددی مخاطبان در اندروید ترتیبی هستند، مهاجم با یک اسکن ساده می‌توانست تمام تصاویر مخاطبان کاربر را استخراج کند.
🛠 وضعیت باگ:
این گزارش توسط Daniel Pua ثبت شد و گوگل در تاریخ ۲۳ خرداد ۱۴۰۵ (June 12, 2026) آن را به طور کامل برطرف کرد و پاداشی نیز به یابنده تعلق گرفت.
🔗 لینک مقاله کامل برای مطالعه جزئیات فنی و PoC:
👉 https://blog.devploit.dev/posts/google-messages-avatarcontentprovider-contacts-bypass/
#Android #AndroidSecurity #GoogleMessages #Vulnerability #BugBounty #ConfusedDeputy #Exploit
📢 @androidSec_fa
📱 یک آسیب‌پذیری امنیتی جالب در برنامه Google Messages کشف شده بود که به اپلیکیشن‌های مخرب یا بدون دسترسی اجازه می‌داد بدون داشتن مجوز رسمی خواندن مخاطبین (READ_CONTACTS)، به عکس‌های ذخیره‌شده روی مخاطبین گوشی شما دسترسی پیدا کنند.
🔍 این باگ چطور کار می‌کرد؟
این آسیب‌پذیری از نوع Confused Deputy (معاون گیج) بود. گوگل مسیجز برای لود کردن تصاویر مخاطبان از یک ContentProvider عمومی به نام AvatarContentProvider استفاده می‌کرد که برای برنامه‌های دیگر هم قابل دسترسی بود.
مراحل اجرای باگ به این صورت بود:
1️⃣ برنامه مهاجم (که هیچ دسترسی به مخاطبین نداشت) آدرس عکس یک مخاطب خاص را به گوگل مسیجز می‌فرستاد.
2️⃣ گوگل مسیجز با استفاده از دسترسی‌های سیستمی خودش، آن عکس را لود و به فرمت PNG تبدیل می‌کرد.
3️⃣ در نهایت، گوگل مسیجز تصویر خروجی را دودستی تقدیم برنامه مهاجم می‌کرد!
⚠️ میزان خطر و تأثیرگذاری:
با اینکه این باگ کل اطلاعات مخاطب (مثل شماره تلفن) را فاش نمی‌کرد و فقط به عکس‌ها دسترسی داشت، اما یک بای‌پاس کامل برای لایه امنیتی اندروید به شمار می‌رفت. از آنجا که شناسه‌های عددی مخاطبان در اندروید ترتیبی هستند، مهاجم با یک اسکن ساده می‌توانست تمام تصاویر مخاطبان کاربر را استخراج کند.
🛠 وضعیت باگ:
این گزارش توسط Daniel Pua ثبت شد و گوگل در تاریخ ۲۳ خرداد ۱۴۰۵ (June 12, 2026) آن را به طور کامل برطرف کرد و پاداشی نیز به یابنده تعلق گرفت.
🔗 لینک مقاله کامل برای مطالعه جزئیات فنی و PoC:
👉 https://blog.devploit.dev/posts/google-messages-avatarcontentprovider-contacts-bypass/
#Android #AndroidSecurity #GoogleMessages #Vulnerability #BugBounty #ConfusedDeputy #Exploit
📢 @androidSec_fa
devploit / blog
Reading Contact Photos Without READ_CONTACTS: A Google Messages Confused Deputy Bug
Analysis of a fixed Google Messages vulnerability that exposed contact photos without READ_CONTACTS, covering its root cause and responsible disclosure.
👍4
پست اول: آشنایی با چالش و ساختار دفاعی (۱/۳)
تارگت‌های کله‌گنده و سد محکمی به نام
تا حالا موقع تست نفوذ یا مهندسی معکوس اپلیکیشن‌های بانکی و مالی به
در این سری پست‌ها می‌خوایم قدم به قدم مکانیزم یک مقاله فوق‌العاده رو بررسی کنیم که نشون میده چطور میشه با ابزار قدرتمند `Frida` این سد امنیتی رو دور زد.
پترن دفاعی این اپلیکیشن چیه؟
خیلی از برنامه‌نویس‌ها برای محافظت از کلید خصوصی (`Private Key`) که روی گوشی کلاینت ذخیره میشه، از رمز عبورهای پویا در زمان اجرا (
🔴 رمز عبور به هیچ وجه هاردکد نشده.
🔴 رمز در لحظه اجرا از ترکیب `
🔴 برای سخت‌تر شدن کار، خروجی از ۲۰۰,۰۰۰ مرتبه تکرار الگوریتم `PBKDF2` رد میشه!
🔴 بعد از استفاده هم بلافاصله حافظه رم با `
به نظر غیرقابل نفوذ میاد، مگه نه؟ شکستن این رمز به صورت آفلاین تقریباً غیرممکنه! اما امان از یک اشتباه کوچک در معماری ذخیره‌سازی کلید...
در پست بعدی وارد فاز عملیاتی میشیم و اولین قفل رو با فریدا باز می‌کنیم. با ما همراه باشید!
#AndroidSecurity #mTLS #Frida #ReverseEngineering #PenetrationTesting
@AndroidSec_fa
تارگت‌های کله‌گنده و سد محکمی به نام
mTLS!تا حالا موقع تست نفوذ یا مهندسی معکوس اپلیکیشن‌های بانکی و مالی به
mTLS برخورد کردید؟ همون لایه امنیتی سرسختی که برخلاف TLS معمولی، سرور هم از کلاینت (گوشی) گواهینامه معتبر میخواد و اجازه نمیده ترافیک رو به این راحتی‌ها از Burp Suite رد کنید!در این سری پست‌ها می‌خوایم قدم به قدم مکانیزم یک مقاله فوق‌العاده رو بررسی کنیم که نشون میده چطور میشه با ابزار قدرتمند `Frida` این سد امنیتی رو دور زد.
پترن دفاعی این اپلیکیشن چیه؟
خیلی از برنامه‌نویس‌ها برای محافظت از کلید خصوصی (`Private Key`) که روی گوشی کلاینت ذخیره میشه، از رمز عبورهای پویا در زمان اجرا (
Runtime-Derived Password) استفاده می‌کنن. در این مقاله هم توسعه‌دهنده کارش رو بلد بوده:🔴 رمز عبور به هیچ وجه هاردکد نشده.
🔴 رمز در لحظه اجرا از ترکیب `
ANDROID_ID، مشخصات رام دستگاه (Build.FINGERPRINT`) و اسم پکیج ساخته میشه.🔴 برای سخت‌تر شدن کار، خروجی از ۲۰۰,۰۰۰ مرتبه تکرار الگوریتم `PBKDF2` رد میشه!
🔴 بعد از استفاده هم بلافاصله حافظه رم با `
Arrays.fill` وایپ (پاک) میشه.به نظر غیرقابل نفوذ میاد، مگه نه؟ شکستن این رمز به صورت آفلاین تقریباً غیرممکنه! اما امان از یک اشتباه کوچک در معماری ذخیره‌سازی کلید...
در پست بعدی وارد فاز عملیاتی میشیم و اولین قفل رو با فریدا باز می‌کنیم. با ما همراه باشید!
#AndroidSecurity #mTLS #Frida #ReverseEngineering #PenetrationTesting
@AndroidSec_fa
👍5
پست دوم: فاز عملیاتی و استخراج کلید از رم (۲/۳)
چطور رمز ۲۰۰,۰۰۰ مرتبه‌ای PBKDF2 با یک هوک فریدا بی‌اثر شد؟
در پست قبل دیدیم که اپلیکیشن چقدر قوی رمز عبور فایل گواهینامه (.p12) رو به صورت پویا تولید میکنه. اما مشکل اصلی سناریو اینجاست: محل نگهداری کلید!
برنامه برای تولید جفت‌کلید از این دستور استفاده کرده:
KeyPairGenerator.getInstance("EC")
این یعنی کلید به صورت یک شیء نرم‌افزاری معمولی توی حافظه رم (JVM Heap) ساخته میشه، نه داخل محیط ایزوله و سخت‌افزاری دستگاه (TEE).
حالا بریم سراغ سناریوی دور زدن (Bypass) در دو گام:
گام اول: شکستن SSL Pinning (بای‌پاس TrustManager)
قبل از هر چیز باید کاری کنیم اندروید گواهینامه جعلی Burp Suite رو قبول کنه. با فریدا متد SSLContext.init() رو هوک می‌کنیم و بخش TrustManager رو با یک کلاس سفارشی که هر سازوکاری رو تایید میکنه جایگزین می‌کنیم. حالا ترافیک تا Burp میاد، اما سرور به خاطر نداشتن کلید کلاینت ارور 401 میده.
گام دوم: قاپیدن کلید در لحظه طلایی!
قفل چقدر هم که قوی باشه، برنامه برای اینکه بتونه با سرور دست‌دادن (Handshake) انجام بده، مجبوره فایل رو باز کنه، رمزگشایی کنه و کلید رو به صورت متن آشکار وارد رم کنه!
نویسنده متد سازنده کلاس ClientKeyManager رو دقیقاً در لحظه لود شدن هوک میکنه. فریدا اینجا چیکار میکنه؟
رمز عبور ۶۴ کاراکتری حاصل از ۲۰۰ هزار بار فرآیند PBKDF2 رو قبل از پاک شدن از رم، دو دستی تقدیم مهاجم میکنه!
متدهای ks.getCertificate و ks.getKey رو صدا میزنه و بایت‌های واقعی کلید خصوصی رو از رم بیرون می‌کشه و به فرمت متنی استاندارد (PEM) توی کنسول چاپ میکنه!
در پست آخر، این کلید رو به Burp Suite تزریق می‌کنیم و ترافیک رو کاملاً دور می‌زنیم.
#AndroidSec #Exploit #MobileSecurity #BugBounty #SSLBinning
@AndroidSec_fa
چطور رمز ۲۰۰,۰۰۰ مرتبه‌ای PBKDF2 با یک هوک فریدا بی‌اثر شد؟
در پست قبل دیدیم که اپلیکیشن چقدر قوی رمز عبور فایل گواهینامه (.p12) رو به صورت پویا تولید میکنه. اما مشکل اصلی سناریو اینجاست: محل نگهداری کلید!
برنامه برای تولید جفت‌کلید از این دستور استفاده کرده:
KeyPairGenerator.getInstance("EC")
این یعنی کلید به صورت یک شیء نرم‌افزاری معمولی توی حافظه رم (JVM Heap) ساخته میشه، نه داخل محیط ایزوله و سخت‌افزاری دستگاه (TEE).
حالا بریم سراغ سناریوی دور زدن (Bypass) در دو گام:
گام اول: شکستن SSL Pinning (بای‌پاس TrustManager)
قبل از هر چیز باید کاری کنیم اندروید گواهینامه جعلی Burp Suite رو قبول کنه. با فریدا متد SSLContext.init() رو هوک می‌کنیم و بخش TrustManager رو با یک کلاس سفارشی که هر سازوکاری رو تایید میکنه جایگزین می‌کنیم. حالا ترافیک تا Burp میاد، اما سرور به خاطر نداشتن کلید کلاینت ارور 401 میده.
گام دوم: قاپیدن کلید در لحظه طلایی!
قفل چقدر هم که قوی باشه، برنامه برای اینکه بتونه با سرور دست‌دادن (Handshake) انجام بده، مجبوره فایل رو باز کنه، رمزگشایی کنه و کلید رو به صورت متن آشکار وارد رم کنه!
نویسنده متد سازنده کلاس ClientKeyManager رو دقیقاً در لحظه لود شدن هوک میکنه. فریدا اینجا چیکار میکنه؟
رمز عبور ۶۴ کاراکتری حاصل از ۲۰۰ هزار بار فرآیند PBKDF2 رو قبل از پاک شدن از رم، دو دستی تقدیم مهاجم میکنه!
متدهای ks.getCertificate و ks.getKey رو صدا میزنه و بایت‌های واقعی کلید خصوصی رو از رم بیرون می‌کشه و به فرمت متنی استاندارد (PEM) توی کنسول چاپ میکنه!
در پست آخر، این کلید رو به Burp Suite تزریق می‌کنیم و ترافیک رو کاملاً دور می‌زنیم.
#AndroidSec #Exploit #MobileSecurity #BugBounty #SSLBinning
@AndroidSec_fa
👍3
پست سوم: اتمام کار و راهکار امن‌سازی (۳/۳)
پایان کار mTLS و نفوذ کامل به ترافیک شبکه
توی دو تا پست قبلی تونستیم با فریدا، گواهینامه کلاینت و کلید خصوصی رو مستقیماً از حافظه رم اپلیکیشن استخراج کنیم. حالا نوبت به برداشت محصول میرسه!
گام نهایی: تزریق به Burp Suite
۱. دو بلاک متنی (PEM) مربوط به کلید و گواهی رو از کنسول فریدا کپی و ذخیره می‌کنیم.
۲. با ابزار OpenSSL اون‌ها را به یک فایل واحد کلاینت تبدیل می‌کنیم:
۳. فایل حاصل رو در تنظیمات Burp Suite و در بخش Client TLS Certificates وارد می‌کنیم.
کار تمومه! حالا Burp Suite گواهینامه معتبر رو به سرور ارائه میده، سرور فریب می‌خوره و درخواست‌های ما با پاسخ ۲Keep OK باز میشن. ترافیک کاملاً شنود و دستکاری میشه!
برنامه‌نویس‌ها چطور باید جلو این آسیب‌پذیری رو بگیرن؟
مهم‌ترین درسی که از این مقاله می‌گیریم اینه که رمزنگاری قویِ فایل، جایگزین امنیت محل ذخیره‌سازی نمیشه. راهکار قطعی:
۱. استفاده از AndroidKeyStore + TEE: کلیدها باید طوری ساخته بشن که در لایه سخت‌افزار قرار بگیرن. در این حالت متد getEncoded() مقدار null برمی‌گردونه و کلید هیچ‌وقت وارد رم نرم‌افزاری نمیشه که فریدا بتونه اون رو ببینه.
۲. استفاده از Key Attestation: سرور باید در زمان ثبت‌نام بررسی کنه که کلید حتماً سخت‌افزاری باشه و کلیدهای نرم‌افزاری رو رد کنه.
برای مطالعه جزئیات بیشتر، خطوط کد جاوای اپلیکیشن و اسکریپت فریدای استفاده شده، می‌تونید مقاله کامل رو در مدینوم مطالعه کنید:
🔗 https://kiratliygt.medium.com/how-to-bypass-mtls-on-android-with-frida-45c5e71373e8
#AndroidSecurity #CyberSecurity #AppSec #mTLSBypass #DefensiveCoding
@AndroidSec_fa
پایان کار mTLS و نفوذ کامل به ترافیک شبکه
توی دو تا پست قبلی تونستیم با فریدا، گواهینامه کلاینت و کلید خصوصی رو مستقیماً از حافظه رم اپلیکیشن استخراج کنیم. حالا نوبت به برداشت محصول میرسه!
گام نهایی: تزریق به Burp Suite
۱. دو بلاک متنی (PEM) مربوط به کلید و گواهی رو از کنسول فریدا کپی و ذخیره می‌کنیم.
۲. با ابزار OpenSSL اون‌ها را به یک فایل واحد کلاینت تبدیل می‌کنیم:
openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in cert.pem
۳. فایل حاصل رو در تنظیمات Burp Suite و در بخش Client TLS Certificates وارد می‌کنیم.
کار تمومه! حالا Burp Suite گواهینامه معتبر رو به سرور ارائه میده، سرور فریب می‌خوره و درخواست‌های ما با پاسخ ۲Keep OK باز میشن. ترافیک کاملاً شنود و دستکاری میشه!
برنامه‌نویس‌ها چطور باید جلو این آسیب‌پذیری رو بگیرن؟
مهم‌ترین درسی که از این مقاله می‌گیریم اینه که رمزنگاری قویِ فایل، جایگزین امنیت محل ذخیره‌سازی نمیشه. راهکار قطعی:
۱. استفاده از AndroidKeyStore + TEE: کلیدها باید طوری ساخته بشن که در لایه سخت‌افزار قرار بگیرن. در این حالت متد getEncoded() مقدار null برمی‌گردونه و کلید هیچ‌وقت وارد رم نرم‌افزاری نمیشه که فریدا بتونه اون رو ببینه.
۲. استفاده از Key Attestation: سرور باید در زمان ثبت‌نام بررسی کنه که کلید حتماً سخت‌افزاری باشه و کلیدهای نرم‌افزاری رو رد کنه.
برای مطالعه جزئیات بیشتر، خطوط کد جاوای اپلیکیشن و اسکریپت فریدای استفاده شده، می‌تونید مقاله کامل رو در مدینوم مطالعه کنید:
🔗 https://kiratliygt.medium.com/how-to-bypass-mtls-on-android-with-frida-45c5e71373e8
#AndroidSecurity #CyberSecurity #AppSec #mTLSBypass #DefensiveCoding
@AndroidSec_fa
Medium
How to Bypass mTLS on Android with Frida
Keywords: mTLS bypass Android, Frida mTLS, Android mutual TLS bypass, Burp Suite mTLS Android, Android mTLS pentest, PKCS12 Android…
👍3
Media is too big
VIEW IN TELEGRAM
📱 راهنمای جامع و گام‌به‌گام نصب کاستوم رام لایینیج اواس (LineageOS)
🆔 عضویت در کانال برای آموزش‌های تخصصی بیشتر:
@AndroidSec_fa
🆔 عضویت در کانال برای آموزش‌های تخصصی بیشتر:
@AndroidSec_fa
👍3
هشدارهای حیاتی قبل از شروع (حتماً بخوانید!)
۱
. حذف کامل اطلاعات: این فرآیند تمامی اطلاعات گوشی شما (عکس، فیلم، مخاطبین و...) را کاملاً پاک می‌کند. حتماً بکاپ بگیرید.
۲. وضعیت بوت‌لودر: بوت‌لودر دستگاه شما باید از قبل به صورت رسمی آنلاک (باز) شده باشد.
۳. شارژ باتری: شارژ گوشی حداقل بین ۶۰ تا ۷۰ درصد باشد و از کابل USB باکیفیت استفاده کنید.
۴. تطابق فایل‌ها: مراحل کلی برای همه گوشی‌ها یکسان است؛ اما فایل ریکاوری و دستورات دقیق برای هر مدل تفاوت دارد. همیشه صفحه اختصاصی مدل خود را در سایت رسمی چک کنید.
🛠 گام اول: آماده‌سازی ابزارها و گوشی
۱. به سایت رسمی LineageOS رفته، مدل دقیق گوشی خود را پیدا کنید و فایل ریکاوری رسمی (با پسوند
۲. ابزار Android SDK Platform-Tools را برای کامپیوتر دانلود و استخراج (Extract) کنید. فایل ریکاوری را به داخل این پوشه ببرید.
۳. در تنظیمات گوشی بخش About Phone، با ۷ بار ضربه روی نسخه ساخت (Build Number)، گزینه‌های توسعه‌دهنده (Developer Options) را فعال کنید.
۴. وارد Developer Options شده و USB Debugging را روشن کنید. گوشی را با کابل وصل کرده و روی حالت File Transfer بگذارید.
۵. مهم: تمام حساب‌های گوگل و اکانت‌های شرکتی (مثل Mi Account) را از گوشی حذف کنید تا بعداً دچار قفل امنیتی نشوید.
🔄 گام دوم: بررسی فِرم‌ور و نصب ریکاوری لاینج
۱. مطمئن شوید نسخه فِرم‌ور پایه گوشی شما دقیقاً با نسخه پیش‌نیاز اعلام‌شده در سایت مطابقت دارد.
۲. در پوشه
۳. با دستور
۴. دستور
۵. با دستور زیر ریکاوری را فلش کنید:
```
۶. نکته کلیدی: بلافاصله بعد از اتمام، دکمه‌های ولوم بالا + پاور را همزمان نگه دارید تا گوشی مستقیماً وارد محیط ریکاوری لاینج‌اواس شود و سیستم‌عامل قبلی بالا نیاید.
📥 گام سوم: پاکسازی و نصب کاستوم رام
۱. در ریکاوری گوشی، به بخش Factory Reset رفته و گزینه Format Data/Factory Reset را انتخاب و تایید کنید تا حافظه کاملاً پاک شود. به منوی اصلی برگردید.
۲. گزینه Apply Update و سپس Apply from ADB را روی گوشی انتخاب کنید.
۳. در کامپیوتر دستور
🤖 گام چهارم: نصب برنامه‌های گوگل (GApps) - اختیاری
لاینج‌اواس به صورت پیش‌فرض فاقد خدمات گوگل و پلی‌استور است. در صورت تمایل به داشتن گوگل: ۱. پکیج GApps متناسب با اندروید و پردازنده گوشی خود را دانلود کنید. ۲. مجدداً در ریکاوری گزینه Apply Update > Apply from ADB را بزنید. ۳. دستور
🚀 گام پنجم: راه‌اندازی نهایی
در منوی ریکاوری، گزینه Reboot System Now را انتخاب کنید. اولین بوت سیستم‌عامل جدید ممکن است بین ۵ تا ۱۵ دقیقه زمان ببرد. صبور باشید و گوشی را به اجبار ریستارت نکنید تا صفحه راه‌اندازی اولیه اندروید ظاهر شود.
📝 فایل PDF راهنمای متنی و تصویری با جزئیات کامل در پیوست این پست قرار گرفته است.
🆔 عضویت در کانال برای آموزش‌های تخصصی بیشتر: @AndroidSec_fa
۱
. حذف کامل اطلاعات: این فرآیند تمامی اطلاعات گوشی شما (عکس، فیلم، مخاطبین و...) را کاملاً پاک می‌کند. حتماً بکاپ بگیرید.
۲. وضعیت بوت‌لودر: بوت‌لودر دستگاه شما باید از قبل به صورت رسمی آنلاک (باز) شده باشد.
۳. شارژ باتری: شارژ گوشی حداقل بین ۶۰ تا ۷۰ درصد باشد و از کابل USB باکیفیت استفاده کنید.
۴. تطابق فایل‌ها: مراحل کلی برای همه گوشی‌ها یکسان است؛ اما فایل ریکاوری و دستورات دقیق برای هر مدل تفاوت دارد. همیشه صفحه اختصاصی مدل خود را در سایت رسمی چک کنید.
🛠 گام اول: آماده‌سازی ابزارها و گوشی
۱. به سایت رسمی LineageOS رفته، مدل دقیق گوشی خود را پیدا کنید و فایل ریکاوری رسمی (با پسوند
.img) و فایل اصلی رام (با پسوند .zip) را دانلود کنید. ۲. ابزار Android SDK Platform-Tools را برای کامپیوتر دانلود و استخراج (Extract) کنید. فایل ریکاوری را به داخل این پوشه ببرید.
۳. در تنظیمات گوشی بخش About Phone، با ۷ بار ضربه روی نسخه ساخت (Build Number)، گزینه‌های توسعه‌دهنده (Developer Options) را فعال کنید.
۴. وارد Developer Options شده و USB Debugging را روشن کنید. گوشی را با کابل وصل کرده و روی حالت File Transfer بگذارید.
۵. مهم: تمام حساب‌های گوگل و اکانت‌های شرکتی (مثل Mi Account) را از گوشی حذف کنید تا بعداً دچار قفل امنیتی نشوید.
🔄 گام دوم: بررسی فِرم‌ور و نصب ریکاوری لاینج
۱. مطمئن شوید نسخه فِرم‌ور پایه گوشی شما دقیقاً با نسخه پیش‌نیاز اعلام‌شده در سایت مطابقت دارد.
۲. در پوشه
platform-tools کامپیوتر، پنجره خط فرمان (CMD) را باز کنید. ۳. با دستور
adb devices از اتصال مطمئن شوید (پیام روی گوشی را تایید کنید). ۴. دستور
adb reboot bootloader را بزنید تا گوشی وارد حالت فست‌بوت شود. ۵. با دستور زیر ریکاوری را فلش کنید:
```
fastboot flash recovery recovery.img```
۶. نکته کلیدی: بلافاصله بعد از اتمام، دکمه‌های ولوم بالا + پاور را همزمان نگه دارید تا گوشی مستقیماً وارد محیط ریکاوری لاینج‌اواس شود و سیستم‌عامل قبلی بالا نیاید.
📥 گام سوم: پاکسازی و نصب کاستوم رام
۱. در ریکاوری گوشی، به بخش Factory Reset رفته و گزینه Format Data/Factory Reset را انتخاب و تایید کنید تا حافظه کاملاً پاک شود. به منوی اصلی برگردید.
۲. گزینه Apply Update و سپس Apply from ADB را روی گوشی انتخاب کنید.
۳. در کامپیوتر دستور
adb sideload را تایپ کرده، یک فاصله بگذارید، فایل زیپ رام را داخل CMD بکشید و اینتر بزنید. منتظر بمانید تا نصب با موفقیت تمام شود.🤖 گام چهارم: نصب برنامه‌های گوگل (GApps) - اختیاری
لاینج‌اواس به صورت پیش‌فرض فاقد خدمات گوگل و پلی‌استور است. در صورت تمایل به داشتن گوگل: ۱. پکیج GApps متناسب با اندروید و پردازنده گوشی خود را دانلود کنید. ۲. مجدداً در ریکاوری گزینه Apply Update > Apply from ADB را بزنید. ۳. دستور
adb sideload را همراه با فایل GApps اجرا کنید (در صورت دیدن ارور امضا، گزینه Yes را بزنید).🚀 گام پنجم: راه‌اندازی نهایی
در منوی ریکاوری، گزینه Reboot System Now را انتخاب کنید. اولین بوت سیستم‌عامل جدید ممکن است بین ۵ تا ۱۵ دقیقه زمان ببرد. صبور باشید و گوشی را به اجبار ریستارت نکنید تا صفحه راه‌اندازی اولیه اندروید ظاهر شود.
📝 فایل PDF راهنمای متنی و تصویری با جزئیات کامل در پیوست این پست قرار گرفته است.
🆔 عضویت در کانال برای آموزش‌های تخصصی بیشتر: @AndroidSec_fa
👍4👎1
📞 قابلیت ضبط تماس رو گوشی سامسونگ نداری؟
با این ترفند ساده، بدون روت و بدون ریست شدن گوشی، دکمه ضبط تماس رو فعال کن 🎙️
✅ بدون از دست دادن اطلاعات
✅ بدون نیاز به آنلاک بوت‌لودر
✅ فقط با یک نرم‌افزار کامپیوتری
📱 مناسب برای تمام مدل‌های سامسونگ
ادامه آموزش در پست بعدی 👇
#سامسونگ #ضبط_تماس #آموزش_سامسونگ #ترفند_سامسونگ #Samsung_Call_Recording
@androidSec_fa
با این ترفند ساده، بدون روت و بدون ریست شدن گوشی، دکمه ضبط تماس رو فعال کن 🎙️
✅ بدون از دست دادن اطلاعات
✅ بدون نیاز به آنلاک بوت‌لودر
✅ فقط با یک نرم‌افزار کامپیوتری
📱 مناسب برای تمام مدل‌های سامسونگ
ادامه آموزش در پست بعدی 👇
#سامسونگ #ضبط_تماس #آموزش_سامسونگ #ترفند_سامسونگ #Samsung_Call_Recording
@androidSec_fa
👍3👎1
⚙️ مرحله به مرحله فعال‌سازی ضبط تماس در سامسونگ:
۱️⃣ تنظیمات گوشی رو باز کن
→ About Phone → Software Information
→ ۷ بار روی Build Number بزن (حالت توسعه‌فعال میشه)
۲️⃣ برگرد به Settings → Developer Options
→ USB Debugging رو روشن کن
۳️⃣ گوشی رو با کابل به کامپیوتر وصل کن
و حالت File Transfer رو انتخاب کن
۴️⃣ نرم‌افزار SamFw Tool رو دانلود و نصب کن
(همراه با Samsung USB Driver)
۵️⃣ در برنامه، به تب MTP برو
→ Change CSC → کد INS (هند) رو انتخاب کن
→ بزن Change و صبر کن تا گوشی ری‌استارت بشه
✅ بعد از ری‌استارت، گزینه Record Calls در تنظیمات تماس ظاهر میشه!
#آموزش_سامسونگ #ضبط_صوت #سامسونگ_گلکسی #ترفند_موبایل
@androidSec_fa
۱️⃣ تنظیمات گوشی رو باز کن
→ About Phone → Software Information
→ ۷ بار روی Build Number بزن (حالت توسعه‌فعال میشه)
۲️⃣ برگرد به Settings → Developer Options
→ USB Debugging رو روشن کن
۳️⃣ گوشی رو با کابل به کامپیوتر وصل کن
و حالت File Transfer رو انتخاب کن
۴️⃣ نرم‌افزار SamFw Tool رو دانلود و نصب کن
(همراه با Samsung USB Driver)
۵️⃣ در برنامه، به تب MTP برو
→ Change CSC → کد INS (هند) رو انتخاب کن
→ بزن Change و صبر کن تا گوشی ری‌استارت بشه
✅ بعد از ری‌استارت، گزینه Record Calls در تنظیمات تماس ظاهر میشه!
#آموزش_سامسونگ #ضبط_صوت #سامسونگ_گلکسی #ترفند_موبایل
@androidSec_fa
👍4👎1
🎯 نتیجه نهایی:
بعد از تغییر CSC به منطقه‌ای که ضبط تماس مجازه (مثل هند)،
در هنگام تماس دکمه ضبط ظاهر میشه و فایل صوتی هم در حافظه گوشی ذخیره میشه 🎧
📌 نکته مهم:
این روش خطری برای گوشی نداره و اطلاعات شما پاک نمیشه.
❗ فقط یادت باشه که CSC جدید ممکنه تنظیمات شبکه رو یه کم تغییر بده (مثل نام اپراتور) که در اکثر موارد بی‌خطره.
📲 اگر سوالی داری، تو کامنت‌ها بپرس.
#سامسونگ_ترفند #ضبط_تماس_سامسونگ #آموزش_موبایل #بدون_روت
@androidSec_fa
بعد از تغییر CSC به منطقه‌ای که ضبط تماس مجازه (مثل هند)،
در هنگام تماس دکمه ضبط ظاهر میشه و فایل صوتی هم در حافظه گوشی ذخیره میشه 🎧
📌 نکته مهم:
این روش خطری برای گوشی نداره و اطلاعات شما پاک نمیشه.
❗ فقط یادت باشه که CSC جدید ممکنه تنظیمات شبکه رو یه کم تغییر بده (مثل نام اپراتور) که در اکثر موارد بی‌خطره.
📲 اگر سوالی داری، تو کامنت‌ها بپرس.
#سامسونگ_ترفند #ضبط_تماس_سامسونگ #آموزش_موبایل #بدون_روت
@androidSec_fa
👍4👎1
📱 بررسی امنیتی اندروید ۱۷ (Cinnamon Bun) – چه تغییراتی برای امنیت و حریم خصوصی دارد؟
نسخه‌ی جدید اندروید منتشر شده؛ اما به‌جای حاشیه‌های ظاهری، بگذارید از زاویه‌ی امنیت به آن نگاه کنیم. این‌ها مهم‌ترین تغییراتی هستند که برای کاربران حرفه‌ای و علاقه‌مندان به امنیت جذابیت دارند:
🔹 جداسازی دکمه‌های Wi-Fi و Mobile Data در Quick Settings
- شاید ساده به نظر برسد، اما از منظر امنیتی یعنی کنترل دقیق‌تر روی اتصالات.
- امکان خاموش‌کردن سریع هر اتصال به‌طور مستقل، بدون ورود به منوی چندلایه.
- کاهش ریسک اتصال ناخواسته به شبکه‌های مخرب (مثلاً وقتی فقط می‌خواهید دیتای موبایل را قطع کنید).
🔹 حالت بازی روی گوشی‌های تاشو (نیمی صفحه نمایش، نیمی گیم‌پد)
- از دید امنیتی، جداسازی محیط اجرای بازی از سایر بخش‌های سیستم می‌تواند به محدود کردن دسترسی‌های مشکوک برخی بازی‌ها کمک کند.
🔹 Bubble Bar با قابلیت اجرای همزمان ۴ اپ در پنجره‌ی شناور
- این ویژگی حمله‌های UI Redressing (پوشش‌دهی بدافزار روی برنامه‌های دیگر) را پیچیده‌تر می‌کند.
- اما از سوی دیگر، مدیریت دسترسی‌ها به حباب‌ها باید دقیق‌تر کنترل شود تا اپ‌های مخرب از این قابلیت سوءاستفاده نکنند.
🔹 بهبودهای ظاهری و شفافیت (Transparency) در ویجت‌ها و منوها
- گرچه ظاهری است، اما نشان‌دهنده‌ی بهبود رندرینگ و لایه‌بندی است که از نظر امنیت، می‌تواند از برخی حملات مبتنی بر Screen Overlay جلوگیری کند.
🔹 Easter Egg جدید (بازی ستاره‌ها و مینی‌گیم فضایی)
- هیچ تاثیر امنیتی ندارد، اما همان‌طور که می‌دانید، تخم‌مرغ‌های عید پاک گاهی مسیرهایی برای تحقیقات امنیتی (مثل دسترسی به لاگ‌های مخفی) بوده‌اند. ارزش بررسی دارد.
⚠️ نکته‌ی امنیتی مهم:
گوگل در اندروید ۱۷، سیستم مجوزهای دسترسی به دوربین و میکروفن را در حین ضبط صفحه (Screen Recording) دقیق‌تر کرده است. اگر از ویژگی Screen Reactions (نمایش سلفی در حین ضبط) استفاده می‌کنید، حواستان به مجوزهای لحظه‌ای باشد.
🔮 ویژگی‌های امنیتی آینده که در I/O وعده داده شدند:
- Rambler: بهبود تبدیل گفتار به متن با پردازش محلی (کاهش ارسال داده به سرور)
- Pause Point: ابزار جدید دیجیتال ول‌بینگ با تمرکز بر مدیریت زمان‌بری اپ‌ها
- ساخت ویجت با زبان طبیعی: که احتمالاً مدل‌های هوش مصنوعی محلی را تقویت می‌کند.
💡 جمع‌بندی امنیتی:
اندروید ۱۷ یک آپدیت انقلابی نیست، اما گام‌های مثبتی در جهت شفافیت، کنترل بیشتر کاربر روی اتصالات و بهبود لایه‌بندی گرافیکی برداشته که همگی برای امنیت روزمره مفید هستند.
همیشه به‌روز باشید و هر نسخه‌ی جدید را از منظر دسترسی‌ها و مجوزها بررسی کنید.
🔗 عضویت در کانال برای تحلیل‌های امنیتی بیشتر:
@androidSec_fa
#اندروید۱۷ #امنیت_اندروید #گوگل_پیکسل #CinnamonBun #آپدیت_امنیتی #حریم_خصوصی #هک_اندروید #AndroidSecurity
@androidSec_fa
نسخه‌ی جدید اندروید منتشر شده؛ اما به‌جای حاشیه‌های ظاهری، بگذارید از زاویه‌ی امنیت به آن نگاه کنیم. این‌ها مهم‌ترین تغییراتی هستند که برای کاربران حرفه‌ای و علاقه‌مندان به امنیت جذابیت دارند:
🔹 جداسازی دکمه‌های Wi-Fi و Mobile Data در Quick Settings
- شاید ساده به نظر برسد، اما از منظر امنیتی یعنی کنترل دقیق‌تر روی اتصالات.
- امکان خاموش‌کردن سریع هر اتصال به‌طور مستقل، بدون ورود به منوی چندلایه.
- کاهش ریسک اتصال ناخواسته به شبکه‌های مخرب (مثلاً وقتی فقط می‌خواهید دیتای موبایل را قطع کنید).
🔹 حالت بازی روی گوشی‌های تاشو (نیمی صفحه نمایش، نیمی گیم‌پد)
- از دید امنیتی، جداسازی محیط اجرای بازی از سایر بخش‌های سیستم می‌تواند به محدود کردن دسترسی‌های مشکوک برخی بازی‌ها کمک کند.
🔹 Bubble Bar با قابلیت اجرای همزمان ۴ اپ در پنجره‌ی شناور
- این ویژگی حمله‌های UI Redressing (پوشش‌دهی بدافزار روی برنامه‌های دیگر) را پیچیده‌تر می‌کند.
- اما از سوی دیگر، مدیریت دسترسی‌ها به حباب‌ها باید دقیق‌تر کنترل شود تا اپ‌های مخرب از این قابلیت سوءاستفاده نکنند.
🔹 بهبودهای ظاهری و شفافیت (Transparency) در ویجت‌ها و منوها
- گرچه ظاهری است، اما نشان‌دهنده‌ی بهبود رندرینگ و لایه‌بندی است که از نظر امنیت، می‌تواند از برخی حملات مبتنی بر Screen Overlay جلوگیری کند.
🔹 Easter Egg جدید (بازی ستاره‌ها و مینی‌گیم فضایی)
- هیچ تاثیر امنیتی ندارد، اما همان‌طور که می‌دانید، تخم‌مرغ‌های عید پاک گاهی مسیرهایی برای تحقیقات امنیتی (مثل دسترسی به لاگ‌های مخفی) بوده‌اند. ارزش بررسی دارد.
⚠️ نکته‌ی امنیتی مهم:
گوگل در اندروید ۱۷، سیستم مجوزهای دسترسی به دوربین و میکروفن را در حین ضبط صفحه (Screen Recording) دقیق‌تر کرده است. اگر از ویژگی Screen Reactions (نمایش سلفی در حین ضبط) استفاده می‌کنید، حواستان به مجوزهای لحظه‌ای باشد.
🔮 ویژگی‌های امنیتی آینده که در I/O وعده داده شدند:
- Rambler: بهبود تبدیل گفتار به متن با پردازش محلی (کاهش ارسال داده به سرور)
- Pause Point: ابزار جدید دیجیتال ول‌بینگ با تمرکز بر مدیریت زمان‌بری اپ‌ها
- ساخت ویجت با زبان طبیعی: که احتمالاً مدل‌های هوش مصنوعی محلی را تقویت می‌کند.
💡 جمع‌بندی امنیتی:
اندروید ۱۷ یک آپدیت انقلابی نیست، اما گام‌های مثبتی در جهت شفافیت، کنترل بیشتر کاربر روی اتصالات و بهبود لایه‌بندی گرافیکی برداشته که همگی برای امنیت روزمره مفید هستند.
همیشه به‌روز باشید و هر نسخه‌ی جدید را از منظر دسترسی‌ها و مجوزها بررسی کنید.
🔗 عضویت در کانال برای تحلیل‌های امنیتی بیشتر:
@androidSec_fa
#اندروید۱۷ #امنیت_اندروید #گوگل_پیکسل #CinnamonBun #آپدیت_امنیتی #حریم_خصوصی #هک_اندروید #AndroidSecurity
@androidSec_fa
👍4🤮1
🔍 ۵ ابزار ضروری برای تحلیل بدافزار در اندروید (بدون نیاز به روت)
اگر به دنبال بررسی امنیتی اپلیکیشن‌های نصب‌شده یا فایل‌های مشکوک هستید، این ابزارها را نصب کنید:
۱. APKTool
🔹 باز کردن و دیکامپایل فایل‌های APK برای بررسی کد و منابع
🔹 مناسب برای تحلیل استاتیک
۲. jadx
🔹 تبدیل کد دیکامپایل شده به کد جاوا قابل خواندن
🔹 عالی برای شناسایی تابع‌های مخرب
۳. Frida
🔹 ابزار داینامیک برای تزریق اسکریپت به اپ‌ها در زمان اجرا
🔹 کشف رفتارهای پنهان بدافزار
۴. Burp Suite (نسخه‌ی موبایل)
🔹 مانیتورینگ ترافیک شبکه و شناسایی ارتباطات مشکوک به سرورهای C2
۵. VirusTotal Mobile
🔹 اسکن فایل‌ها و هش‌ها با بیش از ۷۰ موتور آنتی‌ویروس
⚠️ نکته‌ی امنیتی:
همیشه ابزارها را از منابع معتبر دانلود کنید و قبل از اجرا، هش فایل را در VirusTotal بررسی کنید.
🔗 عضویت در کانال برای آموزش‌های بیشتر:
@androidSec_fa
#تحلیل_بدافزار #ابزارهای_هک #امنیت_اندروید #APKTool #Frida #VirusTotal #بدافزار_اندروید
@androidSec_fa
اگر به دنبال بررسی امنیتی اپلیکیشن‌های نصب‌شده یا فایل‌های مشکوک هستید، این ابزارها را نصب کنید:
۱. APKTool
🔹 باز کردن و دیکامپایل فایل‌های APK برای بررسی کد و منابع
🔹 مناسب برای تحلیل استاتیک
۲. jadx
🔹 تبدیل کد دیکامپایل شده به کد جاوا قابل خواندن
🔹 عالی برای شناسایی تابع‌های مخرب
۳. Frida
🔹 ابزار داینامیک برای تزریق اسکریپت به اپ‌ها در زمان اجرا
🔹 کشف رفتارهای پنهان بدافزار
۴. Burp Suite (نسخه‌ی موبایل)
🔹 مانیتورینگ ترافیک شبکه و شناسایی ارتباطات مشکوک به سرورهای C2
۵. VirusTotal Mobile
🔹 اسکن فایل‌ها و هش‌ها با بیش از ۷۰ موتور آنتی‌ویروس
⚠️ نکته‌ی امنیتی:
همیشه ابزارها را از منابع معتبر دانلود کنید و قبل از اجرا، هش فایل را در VirusTotal بررسی کنید.
🔗 عضویت در کانال برای آموزش‌های بیشتر:
@androidSec_fa
#تحلیل_بدافزار #ابزارهای_هک #امنیت_اندروید #APKTool #Frida #VirusTotal #بدافزار_اندروید
@androidSec_fa
👍3
📱 هشدار امنیتی جدی: اپلیکیشن جعلی دفاع مدنی بحرین، گوشی شما را به جاسوس‌افزار تبدیل می‌کند!
🔴 همزمان با حملات موشکی اخیر در خلیج فارس، هکرها از ترس و اضطراب مردم سوءاستفاده کرده و اپلیکیشن جعلی "BH Alert" (هشدار بحرین) را منتشر کرده‌اند.
⚠️ این بدافزار چهارمرحله‌ای چه قابلیت‌هایی دارد؟
✅ ضبط کامل صفحه‌نمایش و تشخیص الگو و پین گوشی
✅ سرقت پیامک‌ها، مخاطبین و کدهای یک‌بارمصرف (OTP)
✅ نمایش صفحات فیشینگ شبیه‌به‌اپ‌های بانکی
✅ کنترل کامل از راه دور گوشی شما
✅ قطع اینترنت سایر برنامه‌ها برای وادار کردن کاربر به ادامه نصب
🛑 این اپلیکیشن با جعل صفحه‌ی رسمی گوگل‌پلی و وب‌سایت دولت بحرین، کاربران را فریب می‌دهد و مجوزهای حساسی مثل Accessibility، SMS، VPN و نصب از منابع ناشناخته را دریافت می‌کند.
🔑 شاخص‌های آلودگی (IOCs):
نام بسته‌های بدافزار:
com.kit.kitty
com.kisa.octagonpanel
دامنه‌های آلوده:
alert-bh[.]com
bh-security[.]com
alertbh[.]info
آی‌پی سرور:
209[.]99[.]184[.]50
🌐 لینک مقاله کامل تحلیل فنی:
https://dreamgroup.com/blog/how-a-fake-bahrain-civil-defense-app-turns-a-phone-into-a-listening-post
📢 کانال ما را دنبال کنید:
https://t.me/androidSec_fa
#امنیت_سایبری #بدافزار #اندروید #جاسوسی_افزار #بحرین #هشدار_امنیتی #فیشینگ #CyberSecurity #Android #Malware #Spyware #Bahrain #Phishing #InfoSec #مخاطرات_امنیتی
🔴 همزمان با حملات موشکی اخیر در خلیج فارس، هکرها از ترس و اضطراب مردم سوءاستفاده کرده و اپلیکیشن جعلی "BH Alert" (هشدار بحرین) را منتشر کرده‌اند.
⚠️ این بدافزار چهارمرحله‌ای چه قابلیت‌هایی دارد؟
✅ ضبط کامل صفحه‌نمایش و تشخیص الگو و پین گوشی
✅ سرقت پیامک‌ها، مخاطبین و کدهای یک‌بارمصرف (OTP)
✅ نمایش صفحات فیشینگ شبیه‌به‌اپ‌های بانکی
✅ کنترل کامل از راه دور گوشی شما
✅ قطع اینترنت سایر برنامه‌ها برای وادار کردن کاربر به ادامه نصب
🛑 این اپلیکیشن با جعل صفحه‌ی رسمی گوگل‌پلی و وب‌سایت دولت بحرین، کاربران را فریب می‌دهد و مجوزهای حساسی مثل Accessibility، SMS، VPN و نصب از منابع ناشناخته را دریافت می‌کند.
🔑 شاخص‌های آلودگی (IOCs):
نام بسته‌های بدافزار:
com.kit.kitty
com.kisa.octagonpanel
دامنه‌های آلوده:
alert-bh[.]com
bh-security[.]com
alertbh[.]info
آی‌پی سرور:
209[.]99[.]184[.]50
🌐 لینک مقاله کامل تحلیل فنی:
https://dreamgroup.com/blog/how-a-fake-bahrain-civil-defense-app-turns-a-phone-into-a-listening-post
📢 کانال ما را دنبال کنید:
https://t.me/androidSec_fa
#امنیت_سایبری #بدافزار #اندروید #جاسوسی_افزار #بحرین #هشدار_امنیتی #فیشینگ #CyberSecurity #Android #Malware #Spyware #Bahrain #Phishing #InfoSec #مخاطرات_امنیتی
Dreamgroup
Fake Bahrain Alert App Spies on Its Users | Dream Research
As Gulf states activated civil-defense sirens, Dream researchers found an Android app impersonating an official alert tool to turn phones into listening posts.
👍3
🏦 چگونه بدافزارهای بانکی اندروید را شناسایی کنیم؟ (گام‌به‌گام)
بدافزارهای بانکی مثل TeaBot و Octo معمولاً از تکنیک‌های زیر استفاده می‌کنند:
🔹 درخواست مجوزهای بیش از حد
- دسترسی به Accessibility Service (دسترسی به صفحه)
- مجوز ارسال و خواندن SMS
- مجوز ضبط صفحه (Screen Recording)
🔹 پنهان‌سازی آیکون
- بعد از نصب، آیکون خود را مخفی می‌کنند و از طریق یک اپلیکیشن بی‌ضرر مانند «سیستم» یا «Update» اجرا می‌شوند.
🔹 ارسال ترافیک به IPهای خارجی
- با استفاده از ابزارهایی مثل Wireshark یا Packet Capture ترافیک خروجی را مانیتور کنید.
🔹 استفاده از Overlay Attack
- یک لایه‌ی شیشه‌ای روی اپلیکیشن بانک شما نمایش می‌دهند تا اطلاعات ورود را بدزدند.
✅ راهکارهای دفاعی:
- از نصب اپلیکیشن‌های خارج از گوگل‌پلی خودداری کنید.
- مجوز Accessibility را فقط به اپ‌های کاملاً مطمئن بدهید.
- از آنتی‌ویروس‌های معتبر مانند Malwarebytes استفاده کنید.
🔗 برای آموزش‌های تخصصی‌تر همراه باشید:
@androidSec_fa
#بدافزار_بانکی #TeaBot #امنیت_بانکی #هک_اندروید #بدافزار_اندروید #Accessibility_Attack
بدافزارهای بانکی مثل TeaBot و Octo معمولاً از تکنیک‌های زیر استفاده می‌کنند:
🔹 درخواست مجوزهای بیش از حد
- دسترسی به Accessibility Service (دسترسی به صفحه)
- مجوز ارسال و خواندن SMS
- مجوز ضبط صفحه (Screen Recording)
🔹 پنهان‌سازی آیکون
- بعد از نصب، آیکون خود را مخفی می‌کنند و از طریق یک اپلیکیشن بی‌ضرر مانند «سیستم» یا «Update» اجرا می‌شوند.
🔹 ارسال ترافیک به IPهای خارجی
- با استفاده از ابزارهایی مثل Wireshark یا Packet Capture ترافیک خروجی را مانیتور کنید.
🔹 استفاده از Overlay Attack
- یک لایه‌ی شیشه‌ای روی اپلیکیشن بانک شما نمایش می‌دهند تا اطلاعات ورود را بدزدند.
✅ راهکارهای دفاعی:
- از نصب اپلیکیشن‌های خارج از گوگل‌پلی خودداری کنید.
- مجوز Accessibility را فقط به اپ‌های کاملاً مطمئن بدهید.
- از آنتی‌ویروس‌های معتبر مانند Malwarebytes استفاده کنید.
🔗 برای آموزش‌های تخصصی‌تر همراه باشید:
@androidSec_fa
#بدافزار_بانکی #TeaBot #امنیت_بانکی #هک_اندروید #بدافزار_اندروید #Accessibility_Attack
👍3