​📱 کامپایل و ساخت بومی فریدا (Frida) روی ترموکس بدون نیاز به NDK!

​آیا تا به حال شنیده‌اید که می‌گویند «امکان کامپایل بومی Frida روی ترموکس وجود ندارد»؟ یا اینکه پس از تغییرات نسخه ۱۷ فریدا، نصب آن روی اندروید به یک کابوس تبدیل شده است؟ 🛠️

​«آبهی» (Abhi) در مقاله جدید خود این ادعا را به چالش کشیده و نشان داده که چطور توانسته در طول تعطیلات و فقط با استفاده از خودِ گوشی اندرویدی (بدون نیاز به لپ‌تاپ، ابزار NDK یا کراس-کامپایل)، فریدا را به صورت کاملاً بومی (Native) روی ترموکس بیلد کند!

​🔻 خلاصه‌ای از آنچه در این مقاله فوق‌العاده می‌خوانید:

​چرا روش‌های قبلی از کار افتادند؟ بررسی تغییرات نسخه جدید Frida-Python که سیستم قبلی ترموکس را مختل کرد.

​پیش‌نیازهای حیاتی: چگونگی بیلد کردن کامپایلر پچ‌شده‌ی Vala و کلون کردن نسخه اختصاصی GLib که فریدا به شدت به آن‌ها وابسته است.

​عبور از سد خطاها با ۱۱ پچ اختصاصی: راهکارهای عملی برای حل تداخل توابع کتابخانه اندروید (Bionic libc) و سازگاری با کتابخانه مدیریت فایل ترموکس.

​اسکریپت جادویی رفع خطاهای کاذب: نحوه فیلتر کردن توابعی که بیلد سیستم اندروید به اشتباه فکر می‌کند وجود دارند (False Positives).

​محدودیت رم و فرآیند بیلد: تنظیم کامپایلر روی هسته‌های محدود (مثل -j1 یا -j2) برای جلوگیری از کرش و کمبود حافظه (OOM) روی گوشی.

​در نهایت، نویسنده توضیح می‌دهد که چرا این پچ‌های تهاجمی و هک‌گونه هیچ‌وقت به صورت رسمی وارد سورس‌کد اصلی فریدا نخواهند شد، اما برای کسانی که گوشی پلتفرم اصلی آن‌هاست، یک راهکار بی‌نظیر است!

​🔗 مطالعه کامل مقاله و دسترسی به دستورات بیلد:
👇👇👇
🔗 https://qbtau.in/posts/building_frida_on_termux/

​🆔 @androidSec_fa

​#Frida #Termux #AndroidSecurity #ReverseEngineering #Bionic #Vala #GLib #AndroidSec

پست دوم: فاز عملیاتی و استخراج کلید از رم (۲/۳)
​
چطور رمز ۲۰۰,۰۰۰ مرتبه‌ای PBKDF2 با یک هوک فریدا بی‌اثر شد؟

​در پست قبل دیدیم که اپلیکیشن چقدر قوی رمز عبور فایل گواهینامه (.p12) رو به صورت پویا تولید می‌کنه. اما مشکل اصلی سناریو اینجاست: محل نگهداری کلید!

​برنامه برای تولید جفت‌کلید از این دستور استفاده کرده:

KeyPairGenerator.getInstance("EC")

این یعنی کلید به صورت یک شیء نرم‌افزاری معمولی توی حافظه رم (JVM Heap) ساخته میشه، نه داخل محیط ایزوله و سخت‌افزاری دستگاه (TEE).

​حالا بریم سراغ سناریوی دور زدن (Bypass) در دو گام:
​
گام اول: شکستن SSL Pinning (بای‌پاس TrustManager)

قبل از هر چیز باید کاری کنیم اندروید گواهینامه جعلی Burp Suite رو قبول کنه. با فریدا متد SSLContext.init() رو هوک می‌کنیم و بخش TrustManager رو با یک کلاس سفارشی که هر سازوکاری رو تایید می‌کنه جایگزین می‌کنیم. حالا ترافیک تا Burp میاد، اما سرور به خاطر نداشتن کلید کلاینت ارور 401 میده.
​
گام دوم: قاپیدن کلید در لحظه طلایی!

قفل چقدر هم که قوی باشه، برنامه برای اینکه بتونه با سرور دست‌دادن (Handshake) انجام بده، مجبوره فایل رو باز کنه، رمزگشایی کنه و کلید رو به صورت متن آشکار وارد رم کنه!

​نویسنده متد سازنده کلاس ClientKeyManager رو دقیقاً در لحظه لود شدن هوک میکنه. فریدا اینجا چیکار می‌کنه؟

رمز عبور ۶۴ کاراکتری حاصل از ۲۰۰ هزار بار فرآیند PBKDF2 رو قبل از پاک شدن از رم، دو دستی تقدیم مهاجم می‌کنه!

متدهای ks.getCertificate و ks.getKey رو صدا میزنه و بایت‌های واقعی کلید خصوصی رو از رم بیرون می‌کشه و به فرمت متنی استاندارد (PEM) توی کنسول چاپ میکنه!

​در پست آخر، این کلید رو به Burp Suite تزریق می‌کنیم و ترافیک رو کاملاً دور می‌زنیم.

​#AndroidSec #Exploit #MobileSecurity #BugBounty #SSLBinning

​@AndroidSec_fa

📢 معرفی آنتی‌ویروس متن‌باز ClamAV برای اندروید!

🔍 ClamAV یه موتور آنتی‌ویروس قدرتمند و متن‌باز (Open-Source) هست که مخصوص شناسایی تروجان‌ها، ویروس‌ها و بدافزارها طراحی شده.

✅ ویژگی‌های کلیدی:
• استاندارد جهانی در اسکن گیت‌های ایمیل
• عملکرد بالا با اسکنر چندنخی (Multi-threaded)
• پشتیبانی از فرمت‌های مختلف و آنباکس کردن فایل‌ها
• آپدیت خودکار امضاهای ویروس‌یابی

📱 اگرچه کاربرد اصلیش روی سرورهاست، اما نسخه‌های سازگار با اندروید هم داره و می‌تونه برای اسکن فایل‌ها روی دستگاه موبایل استفاده بشه.

🔗 لینک دانلود و اطلاعات بیشتر:
🌐 clamav.net

📢 کانال ما: @androidSec_fa

#ClamAV #آنتی‌ویروس #امنیت_اندروید #بدافزار #OpenSource #androidSec

یه بد افزار اندرویدی شناسایی کردن که فکر کنم قبلاً هم همین مدلش رو توی کانال گذاشته بودم که برای کشور بحرین مثل اینکه استفاده کردند. به این صورت که میومدن فایل apk ارسال می‌کردن برای بحث alert و این داستان‌ها که فکر کنم برای بحث حملات موشکی و این داستان‌ها بوده.

حالا حرکت جالبی که تو اپلیکیشن زدن اینه که میومدن اپلیکیشن رو آپدیت می‌کردن داخل اپ یعنی بد افزار اصلی توی اپلیکیشن ابتدایی که دانلود کرده بودند نبود و برای این کار میومدن می‌گفتن که باید مثلاً برنامه رو آپدیت کنیم و از این حرفا.

برای جلوگیری از شناسایی گوگل پلی ابتدا میومدن وی‌پی‌ان فعال می‌کردن.

حالا چرا وی پی ان فعال می‌کردن، به خاطر اینکه اون ترافیکی که سمت گوگل پلی و اینا میره رو جلوش رو بگیرن. حالا واسه اینکه تابلو نشه یه سری از ترافیک‌ها رو هم رد می‌کردن ولی جلوی ترافیک گوگل پلی رو میگرفتن و همینطور می‌تونستن بدافزارشون رو بدون مشکل روی گوشی نصب کنن. به بقیه مراحلشم مثل یک RAT معمولی کارشو انجام می‌داده.

🆔 آیدی کانال:
@androidSec_fa

#MalwareAnalysis #AndroidSecurity #Octagon #ReverseEngineering #AccountManager #VPN_Abuse #AndroidSec

سلام بچه‌ها این یه مقاله است که یه بدافزار جدیدو بررسی کرده، حالا کاری به بحث بدافزار ندارم، ولی روندش خیلی جالب بوده - اینجوری بوده که با قربانی تماس می‌گیرن، طرفو مجاب می‌کنه که یه اپلیکیشن نصب کنه، بعد از نصب اپلیکیشن اون اپلیکیشن یه اپلیکیشن دیگه رو نصب می‌کنه که واسه بحث دزدیدن nfc و این داستاناست و حالا اپلیکیشن دوم کاربر را مجاب می‌کنه که کارت بانکیشو نزدیک گوشی کنه، از طریق nfc اطلاعات کارت بانکی رو از خود کارت بانکیش که نزدیک کرده می‌گیره و برای مهاجم ارسال می‌کنه.

حالا اینجاش جالبه که حالا با این اطلاعاتی که به دست آورده یا دو کاری انجام میده:
۱. با اطلاعات کارت بانکی مهاجم اومده وام دیجیتال گرفته.
۲. کل حساب بانکیشم از طریق اون اطلاعات کارتی که برای مهاجم ارسال شده مهاجم میاد یه کپی ازش می‌گیره روی کارت دیگه و اون سر دنیا اومده کارت رو خالی کرده.

هر بلایی که تونسته سر طرف آورده، هم وام باهاش گرفته هم حسابشو خالی کرده و هم دیتاش رو دزدیده😁😁

🔗 لینک مقاله کامل:
https://www.group-ib.com/blog/windrelay-nfc-spynote-rat-combo-fraud/

#NFC_Attack #WindRelay #SpyNote #AndroidSecurity #MobileFraud #GhostTap #GroupIB #بانکداری_دیجیتال #بدافزار_اندروید #کلاهبرداری_اینترنتی #NFC_Hacking #androidSec_fa #هشدار_امنیتی

سلام بچه‌ها این یک مقاله از شرکت zLabs هستش که اومده بدافزار «ToxicPanda 2.0» رو بررسی کرده.

این نسخه پیشرفته‌تر از نسخه قبلی هست چرا که توی نسخه قبلیش حدود ۱۶ اپلیکیشن بانکی را می‌تونستن هدف قرار بگیره و پولاشونو بدزده اما الان می‌تونه ۳۴۹ اپلیکیشن رو را بگیره نه فقط بانکی بلکه کیف پول و بقیه اپ‌های مالی رو.

حرکتی که داره می‌زنه مثل همون بدافزارهای قبلی داره وی‌پی‌ان را فعال می‌کنه تا اینکه بتونه جلوی اسکن اپلیکیشن توسط گوگل پلی رو بگیره.

با دسترسی Accessibility هم که میگیره، میره پین اپلیکیشن‌های بانکی و پین خود گوشی رو در بیاره و از طریق دسترسی adb که خودش هم میاد فعالش می‌کنه یه سری کارای دیگه انجام میده مثلاً می‌خوای دسترسی میده خودشو توی یه سری لیست استثنا قرار میده برای باتری و چیزهای مختلف که حالا لینک مقاله رو پایین براتون گذاشتم می‌تونید برید مطالعه کنید و بخونید.

📄 لینک مقاله کامل:
https://zimperium.com/blog/the-toxicpanda-never-sleeps-toxicpanda-2.0-prepares-its-next-strike-on-mobile

📢 کانال ما برای اطلاع از جدیدترین تهدیدهای امنیتی:
@androidSec_fa

#هشدار_امنیتی #بدافزار_اندروید #ToxicPanda #امنیت_سایبری #آموزش_اندروید #تروجان_بانکی #androidSec_fa

سلام بچه‌ها این مقاله و ویدیوی داخلش، به این صورته که اومده بحث nfc رله رو بررسی کرده. بحث nfc رو که خود شما می‌دونید به چه صورته اما امکان داره با ارتباط فیزیکی کارت یا اون دستگاه nfc دارتون با یک شی ناشناس(که ماله هکر هستش) بتونه اون کارتی که دارید رو ازش یه کپی و کلون بگیره و یک جای دیگه از اطلاعات کارتتون روی یه کارت دیگه استفاده کنه.

خود این مبحث کپی کردن و کلون کردن کارت‌های nfc الان دیگه به اون صورت راحت نیست اما یک سری کارت‌های ضعیف هستند که راحت کپی میشن و خیلی جاها داریم که ازش استفاده می‌کنیم.

حالا یک مورد حملاتی هست به این صورت که اگه یه نفر نزدیکتون رد شه این دستگاه نزدش باشه و سمت جیبتون بگیره، میتونه کپی و کلون رو انجام بده. یه جورایی مثلاً جیب بری اصطلاحا میشه بهش گفت باشه. شاید بتونه کارتی که دم دستتون هست رو کلون و کپی بگیر و ازش بتونه استفاده کنه.

این مقاله اومده برنامه‌ای به اسم NFC Canary معرفی کرده که این ابزار روی دستگاه‌های Flipper Zero اجرا میشه و به این صورته که اومده هر وقت اگر اون nfc داشت ارتباط برقرار می‌کرد یه ویبره‌ای می‌ره و بهتون یه هشدار میده.

این جلوی اتکو نمی‌گیره، جلوی کلون کردن رو نمی‌گیره، جلوی هیچ چیزیو نمی‌گیره - فقط یه هشدار بهتون میده. دلیل اینکه این ابزار معرفی شده اینه که از این مدل دزدی‌ها به شدت و زیاد داره استفاده میشه یه نگاهی هم به مقالات این کانال بندازی به این نکته می‌رسید و در کل یه چیز مناسبی هست. حالا نه توی ایران اما توی اروپا و کشورهای دیگه این مدل دزدی‌های دیجیتالی بسیار زیاد دیده میشه.

حالا لینک مقاله رو پایین براتون گذاشتم یک ویدیو یوتیوب هم داره می‌تونید برید ببینید و مطالعه کنید.

📌 برای مطالعهٔ کامل مقاله و جزئیات فنی:
🔗 https://www.mobile-hacker.com/2026/08/20/how-easy-is-it-to-scan-a-contactless-payment-and-access-card/

#امنیت_سایبری #NFC #کارت_بانکی #FlipperZero #حمله_رله‌ای #کلون_کارت #امنیت_پرداخت #androidSec_fa

سلام بچه‌ها این یه پروژه MCP server هستش که میاد جدید jadx رو به یک ai مثل کلاود، جی پی تی یا دیپسیک متصل می‌کنه و می‌تونید ازش استفاده کنید.

این mcp server حدود ۲۷ ابزار به ai ‌میتونه ارائه بده که توی ریپوش هست می‌تونید بررسی کنید.

🔗 ریپو:
https://github.com/0xdad0/jadx-mcp

📢 کانال:
@androidSec_fa

#AndroidSecurity #ReverseEngineering #AndroidRE #JADX #MCP #AI #Claude #APK #MobileSecurity #CyberSecurity #AndroidSec

سلام بچه‌ها این یه مقاله است که اومده را بحث تحقیق روی کارت‌های ‏nfc و RFID کارکرده و کارکردش به این صورته که بیاد ابزار uConsole به Proxmark3 متصل کنه تا یک دستگاه قابل حمل برای بررسی این چیزا داشته باشه.

حالا ریز مقاله و جزئیات کاری که انجام داد و پیاده سازی کرده و بالا آورده توی مقاله هستش می‌تونید بخونید پایین براتون گذاشتم.

📖 مطالعه مقاله کامل:
https://www.mobile-hacker.com/2026/08/31/how-to-install-proxmark3-on-the-clockworkpi-uconsole/

📢 کانال:
@androidSec_fa

#Proxmark3 #RFID #NFC #uConsole #ClockworkPi #CyberSecurity #هک #امنیت #امنیت_سایبری #RFID #NFC #AndroidSec

سلام بچه ها این یه ریپوئه که میاد برنامه رو که توی گوگل پلی هست رو privacy policy اش رو با LLM بررسی میکنه. میاد اون privacy policy که داخل گوگل پلی هست رو میگیره و بعد با policy که خود برنامه نویس لینک اش رو داده بررسی میکنه اگر کانفیلیکتی باشه اون رو بهت میگه و این کار رو با LLM انجام میده.

دلیل اینکه این رو درست کردن این بوده که روی طیف عظیمی از اپ‌ها اومدن تست کردن دیدن توی policy گوگل پلی یه چیزی رو نگفته ولی در policy خودش گفته، که این کار رو داره برای یه کار خاصی انجام میده، مثلا توی policy گوگل حرفی از contact نزده اما توی policy لینک اش اومده گفته که ما مخاطبین شما رو برای ارتباط داخل اپ جمع آوری میکنیم.

هم لینک مقاله هست و هم لینک ریپو دوست داشتید میتونید برید بررسی کنید.

🔗 GitHub Repository:
https://github.com/Mobile-IoT-Security-Lab/PolicyGapper

📚 پروژه بر پایه‌ی مقاله‌ی:
https://arxiv.org/abs/2604.16128
━━━━━━━━━━━━━━

📌 کانال Android Security فارسی
@androidSec_fa

#AndroidSecurity #Android #Privacy #MobileSecurity #AppSec #LLM #AI #GooglePlay #DataSafety #PrivacyPolicy #CyberSecurity #SecurityResearch #AndroidSec

سلام بچه‌ها این یه مقاله جدیده یه بدافزار جدید رو بررسی کرده که کاربرای اسپانیایی زبان در نظر گرفته حدود ۵۷۰ هزار نصب داشته اونجوری که بررسی کردند.

و اینکه اومدن داخل تیک تاک فیسبوک تبلیغات برای بحث استریم ویدیو به صورت رایگان گذاشتن و بعد کاربر که اومده روی لینک کلیک کرده رفته داخل تشخیص داده گوشی اندروید هست یا نیست اگه بود دانلود می‌کرد برنامه رو بعد از نصب مراحلش رو جلو می‌رفته.

کاری که بد افزار انجام می‌داده خودشو به عنوان لانچر اصلی ست می‌کرده یعنی این دسترسی رو از کاربر می‌خواسته و کاربر این دسترسی رو بهش می‌داده و بعد کاربر را مجبور می‌کرده با توجه به این دسترسی که داشته که آقا بیا اپلیکیشن اصلی یا بد افزار اصلی رو نصب کن.

بعد از اینکه بد افزار اصلی نصب می‌شد خودشو از حالت لانچر در می‌آورده و بعد بد افزار اصلی کار خودشو انجام می‌داده و جلو می‌برده بدافزار اصلی هم با استفاده از دسترسی Accessibility میومده کارشو جلو می‌برد و دیتای کاربرو می‌دزدیده.

حالا لینک مقاله رو براتون گذاشتم می‌تونید برید جزئیات و ریزش رو خودتون مطالعه کنید و بخونید.

📄 مطالعهٔ کامل مقاله:
🔗 https://www.threatfabric.com/blogs/from-meta-ads-to-full-device-takeover-uncovering-streamrat

#StreamRat #AndroidSecurity #MobileMalware #BankingTrojan #ThreatFabric #InfoSec #CyberSecurity #AndroidHacking #MaaS #Phishing #MetaAds #TikTokScam #AccessibilityAbuse #VPNFlaw #CyberThreat #AndroidVulnerability #InfoSecIran #androidSec_fa

👨‍💻 کانال تخصصی امنیت اندروید:
@androidSec_fa

سلام بچه‌ها این یه مقاله جدیده که زیمپریوم ارائه داده به معنای واقعی کلمه میشه گفت که وقتی یه RAT میفته دست یه خفتگیر این کارا رو باهاش می‌کنه.

بعد از نصب بد افزار روی موبایل و گرفتن دسترسی مناسب اطلاعات گوشی رو رمز می‌کنه روی سیستم و می‌فرسته سمت سرورهای هکر و بعد صفحه رو سیاه می‌کنه و به این صورت میگه که باید با هکر مذاکره کنه و شروع کنه صحبت کردن و پول فرستادن برای بحث باج و این داستانا.

صداهای ترسناک ایجاد می‌کنه و اینکه عکس‌های شبح و اینا پخش می‌کنه که طرف مجاب بشه بزنه پول رو.

بیشترم توی اندونزی پخش شده حالا لینک مقاله هست می‌تونین مطالعه کنید خودتون.

ولی که این اتفاق براتون افتاد گوشی رو safe mode و تو اون حالت می‌تونید اپلیکیشن رو حذف کنید.

دیتاتونم اگه رفت دیگه رفته دیگه پول مول بهشون ندید.

🔗 لینک مقاله کامل:
https://zimperium.com/blog/mantax-otax-indonesian-mobile-ransomware-with-spyware-integration

📢 آیدی کانال:
@androidSec_fa

#امنیت_موبایل #بدافزار #اندروید #باج_گیری #جاسوس_افزار #MantaxOtax #Zimperium #هشدار_امنیتی #androidSec_fa

[2,2]
حالا باگ شماره 2 چیه؟

اول یه توضیح بدم اونم اینه که اندروید روی دستگاه های مختلف اجرا میشه. شیائومی، سامسونگ و .... و هر کدوم از اینها سخت افزارهای جداگانه خودشون رو دارن خب سیستمم عامل اندروید برای حرف زدن با هر کدوم از اینها باید یه کد جداگانه بنویسه که غیر ممکنه.

اومده یه چیزی طراحی کرده به نام HAL (Hardware Abstraction Layer) که میشه واسطه بین فریمورک اندروید و سخت افزار شرکت های مختلف. به این صورت که هر تولیدکننده ای HAL خودش رو مینویسه و اندروید فقط با HAL حرف میزنه و HAL هم با سخت افزار.

حالا یه vendor HAL به نام olc2 هست که کارش مدیریت لاگ سیستم هست و از این مسیر اجرا میشه /odm/bin/hw/vendor.oplus.hardware.olc2-V3-service. توی این HAL یه متد هست به نام doShell که یه شل باز میکنه و دستور میگیره. اول میپرسه کی داره با من حرف میزنه و چک میکنه که آیا طرف مقابل root هست یا نه => خب ما با باگ شماره 1 خودمون رو روت کردیم و بعد دستوری که هستش رو اجرا میکنه.

خب حالا این جا یه نکته هست که حتی اگر root , uid 0 هم باشی SELinux نمیذاره هر کاری که دلت بخواد انجام بدی و جلوت رو میگیره ولی با توجه به sepolicy اجازه میده با این HAL ما که روت هستیم حرف بزنیم به قول معروف و اینکه اجرای دستور ما توی دامنه جدید قرار میگیره که CapBnd = 0x1ffffffffffff و تمام امکانات سیستم عامل رو تا ناموس دسترسی داره.

یعنی هر کاری دوست داری بکن دیگه.


امیدوارم خوشتون اومده باشه که اینطوری یه مقاله رو شکافتم. اگر دوست داشته باشید اینجوری براتون بازش کنم بگید تا مقالات بعدی رو خلاصه نکنم و این مدلی کامل بگم.

حالا لینک مقاله هم هست میتونید برید خودتون بررسی کنید.

📄 لینک مقاله کامل:
https://blog.nns.ee/2026/09/24/oneplus-root/

#Android #Security #OnePlus #OPPO #Root #Exploit #OxygenOS #PrivilegeEscalation #AndroidSec #Vulnerability #Infosec #Hacking

📢 @androidSec_fa