دشمن شماره ۲: اندروید جدید کارو سخت کرد 😬
از Android 11 به بعد، گوگل بازی رو عوض کرد.
مشکلات جدید:
❌ خیلی از اپ‌ها به user CA اعتماد نمی‌کنن
❌ دسترسی به system cert سخت‌تر شده
❌ از Android 13 به بعد remount تقریباً قفل شده
یعنی چی به زبان ساده؟
حتی اگر pinning نباشه
باز هم ممکنه ترافیک نیاد!
برای همین pentesterها رفتن سمت:
root
Magisk modules
system CA injection
ولی هنوز یه دشمن مخفی مونده… 👀
پست بعدی: چرا Flutter اپ‌ها اعصاب خوردکنن!
#AndroidSecurity #MobilePentest #Magisk
📡 @androidSec_fa

🧵 دشمن مخفی: Flutter apps 😈 (مهم!)
اینجا اون نکته طلایی مقاله است 👇
خیلی از اپ‌های Flutter:
🚫 proxy سیستم رو ignore می‌کنن
🚫 stack شبکه خودشونو دارن
🚫 حتی بدون SSL pinning هم ترافیک نمیاد!
یعنی ممکنه:
❌ CA درست
❌ pinning هم نیست
❌ ولی Burp خالیه
و pentester گیج میشه 😵‍💫
راه‌حل چیه؟
👉 باید socket رو hook کنیم، نه proxy رو.
و اینجاست که ابزار خفن وارد میشه…
پست بعدی: frida4burp و راه‌حل عملی 🚀
#Flutter #Frida #MobilePentest
📡 @androidSec_fa

🧵 راه‌حل عملی: Frida + frida4burp 🚀
برای اپ‌های مدرن معمولاً این combo جواب میده:
✅ تزریق CA درست
✅ بایپس SSL pinning با Frida
✅ redirect سوکت با frida4burp
ایده frida4burp چیه؟
به جای اینکه منتظر proxy سیستم باشیم:
👉 میاد socket اپ رو hook می‌کنه
👉 ترافیک رو مستقیم می‌فرسته Burp
🔥 برای Flutter خیلی جواب میده.
سناریوی طلایی مقاله:
CA injection
unpinning
socket redirection
با این ترکیب، اکثر اپ‌ها باز میشن.
پست آخر: جمع‌بندی سریع + لینک مقاله 📚
#Frida #BurpSuite #FlutterSecurity
📡 @androidSec_fa

🧵 جمع‌بندی نهایی + لینک مقاله 🎯
اگر Burp چیزی نشون نداد، این چک‌لیست رو برو:
✅ آیا SSL pinning هست؟ → unpin با Frida
✅ Android جدید هست؟ → system CA injection
✅ Flutter هست؟ → استفاده از frida4burp
✅ هنوز بسته؟ → ترکیبی جلو برو
پیام اصلی مقاله:
❗ روش کلاسیک proxy دیگه همیشه کافی نیست
✅ runtime instrumentation پادشاه جدیده
📚 مقاله کامل اینجاست:
https://medium.com/@justmobilesec/practical-mobile-traffic-interception-1481e33d974e⁠
اگر این سری به کارت خورد، برای رفیق pentesterت بفرست 🤝
#MobilePentest #AppSec #Frida #BurpSuite #Flutter
📡 @androidSec_fa

🔍 داستان واقعی از پیدا کردن باگ در یک اپ موبایل

یه مقاله‌ای هست می‌خوام اینو براتون بازش کنم که متوجه بشید چه جوری اومده این کارو انجام داده 👇

یه محقق امنیتی اومده یه اپ موبایل به اسم AeroParts رو بررسی کنه. اولین چیزی که فهمید این بود که این اپ با Cordova ساخته شده.

❓ Cordova یعنی چی؟
خیلی ساده: یعنی برنامه‌نویس به‌جای اینکه اپ رو با جاوا یا کاتلین بنویسه، با HTML و JavaScript نوشته و بعد پیچیده داخل اپ موبایل.

📱 ترجمه خیلی ساده:
اپ Cordova ≈ یه سایت که به صورتwebview توی اپ نمایش میده

چرا این مهمه؟
چون وقتی این‌طوری باشه، کدهای اصلی اپ معمولاً راحت‌تر لو می‌رن.

---

🪜 مرحله اول — کالبدشکافی APK

محقق اومد فایل APK رو دیکامپایل کرد (یعنی بازش کرد ببینه داخلش چیه).

چی پیدا کرد؟

- کلیدهای رمزنگاری داخل کد 😬
- آدرس سرورهای بک‌اند
- endpointهای API

یعنی عملاً نقشه پشت‌صحنه اپ دستش اومد.

⚠️ نکته مهم:
تا اینجا هنوز هیچ هکی روی سرور انجام نشده بود — فقط تحلیل آفلاین بود.

---

🔑 مرحله دوم — شکستن قفل دیتابیس

توی کد دید دیتابیس‌های اپ با یه کلید مخفی باز می‌شن.

اما چون کلید داخل کد هاردکد شده بود، با یه کم دنبال کردن توانست:

✅ کلید اول رو دربیاره
✅ الگوریتم رمزگشایی رو تقلید کنه
✅ کلید نهایی رو بسازه

🎯 نتیجه: دسترسی کامل به دیتای لوکال اپ

این خودش یه ضعف امنیتی جدیه.

---

🌐 مرحله سوم — نگاه به سرور

اینجا داستان جذاب می‌شه.

داخل کد اپ یه endpoint دید برای دانلود فایل:

fetchFile

این یعنی اپ از سرور فایل می‌گیره.

اینجا محقق گفت:
«نکنه این ورودی path رو فیلتر نکرده باشن؟ 🤔»

---

🚨 مرحله چهارم — تست خطرناک (LFI)

یه درخواست دستکاری‌شده فرستاد به سرور:

به‌جای فایل معمولی، گفت:

../../../../etc/passwd

اگر اهل لینوکس باشی می‌دونی این فایل لیست یوزرهای سیستمه.

و چی شد؟

سرور بدون هیچ مقاومتی فایل رو برگردوند!

---

💥 یعنی دقیقاً چه اتفاقی افتاد؟

✅ سرور خودش فایل‌های لوکالش رو لو داد

به این می‌گن:

🔥 Local File Inclusion (LFI)

---

🧠 تصویر ذهنی خیلی ساده

حالت سالم 👌
تو می‌گی: «این فایل مجاز رو بده»
سرور: «چشم»

حالت خراب 🚨
تو می‌گی: «برو از پوشه‌های سیستمی خودت فایل بیار»
سرور: «بفرما»

---

📌 جمع‌بندی

این اپ سه تا اشتباه بزرگ داشت:

- 🔴 استفاده از Cordova بدون محافظت کافی
- 🔴 نگهداری کلیدها داخل کد
- 🔴 فیلتر نکردن path در سرور

---

#BugBounty #CyberSecurity #MobileSecurity #AndroidSecurity #Pentest #EthicalHacking #Infosec #LFI #OWASP

@androidSec_fa

🧪 چطور شکارچی‌ها حدس می‌زنن یه endpoint احتمال LFI داره؟

(ادامه داستان قبلی — کاربردی و به درد باگ‌بانتی)

ببین، هیچ هکری از اول نمی‌دونه یه سرور LFI داره.
همه‌چی از «بو کشیدن» شروع می‌شه 👃

اینا مهم‌ترین نشونه‌هایی هست که محقق‌ها دنبالش می‌گردن:

---

🔍 نشونه ۱ — endpoint دانلود فایل

اگر جایی دیدی اپ از این مدل URL استفاده می‌کنه، چراغ ذهنت روشن بشه:

- download
- fetch
- file
- getFile
- view
- open

چرا؟
چون اینا معمولاً با path فایل کار می‌کنن.

دقیقاً همین‌طوری تو این مقاله به fetchFile شک شد.

---

🔍 نشونه ۲ — وجود پارامتر path یا file

اگر توی URL چیزی شبیه این دیدی:

?file=
?path=
?name=
?download=

👈 اینا طلاست برای تست LFI

---

🔍 نشونه ۳ — اپ فایل آفلاین می‌گیره

اگر اپ:

- دیتابیس دانلود می‌کنه
- مدیا می‌گیره
- آپدیت آفلاین داره

معمولاً یه endpoint فایل پشتشه.

---

🧪 تست خیلی پایه که همه می‌زنن

اولین تست ساده معمولاً اینه:

../../../../etc/passwd

اگر سرور اینو برگردونه = بازی تمومه 😈

---

⚠️ ولی حواست باشه

خیلی وقتا سرورها نیمه‌مقاومن.

یعنی ممکنه:

- ارور بدن
- بخشی از فایل بیاد
- یا رفتار مشکوک نشون بدن

همین‌ها هم سرنخ طلاییه.

---

🎯 توصیه حرفه‌ای

همیشه این زنجیره ذهنی رو داشته باش:

APK → پیدا کردن endpoint → تست ورودی‌ها → شکار باگ

دقیقاً همون کاری که تو این مقاله انجام شد.

---

🔗 لینک مقاله (جایگزین کن با لینک اصلی):
https://example.com/sample-ahttps://ahmadaabdulla.medium.com/a-step-by-step-guide-to-uncovering-vulnerabilities-in-a-mobile-app-5a6b05e6b23b

---

#BugBounty #CyberSecurity #WebSecurity #LFI #Pentesting #EthicalHacker #AppSec #OWASP #HackerLife

@androidSec_fa

🔥 معرفی Galaxy S26 Ultra با قابلیت عجیب Privacy Display

سامسونگ در رویداد Unpacked 2026 یک ویژگی جدید معرفی کرد که حسابی سر و صدا کرده:
📱 Privacy Display

🔐 این قابلیت باعث می‌شود صفحه گوشی فقط از روبه‌رو واضح دیده شود و از بغل تقریباً تاریک و ناخوانا باشد؛ یعنی جلوی فضولی بقیه در مترو، اتوبوس یا مکان‌های عمومی گرفته می‌شود.

⭐ اما امکاناتش فقط این نیست:

✅ فعال/غیرفعال سریع از Quick Settings
✅ امکان محافظت از بخش‌های حساس مثل رمز و لاک‌اسکرین
✅ پشتیبانی از مخفی کردن نوتیفیکیشن‌ها
✅ قابلیت تنظیم برای اپ‌های خاص (مثلاً بانک یا پیام‌رسان)
✅ تنظیم شدت محافظت
✅ کار در سطح پیکسل داخل خود نمایشگر

سامسونگ می‌گوید این فناوری بیش از ۵ سال در حال توسعه بوده و مستقیم داخل پنل OLED گوشی قرار گرفته (نه مثل گلس‌های privacy).

🤔 نکته مهم:
برخی بررسی‌های اولیه می‌گویند نسخه فعلی شاید فقط چند حالت ساده داشته باشد و باید دید در عمل چقدر قابل شخصی‌سازی است.

—

#GalaxyS26Ultra #Samsung #PrivacyDisplay #GalaxyUnpacked #TechNews #MobileTech #سامسونگ #گوشی_هوشمند #تکنولوژی #اخبار_تکنولوژی

@androidSec_fa

🚨 هشدار امنیتی درباره اپ‌های سلامت روان اندروید

یک بررسی جدید نشان داده چند اپلیکیشن محبوب سلامت روان در اندروید با وجود میلیون‌ها نصب، دارای ضعف‌های امنیتی جدی هستند که می‌تواند اطلاعات بسیار حساس کاربران را در معرض خطر قرار دهد.

🔍 نکات مهم:
• بررسی ۱۰ اپ → کشف ۱٬۵۷۵ آسیب‌پذیری
• بیش از ۱۴.۷ میلیون دانلود مجموع
• برخی باگ‌ها امکان دسترسی به سوابق درمانی را می‌دهند
• ذخیره ناامن داده‌ها روی دستگاه در بعضی اپ‌ها
• استفاده از روش‌های رمزنگاری ضعیف در برخی موارد

⚠️ چرا مهم است؟
این اپ‌ها داده‌هایی مثل چت‌های درمانی، وضعیت روحی، برنامه دارویی و شاخص‌های حساس سلامت روان را نگه می‌دارند — اطلاعاتی که در دارک‌وب ارزش بالایی دارند.

🛡 توصیه کوتاه:
قبل از نصب اپ‌های سلامت روان، به اعتبار توسعه‌دهنده، آپدیت‌های اخیر و مجوزهای برنامه دقت کنید.

🔗 لینک مقاله:
https://www.bleepingcomputer.com/news/security/android-mental-health-apps-with-147m-installs-filled-with-security-flaws

📢 کانال ما:
@androidSec_fa

#امنیت_سایبری #اندروید #حریم_خصوصی #سلامت_روان #CyberSecurity

📦 معرفی ابزار جالب برای تحلیل APK اندروید

اگه با فایل‌های APK سر و کار داری یا روی تحلیل بدافزار موبایل کار می‌کنی، ریپوی زیر می‌تونه برات مفید باشه 👇

🔍 artifacts یک ابزار سبک برای تحلیل اولیه APK هست که می‌تونه:

• استخراج رشته‌ها از APK
• پیدا کردن URL و IPهای مشکوک
• شناسایی برخی رفتارهای مشکوک
• تلاش برای حدس خانواده بدافزار
• بررسی فایل‌های dex و کتابخانه‌ها

⚠️ توجه:
این ابزار بیشتر برای triage اولیه طراحی شده و ممکنه false positive داشته باشه؛ برای تحلیل دقیق‌تر بهتره کنار ابزارهایی مثل Jadx استفاده بشه.

🔗 لینک ریپو:
https://github.com/drego85/artifacts

#Android
#APK
#MalwareAnalysis
#ReverseEngineering
#CyberSecurity

📢 @androidSec_fa

سلام دوستان

بعد از حدود ۸۰–۹۰ روز دوباره برگشتیم 👋

مدتی به‌خاطر شرایط و تنش‌های اخیر منطقه‌ای و اتفاقاتی که روی فضای عمومی و زندگی همه‌مون تأثیر گذاشته بود، امکان فعالیت منظم و انتشار محتوا وجود نداشت(قطعی اینترنت).

الان دوباره برگشتیم و از امروز مثل قبل، پست‌های آموزشی به‌صورت روزانه داخل کانال قرار می‌گیره.

ممنون از هم‌راهی‌تون و صبوری‌تون توی این مدت 🙏

از اینجا به بعد با انرژی بیشتر ادامه می‌دیم 👤

@androidSec_fa

🔴 تروجان بانکی OverlayPhantom اندروید را هدف گرفته!

🔴 یک بدافزار جدید و حرفه‌ای به نام OverlayPhantom کشف شده که با جعل برنامه‌های معروف مثل «ID Austria» و «TikTok»، کاربران اندروید را آلوده می‌کند.

🔴 این تروجان بعد از نصب، خودش رو به عنوان «سرویس‌های گوگل پلی» مخفی می‌کنه و با سوءاستفاده از Accessibility Service، کنترل کامل گوشی رو به دست می‌گیره! 📱🔓

🔹 قابلیت‌ها:
• پخش زنده صفحه نمایش قربانی
• نمایش صفحات فیشینگ دقیقاً روی برنامه‌های بانکی
• اجرای بیش از ۳۰ دستور از راه دور توسط هکر

🌍 کشورهای تحت حمله:
آمریکا 🇺🇸 | انگلیس 🇬🇧 | آلمان 🇩🇪 | فرانسه 🇫🇷 | ایتالیا 🇮🇹 | اسپانیا 🇪🇸 | هلند 🇳🇱 | بلژیک 🇧🇪 | فنلاند 🇫🇮 | استرالیا 🇦🇺

🎯 بیش از ۱۸۰ برنامه بانکی و ارز دیجیتال در لیست هدف قرار دارن!

📄 تحلیل کامل و فنی این تهدید رو از لینک زیر بخونید:
🔗 https://cyble.com/blog/overlayphantom-android-banking-trojan/

📢 @androidSec_fa

#امنیت_سایبری #اندروید #تروجان_بانکی #فیشینگ #OverlayPhantom #هک #موبایل_امن #تهدیدات_سایبری #بانکداری_دیجیتال #ارز_دیجیتال #خبر_فوری #سایبرسکیوریتی

🔴 هشدار امنیتی: عملیات Trapdoor؛ وقتی «نصب ارگانیک» به دام کلاهبرداری تبلیغاتی تبدیل می‌شود!

تیم Satori از HUMAN Security، یک شبکه گسترده کلاهبرداری تبلیغاتی در اندروید را کشف کرده:

🔹 ۴۵۵ اپلیکیشن مخرب (PDF Reader، Cleaner و...)
🔹 ۲۴+ میلیون دانلود و ۶۵۹ میلیون درخواست تبلیغاتی در روز!
🔹 چرخه خودپایدار: تبلیغات مخرب → نصب اپ دوم → کلیک خودکار → درآمد برای مهاجمان

🎯 نکته هوشمندانه: مهاجمان با سواستفاده از سیستم‌های Attribution، رفتار مخرب را فقط برای کاربرانی فعال می‌کنند که از طریق تبلیغات خودشان اپ را نصب کرده‌اند! (محققان امنیتی چیزی نمی‌بینند )

📄 مطالعه گزارش کامل:
https://www.humansecurity.com/learn/resource/satori-threat-intelligence-alert-trapdoor-funnels-malvertising-into-ad-fraud/

🔖 #امنیت_سایبری #بدافزار_اندروید #کلاهبرداری_تبلیغاتی #Trapdoor #HUMAN_Security #AdFraud #Malvertising #Satori

💬 برای دریافت به‌روزرسانی‌های امنیتی، کانال ما را دنبال کنید:
@androidSec_fa

🔴 بدافزار جدید اندرویدی BTMOB؛ فراتر از یک تروجان بانکی!

🔴 محققان امنیتی از بدافزار اندرویدی BTMOB پرده برداشته‌اند؛ یک RAT (Remote Access Trojan) که می‌تواند پس از آلوده کردن دستگاه، کنترل گسترده‌ای روی گوشی قربانی به دست بیاورد.

🔹 سرقت اطلاعات حساس
🔹 ثبت فعالیت‌های کاربر
🔹 گرفتن اسکرین‌شات
🔹 سوءاستفاده از Accessibility Service
🔹 کنترل از راه دور دستگاه

🔴 نکته نگران‌کننده اینجاست که BTMOB به‌صورت Malware-as-a-Service (MaaS) فروخته می‌شود و حتی افراد بدون دانش برنامه‌نویسی هم می‌توانند نسخه‌های جدید آن را تولید و منتشر کنند.

🔴 این بدافزار معمولاً از طریق صفحات فیشینگ، فروشگاه‌های جعلی اپلیکیشن و فایل‌های APK آلوده منتشر می‌شود.

📖 مطالعه مقاله:
https://www.welivesecurity.com/en/malware/btmob-stealthy-rat-burrowing-deep-android-devices/

📢 @androidSec_fa

#CyberSecurity
#Android
#Malware
#RAT
#BTMOB
#ThreatIntelligence
#InfoSec
#CyberThreat
#AndroidSecurity
#MobileSecurity

​🔬 ابزار Iris: سیستم تست نفوذ intentهای اندروید

🔴 ​اگر در حوزه تست نفوذ و امنیت اپلیکیشن‌های اندرویدی (Android Pentesting) فعالیت می‌کنید، احتمالاً می‌دانید که اینتنت‌ها (Intents) یکی از بزرگ‌ترین سطوح حمله در اندروید هستند و آسیب‌پذیری‌های معروفی مثل Intent Redirection از همین بخش آب می‌خورند.

🔴 ​پروژه Iris (مخفف Intent Runtime Inspection System) که توسط توسعه‌دهنده ابزار معروف Medusa ساخته شده، در واقع مثل یک Burp Suite برای اینتنت‌های اندروید عمل می‌کند!

​💡 ویژگی‌های کلیدی Iris:
دستکاری و شنود زنده (Runtime) تمام اینتنت‌های رد و بدل شده
تحلیل دقیق داده‌های اضافی (Extras)، پرچم‌ها (Flags) و پارامترها
کشف باگ‌های منطقی و جابه‌جایی غیرامن داده‌ها بین کامپوننت‌های مختلف برنامه
​اگر به دنبال یک ابزار قدرتمند برای تحلیل دینامیک و کشف باگ در مکانیزم‌های ارتباطی اندروید هستید، این ریپوزیتوری را از دست ندهید.

​🔗 لینک ریپوزیتوری در گیت‌هاب:
https://github.com/Ch0pin/iris

​📢 @androidSec_fa

​#AndroidSecurity #Pentesting #Android #Github #BugBounty #ReverseEngineering #SecurityTools

🚨 پشت پرده دستگاه‌های هک گوشی؛ جادو یا تکنولوژی؟ 🕵️‍♂️💻

خیلی از ما فکر می‌کنیم شرکت‌های امنیتی و جرم‌شناسی (مثل Cellebrite) ابزارهای جادویی و پنهانی دارند که قفل هر گوشی را در چند ثانیه باز می‌کند. اما حقیقت چیز دیگری است! 😎👇

طبق مستندات فنی فاش‌شده، این ابزارها هیچ کار خارق‌العاده‌ای انجام نمی‌دهند؛ آن‌ها فقط از همان باگ‌ها و آسیب‌پذیری‌هایی استفاده می‌کنند که محققان امنیتی روزانه در کنفرانس‌ها و مقالات علمی منتشر می‌کنند. هنر این شرکت‌ها، تجاری‌سازی و اتوماتیک کردن این هک‌هاست تا یک اپراتور ساده هم بتواند با یک کلیک کار را تمام کند.

🛡 گوشی شما چطور در برابر هک از خودش دفاع می‌کند؟
داخل پردازنده‌های مدرن (ARM)، دو محیط کاملاً مجزا وجود دارد:

1️⃣ دنیای عادی (Normal World): جایی که سیستم‌عامل اندروید، هسته لینوکس و برنامه‌های شما اجرا می‌شوند.
2️⃣ دنیای امن (Secure World یا TEE): یک گاوصندوق کاملاً ایزوله که سیستم‌عامل مستقل و بسیار کوچک خود را دارد.

برنامه‌های حیاتی مثل Gatekeeper (مسئول بررسی پین/پسورد و محدود کردن تعداد دفعات تلاش) داخل این گاوصندوق زندگی می‌کنند. بنابراین دنیای عادی به هیچ‌وجه نمی‌تواند مستقیماً به حافظه دنیای امن دسترسی داشته باشد.

بنابراین هکرها چطور این سد را می‌شکنند؟ در پست بعدی به سراغ روش‌های هک در حالت خاموش می‌رویم... 🔥👇

📊 مرجع علمی: فایل "Demystifying phone unlocking tools_ A technical overview - Osservatorio Nessuno.PDF"

🆔 @androidSec_fa
────────────────
#امنیت #تکنولوژی #هک_گوشی #جرم_شناسی_دیجیتال #امنیتی #فناوری