🚨 کشف تروجان سرسخت Android.MagicAd؛ نمایش تبلیغات با دور زدن تمام محدودیت‌های اندروید!
🔬 متخصصان امنیتی شرکت دکتر وب (Dr.Web) بدافزار جدیدی به نام Android.MagicAd کشف کرده‌اند که با روش‌های بسیار عجیب و خلاقانه، تمام محدودیت‌های سیستم‌عامل اندروید را برای نمایش تبلیغات اجباری دور می‌زند.
🔴 این تروجان چطور کاربران را فریب می‌دهد؟
انتشار در فروشگاه‌های رسمی: این بدافزار در بیش از ۵۰ بازی و برنامه در GetApps (استور رسمی شیائومی) و Galaxy Store سامسونگ پنهان شده بود.
استراتژی ناپدید شدن: برنامه‌های آلوده برای مدت کوتاهی (کمتر از یک ماه) در استور باقی می‌ماندند تا شناسایی نشوند و سپس حذف می‌شدند؛ اما تروجان روی گوشی کاربرانی که آن را نصب کرده بودند به کار خود ادامه می‌داد.
مخفی شدن از منو: این بدافزار پس از نصب، ابتدا مطمئن می‌شود که در محیط شبیه‌ساز یا تحت نظر آنتی‌ویروس نیست؛ سپس آیکون خود را از منوی گوشی مخفی می‌کند تا حذف آن برای کاربر عادی سخت شود.
🔴 روش‌های عجیب برای دور زدن محدودیت‌های اندروید:
این تروجان بدون اجازه دسترسی معروف SYSTEM_ALERT_WINDOW (که برای نمایش پنجره روی برنامه‌های دیگر است)، تبلیغات خود را به شکل صفحات نیمه‌شفاف روی صفحه می‌آورد:
1️⃣ سوءاستفاده از برنامه‌های سیستمی شیائومی و آمازون: تروجان دستورات خود را از طریق برنامه‌های سیستمی مثل Mi Browser یا Miui SystemUI اجرا می‌کند تا اندروید به آن شک نکند.
2️⃣ سوءاستفاده در گوشی‌های ویوو (Vivo): از طریق ابزار سیستمی Binder به برنامه‌های پیش‌فرض مثل دفترچه تلفن متصل شده و از طریق آن‌ها تبلیغات باز می‌کند.
3️⃣ ترفند جهانی مدیا پلیر (تریک فوق‌العاده مخفی): تروجان یک فایل صوتی بی‌صدا را در پس‌زمینه با مدیا پلیر گوشی پخش می‌کند و با شبیه‌سازی مجازیِ زدن دکمه ضبط/پخش توسط کاربر، کنترل سیستم را به دست گرفته و تبلیغ را نمایش می‌دهد!
در حال حاضر تمام این برنامه‌ها از استورها حذف شده‌اند و آنتی‌ویروس دکتر وب توانایی شناسایی و پاکسازی کامل آن‌ها را دارد.
🌐 لینک مقاله کامل در وب‌سایت دکتر وب: https://news.drweb.com/show/?i=15262&c=5&lng=en
📢 کانال ما را دنبال کنید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #تروجان #بروزرسانی #Android #Malware
🔬 متخصصان امنیتی شرکت دکتر وب (Dr.Web) بدافزار جدیدی به نام Android.MagicAd کشف کرده‌اند که با روش‌های بسیار عجیب و خلاقانه، تمام محدودیت‌های سیستم‌عامل اندروید را برای نمایش تبلیغات اجباری دور می‌زند.
🔴 این تروجان چطور کاربران را فریب می‌دهد؟
انتشار در فروشگاه‌های رسمی: این بدافزار در بیش از ۵۰ بازی و برنامه در GetApps (استور رسمی شیائومی) و Galaxy Store سامسونگ پنهان شده بود.
استراتژی ناپدید شدن: برنامه‌های آلوده برای مدت کوتاهی (کمتر از یک ماه) در استور باقی می‌ماندند تا شناسایی نشوند و سپس حذف می‌شدند؛ اما تروجان روی گوشی کاربرانی که آن را نصب کرده بودند به کار خود ادامه می‌داد.
مخفی شدن از منو: این بدافزار پس از نصب، ابتدا مطمئن می‌شود که در محیط شبیه‌ساز یا تحت نظر آنتی‌ویروس نیست؛ سپس آیکون خود را از منوی گوشی مخفی می‌کند تا حذف آن برای کاربر عادی سخت شود.
🔴 روش‌های عجیب برای دور زدن محدودیت‌های اندروید:
این تروجان بدون اجازه دسترسی معروف SYSTEM_ALERT_WINDOW (که برای نمایش پنجره روی برنامه‌های دیگر است)، تبلیغات خود را به شکل صفحات نیمه‌شفاف روی صفحه می‌آورد:
1️⃣ سوءاستفاده از برنامه‌های سیستمی شیائومی و آمازون: تروجان دستورات خود را از طریق برنامه‌های سیستمی مثل Mi Browser یا Miui SystemUI اجرا می‌کند تا اندروید به آن شک نکند.
2️⃣ سوءاستفاده در گوشی‌های ویوو (Vivo): از طریق ابزار سیستمی Binder به برنامه‌های پیش‌فرض مثل دفترچه تلفن متصل شده و از طریق آن‌ها تبلیغات باز می‌کند.
3️⃣ ترفند جهانی مدیا پلیر (تریک فوق‌العاده مخفی): تروجان یک فایل صوتی بی‌صدا را در پس‌زمینه با مدیا پلیر گوشی پخش می‌کند و با شبیه‌سازی مجازیِ زدن دکمه ضبط/پخش توسط کاربر، کنترل سیستم را به دست گرفته و تبلیغ را نمایش می‌دهد!
در حال حاضر تمام این برنامه‌ها از استورها حذف شده‌اند و آنتی‌ویروس دکتر وب توانایی شناسایی و پاکسازی کامل آن‌ها را دارد.
🌐 لینک مقاله کامل در وب‌سایت دکتر وب: https://news.drweb.com/show/?i=15262&c=5&lng=en
📢 کانال ما را دنبال کنید:
🆔 @androidSec_fa
#امنیت #اندروید #بدافزار #تروجان #بروزرسانی #Android #Malware
👍3
🚨 هک کامپیوتر از طریق اسپیکر! (بدون نیاز به دسترسی فیزیکی)
📌 خلاصه یک مقاله امنیتی بسیار جذاب و جدید (ژوئن ۲۰۲۶) با نام "Pwnd Blaster" که نشان می‌دهد چطور یک نفوذگر می‌تواند از راه دور و بدون لمس دستگاه شما، کنترل سیستم را به دست بگیرد.
نویسنده این مقاله (Rasmus Moorats) با مهندسی معکوس فریم‌ور اسپیکر و ساندبار محبوب Creative Sound Blaster Katana V2X به آسیب‌پذیری‌های شدیدی دست پیدا کرده است:
۱️⃣ پروتکل ارتباطی ضعیف (CTP): این اسپیکر از یک پروتکل اختصاصی برای تغییر تنظیمات و آپدیت فریم‌ور استفاده می‌کند که هیچ مکانیزم امنیتی معتبری (مانند امضای دیجیتال) ندارد و هر فریم‌ور دستکاری‌شده‌ای را می‌پذیرد.
۲️⃣ دور زدن احراز هویت بلوتوث: نفوذگر در محدوده برد بلوتوث (حدود ۱۵ متری) می‌تواند بدون نیاز به فشردن دکمه جفت‌سازی (Pairing)، به دستگاه متصل شده و دستورات فریم‌ور را ارسال کند.
۳️⃣ تبدیل اسپیکر به ابزار جاسوسی و کیبورد مخرب (BadUSB / Rubber Ducky): با تزریق یک فریم‌ور مخرب از طریق بلوتوث، اسپیکر به یک میکروفون جاسوسی تبدیل می‌شود. همچنین دستگاه خودش را به عنوان یک «کیبورد مجازی» به کامپیوتر معرفی کرده و با تایپ خودکار و مخفیانه دستورات در ترمینال، کامپیوتر قربانی را هک می‌کند.
❌ پاسخ شرکت سازنده: شرکت Creative پس از دریافت گزارش اعلام کرده که این مورد را یک آسیب‌پذیری امنیتی به حساب نمی‌آورد! بنابراین آپدیت رسمی برای آن منتشر نشده است.
🌐 لینک مطالعه کامل مقاله:
🔗 https://blog.nns.ee/2026/06/03/katana-badusb/
🆔 @androidSec_fa
#Security #HardwareHacking #Vulnerability #BadUSB #Exploit #Infosec
📌 خلاصه یک مقاله امنیتی بسیار جذاب و جدید (ژوئن ۲۰۲۶) با نام "Pwnd Blaster" که نشان می‌دهد چطور یک نفوذگر می‌تواند از راه دور و بدون لمس دستگاه شما، کنترل سیستم را به دست بگیرد.
نویسنده این مقاله (Rasmus Moorats) با مهندسی معکوس فریم‌ور اسپیکر و ساندبار محبوب Creative Sound Blaster Katana V2X به آسیب‌پذیری‌های شدیدی دست پیدا کرده است:
۱️⃣ پروتکل ارتباطی ضعیف (CTP): این اسپیکر از یک پروتکل اختصاصی برای تغییر تنظیمات و آپدیت فریم‌ور استفاده می‌کند که هیچ مکانیزم امنیتی معتبری (مانند امضای دیجیتال) ندارد و هر فریم‌ور دستکاری‌شده‌ای را می‌پذیرد.
۲️⃣ دور زدن احراز هویت بلوتوث: نفوذگر در محدوده برد بلوتوث (حدود ۱۵ متری) می‌تواند بدون نیاز به فشردن دکمه جفت‌سازی (Pairing)، به دستگاه متصل شده و دستورات فریم‌ور را ارسال کند.
۳️⃣ تبدیل اسپیکر به ابزار جاسوسی و کیبورد مخرب (BadUSB / Rubber Ducky): با تزریق یک فریم‌ور مخرب از طریق بلوتوث، اسپیکر به یک میکروفون جاسوسی تبدیل می‌شود. همچنین دستگاه خودش را به عنوان یک «کیبورد مجازی» به کامپیوتر معرفی کرده و با تایپ خودکار و مخفیانه دستورات در ترمینال، کامپیوتر قربانی را هک می‌کند.
❌ پاسخ شرکت سازنده: شرکت Creative پس از دریافت گزارش اعلام کرده که این مورد را یک آسیب‌پذیری امنیتی به حساب نمی‌آورد! بنابراین آپدیت رسمی برای آن منتشر نشده است.
🌐 لینک مطالعه کامل مقاله:
🔗 https://blog.nns.ee/2026/06/03/katana-badusb/
🆔 @androidSec_fa
#Security #HardwareHacking #Vulnerability #BadUSB #Exploit #Infosec
nns.ee
Pwnd Blaster: Hacking your PC using your speaker without ever touching it | nns.ee
Abusing an unauthenticated Bluetooth protocol to turn a PC speaker into a Rubber Ducky.
👍5
🔴 شناسایی جاسوس‌افزار جدید اندرویدی با هدف قرار دادن کاربران عرب‌زبان
🔍 شرکت امنیت سایبری ESET به‌تازگی یک بدافزار جاسوسی جدید اندرویدی به نام Asin کشف کرده است که به طور خاص کاربران عرب‌زبان را از طریق اپلیکیشن‌های جعلی و سایت‌های فریبنده هدف قرار می‌دهد.
📌 روش‌های فریب مهاجمان:
این جاسوس‌افزار در قالب برنامه‌های کاربردی و با ظاهر کاملاً سالم توزیع می‌شود:
🔹 govlens[.]net: سایتی که خود را منبع اخبار دولتی معرفی می‌کند.
🔹 pdf-reader[.]help: سایتی با ادعای ارائه ابزار ویرایش امن فایل‌های PDF.
🔹 live-war-map[.]com و syriadefensemap[.]com: وب‌سایت‌هایی که ادعای پوشش زنده اخبار جنگی و نقشه‌های دفاعی سوریه را دارند.
📱 پوشش در شبکه‌های اجتماعی:
مهاجمان برای جلب اعتماد کاربران، کانال‌ها و صفحاتی را در فیس‌بوک و تلگرام ایجاد کرده‌اند. آن‌ها حتی نام کانال تلگرامی خود را بر اساس پلتفرم معروف Liveuamap طراحی کرده‌اند تا کاربران را گمراه کنند.
🎯 قربانیان اصلی چه کسانی هستند؟
بر اساس تحلیل پلتفرم‌های استفاده شده (به ویژه نقشه‌های جنگی و اخبار)، شرکت ESET معتقد است هدف اصلی این کمپین، خبرنگاران، محققان منابع آشکار (OSINT) و فعالان حوزه درگیری‌های منطقه‌ای در خاورمیانه هستند.
⚠️ نحوه آلودگی سیستم:
این بدافزار خود به خود نصب نمی‌شود؛ بلکه قربانی باید شخصاً فایل APK را دانلود کرده و هنگام نصب، دسترسی‌های لازم را به برنامه بدهد تا جاسوس‌افزار بتواند به اطلاعات حساس گوشی دسترسی پیدا کند. این بدافزار حتی روی دستگاه‌های جدید با اندروید ۱۵ نیز مشاهده شده است.
🔗 لینک مقاله اصلی:
🌐 https://thehackernews.com/2026/06/android-spyware-asin-targets-arabic.html
🆔 @androidSec_fa
#امنیت #امنیت_سایبری #اندروید #بدافزار #جاسوس_افزار #هک #اخبار_امنیت
🔍 شرکت امنیت سایبری ESET به‌تازگی یک بدافزار جاسوسی جدید اندرویدی به نام Asin کشف کرده است که به طور خاص کاربران عرب‌زبان را از طریق اپلیکیشن‌های جعلی و سایت‌های فریبنده هدف قرار می‌دهد.
📌 روش‌های فریب مهاجمان:
این جاسوس‌افزار در قالب برنامه‌های کاربردی و با ظاهر کاملاً سالم توزیع می‌شود:
🔹 govlens[.]net: سایتی که خود را منبع اخبار دولتی معرفی می‌کند.
🔹 pdf-reader[.]help: سایتی با ادعای ارائه ابزار ویرایش امن فایل‌های PDF.
🔹 live-war-map[.]com و syriadefensemap[.]com: وب‌سایت‌هایی که ادعای پوشش زنده اخبار جنگی و نقشه‌های دفاعی سوریه را دارند.
📱 پوشش در شبکه‌های اجتماعی:
مهاجمان برای جلب اعتماد کاربران، کانال‌ها و صفحاتی را در فیس‌بوک و تلگرام ایجاد کرده‌اند. آن‌ها حتی نام کانال تلگرامی خود را بر اساس پلتفرم معروف Liveuamap طراحی کرده‌اند تا کاربران را گمراه کنند.
🎯 قربانیان اصلی چه کسانی هستند؟
بر اساس تحلیل پلتفرم‌های استفاده شده (به ویژه نقشه‌های جنگی و اخبار)، شرکت ESET معتقد است هدف اصلی این کمپین، خبرنگاران، محققان منابع آشکار (OSINT) و فعالان حوزه درگیری‌های منطقه‌ای در خاورمیانه هستند.
⚠️ نحوه آلودگی سیستم:
این بدافزار خود به خود نصب نمی‌شود؛ بلکه قربانی باید شخصاً فایل APK را دانلود کرده و هنگام نصب، دسترسی‌های لازم را به برنامه بدهد تا جاسوس‌افزار بتواند به اطلاعات حساس گوشی دسترسی پیدا کند. این بدافزار حتی روی دستگاه‌های جدید با اندروید ۱۵ نیز مشاهده شده است.
🔗 لینک مقاله اصلی:
🌐 https://thehackernews.com/2026/06/android-spyware-asin-targets-arabic.html
🆔 @androidSec_fa
#امنیت #امنیت_سایبری #اندروید #بدافزار #جاسوس_افزار #هک #اخبار_امنیت
👍4
🔴 تکامل خطرناک یک بدافزار اندرویدی: از فیشینگ ساده تا سرقت اطلاعات کارت بانکی با NFC و گیت‌هاب!
پژوهشگران امنیتی شرکت D3Lab به‌تزگی گزارشی از موج جدید حملات بدافزار NFCShare منتشر کرده‌اند که نشان می‌دهد هکرها چگونه روش‌های خود را برای دور زدن آنتی‌ویروس‌ها و فریب کاربران ارتقا داده‌اند.
❗️ بدافزار NFCShare چطور کار می‌کند؟
این بدافزار یک تروجان بانکی اندرویدی است که پس از نصب، یک صفحه جعلی (WebView) با عنوان «تأیید کارت بانکی» به قربانی نشان می‌دهد. از کاربر خواسته می‌شود کارت بانکی خود را به پشت گوشی (نزدیک حسگر NFC) بچسباند. بدافزار با استفاده از قابلیت NFC و پروتکل‌های بانکی (IsoDep)، اطلاعات تراشه کارت را می‌خواند، رمز کارت (PIN) را هم از طریق صفحه جعلی سرقت می‌کند و همه را به سرور هکرها (C2) می‌فرستد!
⛓️ زنجیره حمله جدید (از فیشینگ تا گیت‌هاب):
۱. سایت فیشینگ اولیه: کاربر به یک سایت جعلی کاملاً شبیه به بانک‌های معتبر هدایت می‌شود و اطلاعات ورود خود را وارد می‌کند.
۲. فریب به‌روزرسانی: سایت فیشینگ به کاربر می‌گوید اپلیکیشن بانکی شما نیاز به آپدیت دارد.
۳. سوءاستفاده از گیت‌هاب: لینک دانلود اپلیکیشن، یک لینک کوتاه‌شده (مثل TinyURL) است که در نهایت فایل مخرب APK را از یک مخزن عمومی در GitHub (که پشت یک پروژه جعلی مدرسه پنهان شده) دانلود می‌کند! هکرها از گیت‌هاب به عنوان بستر امن و رایگان برای میزبانی بدافزار استفاده می‌کنند.
🛡 تکنیک‌های ضد-تحلیل (آنتی‌آنالیز):
هکرها در کدهای اصلی تغییر زیادی نداده‌اند، اما تمرکز خود را روی فرار از دست تحلیل‌گران گذاشته‌اند:
تغییر مداوم برندها (Brand Rotation): ظاهر برنامه مدام تغییر می‌کند تا نام و لوگوی بانک‌های مختلف اروپایی را جعل کند.
خراب‌کاری در ساختار ZIP فایل بدافزار: هکرها مسیر فایل‌های داخلی APK را دستکاری کرده‌اند؛ این کار باعث می‌شود ابزارهای تحلیل خودکار امنیتی و آنتی‌ویروس‌ها هنگام استخراج فایل دچار خطا (Crash) شوند، هرچند تحلیل‌گران به صورت دستی همچنان می‌توانند آن را بررسی کنند.
💡 نکته امنیتی برای کاربران: هرگز برنامه‌های بانکی خود را از لینک‌های ارسال شده در پیامک‌ها، سایت‌های ناشناس یا لینک‌های گیت‌هاب دانلود نکنید. همیشه برای نصب یا به‌روزرسانی برنامه‌های بانکی، مستقیماً به وب‌سایت رسمی خود بانک یا استورهای معتبر مراجعه کنید.
🔗 لینک مقاله کامل در D3Lab:
https://www.d3lab.net/nfcshare-evolves-from-a-banking-phishing-apk-to-a-github-hosted-android-nfc-fraud-campaign/
🆔 @androidSec_fa
#امنیت_اندروید #بدافزار #فیشینگ #امنیت_سایبری #NFCShare #تروجان_بانکی #Malware #AndroidSecurity
پژوهشگران امنیتی شرکت D3Lab به‌تزگی گزارشی از موج جدید حملات بدافزار NFCShare منتشر کرده‌اند که نشان می‌دهد هکرها چگونه روش‌های خود را برای دور زدن آنتی‌ویروس‌ها و فریب کاربران ارتقا داده‌اند.
❗️ بدافزار NFCShare چطور کار می‌کند؟
این بدافزار یک تروجان بانکی اندرویدی است که پس از نصب، یک صفحه جعلی (WebView) با عنوان «تأیید کارت بانکی» به قربانی نشان می‌دهد. از کاربر خواسته می‌شود کارت بانکی خود را به پشت گوشی (نزدیک حسگر NFC) بچسباند. بدافزار با استفاده از قابلیت NFC و پروتکل‌های بانکی (IsoDep)، اطلاعات تراشه کارت را می‌خواند، رمز کارت (PIN) را هم از طریق صفحه جعلی سرقت می‌کند و همه را به سرور هکرها (C2) می‌فرستد!
⛓️ زنجیره حمله جدید (از فیشینگ تا گیت‌هاب):
۱. سایت فیشینگ اولیه: کاربر به یک سایت جعلی کاملاً شبیه به بانک‌های معتبر هدایت می‌شود و اطلاعات ورود خود را وارد می‌کند.
۲. فریب به‌روزرسانی: سایت فیشینگ به کاربر می‌گوید اپلیکیشن بانکی شما نیاز به آپدیت دارد.
۳. سوءاستفاده از گیت‌هاب: لینک دانلود اپلیکیشن، یک لینک کوتاه‌شده (مثل TinyURL) است که در نهایت فایل مخرب APK را از یک مخزن عمومی در GitHub (که پشت یک پروژه جعلی مدرسه پنهان شده) دانلود می‌کند! هکرها از گیت‌هاب به عنوان بستر امن و رایگان برای میزبانی بدافزار استفاده می‌کنند.
🛡 تکنیک‌های ضد-تحلیل (آنتی‌آنالیز):
هکرها در کدهای اصلی تغییر زیادی نداده‌اند، اما تمرکز خود را روی فرار از دست تحلیل‌گران گذاشته‌اند:
تغییر مداوم برندها (Brand Rotation): ظاهر برنامه مدام تغییر می‌کند تا نام و لوگوی بانک‌های مختلف اروپایی را جعل کند.
خراب‌کاری در ساختار ZIP فایل بدافزار: هکرها مسیر فایل‌های داخلی APK را دستکاری کرده‌اند؛ این کار باعث می‌شود ابزارهای تحلیل خودکار امنیتی و آنتی‌ویروس‌ها هنگام استخراج فایل دچار خطا (Crash) شوند، هرچند تحلیل‌گران به صورت دستی همچنان می‌توانند آن را بررسی کنند.
💡 نکته امنیتی برای کاربران: هرگز برنامه‌های بانکی خود را از لینک‌های ارسال شده در پیامک‌ها، سایت‌های ناشناس یا لینک‌های گیت‌هاب دانلود نکنید. همیشه برای نصب یا به‌روزرسانی برنامه‌های بانکی، مستقیماً به وب‌سایت رسمی خود بانک یا استورهای معتبر مراجعه کنید.
🔗 لینک مقاله کامل در D3Lab:
https://www.d3lab.net/nfcshare-evolves-from-a-banking-phishing-apk-to-a-github-hosted-android-nfc-fraud-campaign/
🆔 @androidSec_fa
#امنیت_اندروید #بدافزار #فیشینگ #امنیت_سایبری #NFCShare #تروجان_بانکی #Malware #AndroidSecurity
D3Lab
NFCShare evolves: from a banking phishing APK to a GitHub-hosted Android NFC fraud campaign
A new NFCShare Android malware campaign distributed through an Intesa Sanpaolo-themed phishing flow, short URLs, and GitHub-hosted APKs. The recent samples keep the same NFC card-theft logic but introduce stronger anti-analysis packaging, brand rotation,…
👍4
📱 کامپایل و ساخت بومی فریدا (Frida) روی ترموکس بدون نیاز به NDK!
آیا تا به حال شنیده‌اید که می‌گویند «امکان کامپایل بومی Frida روی ترموکس وجود ندارد»؟ یا اینکه پس از تغییرات نسخه ۱۷ فریدا، نصب آن روی اندروید به یک کابوس تبدیل شده است؟ 🛠️
«آبهی» (Abhi) در مقاله جدید خود این ادعا را به چالش کشیده و نشان داده که چطور توانسته در طول تعطیلات و فقط با استفاده از خودِ گوشی اندرویدی (بدون نیاز به لپ‌تاپ، ابزار NDK یا کراس-کامپایل)، فریدا را به صورت کاملاً بومی (Native) روی ترموکس بیلد کند!
🔻 خلاصه‌ای از آنچه در این مقاله فوق‌العاده می‌خوانید:
چرا روش‌های قبلی از کار افتادند؟ بررسی تغییرات نسخه جدید Frida-Python که سیستم قبلی ترموکس را مختل کرد.
پیش‌نیازهای حیاتی: چگونگی بیلد کردن کامپایلر پچ‌شده‌ی Vala و کلون کردن نسخه اختصاصی GLib که فریدا به شدت به آن‌ها وابسته است.
عبور از سد خطاها با ۱۱ پچ اختصاصی: راهکارهای عملی برای حل تداخل توابع کتابخانه اندروید (Bionic libc) و سازگاری با کتابخانه مدیریت فایل ترموکس.
اسکریپت جادویی رفع خطاهای کاذب: نحوه فیلتر کردن توابعی که بیلد سیستم اندروید به اشتباه فکر می‌کند وجود دارند (False Positives).
محدودیت رم و فرآیند بیلد: تنظیم کامپایلر روی هسته‌های محدود (مثل -j1 یا -j2) برای جلوگیری از کرش و کمبود حافظه (OOM) روی گوشی.
در نهایت، نویسنده توضیح می‌دهد که چرا این پچ‌های تهاجمی و هک‌گونه هیچ‌وقت به صورت رسمی وارد سورس‌کد اصلی فریدا نخواهند شد، اما برای کسانی که گوشی پلتفرم اصلی آن‌هاست، یک راهکار بی‌نظیر است!
🔗 مطالعه کامل مقاله و دسترسی به دستورات بیلد:
👇👇👇
🔗 https://qbtau.in/posts/building_frida_on_termux/
🆔 @androidSec_fa
#Frida #Termux #AndroidSecurity #ReverseEngineering #Bionic #Vala #GLib #AndroidSec
آیا تا به حال شنیده‌اید که می‌گویند «امکان کامپایل بومی Frida روی ترموکس وجود ندارد»؟ یا اینکه پس از تغییرات نسخه ۱۷ فریدا، نصب آن روی اندروید به یک کابوس تبدیل شده است؟ 🛠️
«آبهی» (Abhi) در مقاله جدید خود این ادعا را به چالش کشیده و نشان داده که چطور توانسته در طول تعطیلات و فقط با استفاده از خودِ گوشی اندرویدی (بدون نیاز به لپ‌تاپ، ابزار NDK یا کراس-کامپایل)، فریدا را به صورت کاملاً بومی (Native) روی ترموکس بیلد کند!
🔻 خلاصه‌ای از آنچه در این مقاله فوق‌العاده می‌خوانید:
چرا روش‌های قبلی از کار افتادند؟ بررسی تغییرات نسخه جدید Frida-Python که سیستم قبلی ترموکس را مختل کرد.
پیش‌نیازهای حیاتی: چگونگی بیلد کردن کامپایلر پچ‌شده‌ی Vala و کلون کردن نسخه اختصاصی GLib که فریدا به شدت به آن‌ها وابسته است.
عبور از سد خطاها با ۱۱ پچ اختصاصی: راهکارهای عملی برای حل تداخل توابع کتابخانه اندروید (Bionic libc) و سازگاری با کتابخانه مدیریت فایل ترموکس.
اسکریپت جادویی رفع خطاهای کاذب: نحوه فیلتر کردن توابعی که بیلد سیستم اندروید به اشتباه فکر می‌کند وجود دارند (False Positives).
محدودیت رم و فرآیند بیلد: تنظیم کامپایلر روی هسته‌های محدود (مثل -j1 یا -j2) برای جلوگیری از کرش و کمبود حافظه (OOM) روی گوشی.
در نهایت، نویسنده توضیح می‌دهد که چرا این پچ‌های تهاجمی و هک‌گونه هیچ‌وقت به صورت رسمی وارد سورس‌کد اصلی فریدا نخواهند شد، اما برای کسانی که گوشی پلتفرم اصلی آن‌هاست، یک راهکار بی‌نظیر است!
🔗 مطالعه کامل مقاله و دسترسی به دستورات بیلد:
👇👇👇
🔗 https://qbtau.in/posts/building_frida_on_termux/
🆔 @androidSec_fa
#Frida #Termux #AndroidSecurity #ReverseEngineering #Bionic #Vala #GLib #AndroidSec
Abhi's Blog
How hard can it be to build Frida natively on Android/Termux(without NDK?)
Seriously, How hard can it be?
👍3
تکنولوژی جدید آنر برای فریب اپلیکیشن‌های جاسوس
🛡️ شرکت آنر برای مقابله با درخواست‌های غیرمنطقی اپلیکیشن‌ها، قابلیت Virtual Permissions را به رابط کاربری MagicOS اضافه کرد. این ویژگی به کاربران اجازه می‌دهد به‌جای اعطای دسترسی‌های واقعی، مجوزهای جعلی یا خالی به برنامه‌های غیرقابل‌اعتماد بدهند تا حریم خصوصی آن‌ها حفظ شود.
⚙️ این سیستم در سطح پایین سیستم‌عامل پیاده‌سازی شده است و اطلاعات ساختگی مانند فهرست تماس‌های خالی یا پیامک‌های جعلی را به اپلیکیشن‌ها ارسال می‌کند. این به‌روزرسانی در نسخه 10.0.0.160 رابط کاربری MagicOS فعال شده و توزیع آن برای گوشی‌های واجد شرایط آغاز شده است.
🆔 @androidSec_fa
🛡️ شرکت آنر برای مقابله با درخواست‌های غیرمنطقی اپلیکیشن‌ها، قابلیت Virtual Permissions را به رابط کاربری MagicOS اضافه کرد. این ویژگی به کاربران اجازه می‌دهد به‌جای اعطای دسترسی‌های واقعی، مجوزهای جعلی یا خالی به برنامه‌های غیرقابل‌اعتماد بدهند تا حریم خصوصی آن‌ها حفظ شود.
⚙️ این سیستم در سطح پایین سیستم‌عامل پیاده‌سازی شده است و اطلاعات ساختگی مانند فهرست تماس‌های خالی یا پیامک‌های جعلی را به اپلیکیشن‌ها ارسال می‌کند. این به‌روزرسانی در نسخه 10.0.0.160 رابط کاربری MagicOS فعال شده و توزیع آن برای گوشی‌های واجد شرایط آغاز شده است.
🆔 @androidSec_fa
👍6❤1
🚨 فوری: جزئیات آسیب‌پذیری بحرانی اندروید (CVE-2026-0073) منتشر شد!
اگر از قابلیت Wireless Debugging (عیب‌یابی بی‌سیم) در اندروید استفاده می‌کنید، این مقاله را به هیچ وجه از دست ندهید!
گوگل اخیراً یک باگ بسیار خطرناک از نوع Zero-Click RCE (اجرای کد از راه دور بدون نیاز به تایید کاربر) را در بخش adbd سیستم‌عامل اندروید فاش کرده است.
🔴 داستان از چه قرار است؟
قابلیت عیب‌یابی بی‌سیم برای این طراحی شده که فقط به کامپیوترهای قابل اعتماد و جفت‌شده (Pair شده) متصل شود. اما این آسیب‌پذیری به دلیل یک خطای منطقی در بررسی گواهی‌های TLS، به هکر اجازه می‌دهد احراز هویت را کاملاً دور بزند!
اگر هکر با شما در یک شبکه وای-فای مشترک باشد، می‌تواند بدون اینکه نیازی به لمس گزینه "Allow" روی گوشی شما باشد، دسترسی Shell (خط فرمان) دستگاه را به دست بگیرد!
🔍 نکات کلیدی مقاله:
دستگاه‌های تحت تأثیر: طبق اعلام گوگل، اندروید ۱۴، ۱۵ و ۱۶ آسیب‌پذیر هستند؛ اما در تست‌های عملی، حتی اندروید ۱۳ و دستگاه‌هایی مثل ساعت‌های هوشمند و تبلت‌ها نیز با این روش هک شده‌اند!
میزان دسترسی هکر: هکر پس از نفوذ می‌تواند بدافزار نصب کند، دسترسی بدافزارها را بالا ببرد و به پیامک‌ها، مخاطبین و تاریخچه تماس‌های شما دسترسی کامل پیدا کند.
شرط اصلی هک: این باگ فقط دستگاه‌هایی را تهدید می‌کند که قابلیت Wireless Debugging آن‌ها روشن است و حداقل یک‌بار در گذشته با یک دستگاه دیگر جفت شده‌اند.
🛡️ راه‌حل چیست؟
1. اگر کارتان تمام شده، حتماً Wireless Debugging را خاموش کنید.
2. سیستم‌عامل خود را به پچ امنیتی مه ۲۰۲۶ (2026-05-01) یا جدیدتر به‌روزرسانی کنید.
👇 مطالعه متن کامل مقاله و جزییات فنی به همراه تصاویر تست عملی:
🌐 مطالعه مقاله در Mobile Hacker
https://www.mobile-hacker.com/2026/05/12/android-rce-via-wireless-debugging-fromجج-network-access-to-shell/?hl=en-GB
📢 به کانال ما بپیوندید تا جدیدترین اخبار و تحلیل‌های امنیت را از دست ندهید:
🆔 @androidSec_fa
#امنیت #تست_نفوذ #اندروید #هک #آسیب_پذیری #Android #Cybersecurity #CVE20260073 #ADB
اگر از قابلیت Wireless Debugging (عیب‌یابی بی‌سیم) در اندروید استفاده می‌کنید، این مقاله را به هیچ وجه از دست ندهید!
گوگل اخیراً یک باگ بسیار خطرناک از نوع Zero-Click RCE (اجرای کد از راه دور بدون نیاز به تایید کاربر) را در بخش adbd سیستم‌عامل اندروید فاش کرده است.
🔴 داستان از چه قرار است؟
قابلیت عیب‌یابی بی‌سیم برای این طراحی شده که فقط به کامپیوترهای قابل اعتماد و جفت‌شده (Pair شده) متصل شود. اما این آسیب‌پذیری به دلیل یک خطای منطقی در بررسی گواهی‌های TLS، به هکر اجازه می‌دهد احراز هویت را کاملاً دور بزند!
اگر هکر با شما در یک شبکه وای-فای مشترک باشد، می‌تواند بدون اینکه نیازی به لمس گزینه "Allow" روی گوشی شما باشد، دسترسی Shell (خط فرمان) دستگاه را به دست بگیرد!
🔍 نکات کلیدی مقاله:
دستگاه‌های تحت تأثیر: طبق اعلام گوگل، اندروید ۱۴، ۱۵ و ۱۶ آسیب‌پذیر هستند؛ اما در تست‌های عملی، حتی اندروید ۱۳ و دستگاه‌هایی مثل ساعت‌های هوشمند و تبلت‌ها نیز با این روش هک شده‌اند!
میزان دسترسی هکر: هکر پس از نفوذ می‌تواند بدافزار نصب کند، دسترسی بدافزارها را بالا ببرد و به پیامک‌ها، مخاطبین و تاریخچه تماس‌های شما دسترسی کامل پیدا کند.
شرط اصلی هک: این باگ فقط دستگاه‌هایی را تهدید می‌کند که قابلیت Wireless Debugging آن‌ها روشن است و حداقل یک‌بار در گذشته با یک دستگاه دیگر جفت شده‌اند.
🛡️ راه‌حل چیست؟
1. اگر کارتان تمام شده، حتماً Wireless Debugging را خاموش کنید.
2. سیستم‌عامل خود را به پچ امنیتی مه ۲۰۲۶ (2026-05-01) یا جدیدتر به‌روزرسانی کنید.
👇 مطالعه متن کامل مقاله و جزییات فنی به همراه تصاویر تست عملی:
🌐 مطالعه مقاله در Mobile Hacker
https://www.mobile-hacker.com/2026/05/12/android-rce-via-wireless-debugging-fromجج-network-access-to-shell/?hl=en-GB
📢 به کانال ما بپیوندید تا جدیدترین اخبار و تحلیل‌های امنیت را از دست ندهید:
🆔 @androidSec_fa
#امنیت #تست_نفوذ #اندروید #هک #آسیب_پذیری #Android #Cybersecurity #CVE20260073 #ADB
👍3
اندروید | امنیت و هک
🚨 فوری: جزئیات آسیب‌پذیری بحرانی اندروید (CVE-2026-0073) منتشر شد! اگر از قابلیت Wireless Debugging (عیب‌یابی بی‌سیم) در اندروید استفاده می‌کنید، این مقاله را به هیچ وجه از دست ندهید! گوگل اخیراً یک باگ بسیار خطرناک از نوع Zero-Click RCE (اجرای کد از راه…
کد مخرب و ابزار تست (PoC) این آسیب‌پذیری منتشر شد!
اگر می‌خواهید نحوه کارکرد این اکسپلویت پایتونی را ببینید یا امنیت دستگاه خودتان را در برابر این باگ بسنجید، ابزار رسمی آن به‌صورت متن‌باز در گیت‌هاب قرار گرفته است.
⚠️ تست امنیت: اگر ابزار را اجرا کردید و با خطای certificate_unknown مواجه شدید، یعنی دستگاه شما آپدیت شده و ایمن است!
👇 دریافت ابزار از گیت‌هاب:
🌐 https://github.com/adityatelange/Poc-CVE-2026-0073
🆔 @androidSec_fa
#گیت_هاب #اکسپلویت #امنیت #GitHub #PoC
اگر می‌خواهید نحوه کارکرد این اکسپلویت پایتونی را ببینید یا امنیت دستگاه خودتان را در برابر این باگ بسنجید، ابزار رسمی آن به‌صورت متن‌باز در گیت‌هاب قرار گرفته است.
⚠️ تست امنیت: اگر ابزار را اجرا کردید و با خطای certificate_unknown مواجه شدید، یعنی دستگاه شما آپدیت شده و ایمن است!
👇 دریافت ابزار از گیت‌هاب:
🌐 https://github.com/adityatelange/Poc-CVE-2026-0073
🆔 @androidSec_fa
#گیت_هاب #اکسپلویت #امنیت #GitHub #PoC
GitHub
GitHub - adityatelange/poc-CVE-2026-0073: CVE-2026-0073 - ADB Wireless Mutual Authentication Bypass PoC
CVE-2026-0073 - ADB Wireless Mutual Authentication Bypass PoC - adityatelange/poc-CVE-2026-0073
👍3
🚨 تکامل خطرناک یک بدافزار اندرویدی: از فیشینگ ساده تا سرقت اطلاعات کارت بانکی با NFC و گیت‌هاب!
پژوهشگران امنیتی شرکت D3Lab به‌تزگی گزارشی از موج جدید حملات بدافزار NFCShare منتشر کرده‌اند که نشان می‌دهد هکرها چگونه روش‌های خود را برای دور زدن آنتی‌ویروس‌ها و فریب کاربران ارتقا داده‌اند.
📌 بدافزار NFCShare چطور کار می‌کند؟
این بدافزار یک تروجان بانکی اندرویدی است که پس از نصب، یک صفحه جعلی (WebView) با عنوان «تأیید کارت بانکی» به قربانی نشان می‌دهد. از کاربر خواسته می‌شود کارت بانکی خود را به پشت گوشی (نزدیک حسگر NFC) بچسباند. بدافزار با استفاده از قابلیت NFC و پروتکل‌های بانکی (IsoDep)، اطلاعات تراشه کارت را می‌خواند، رمز کارت (PIN) را هم از طریق صفحه جعلی سرقت می‌کند و همه را به سرور هکرها (C2) می‌فرستد!
🔄 زنجیره حمله جدید (از فیشینگ تا گیت‌هاب):
۱. سایت فیشینگ اولیه: کاربر به یک سایت جعلی کاملاً شبیه به بانک‌های معتبر هدایت می‌شود و اطلاعات ورود خود را وارد می‌کند.
۲. فریب به‌روزرسانی: سایت فیشینگ به کاربر می‌گوید اپلیکیشن بانکی شما نیاز به آپدیت دارد.
۳. سوءاستفاده از گیت‌هاب: لینک دانلود اپلیکیشن، یک لینک کوتاه‌شده (مثل TinyURL) است که در نهایت فایل مخرب APK را از یک مخزن عمومی در GitHub (که پشت یک پروژه جعلی مدرسه پنهان شده) دانلود می‌کند! هکرها از گیت‌هاب به عنوان بستر امن و رایگان برای میزبانی بدافزار استفاده می‌کنند.
🛡 تکنیک‌های ضد-تحلیل (آنتی‌آنالیز):
هکرها در کدهای اصلی تغییر زیادی نداده‌اند، اما تمرکز خود را روی فرار از دست تحلیل‌گران گذاشته‌اند:
تغییر مداوم برندها (Brand Rotation): ظاهر برنامه مدام تغییر می‌کند تا نام و لوگوی بانک‌های مختلف اروپایی را جعل کند.
خراب‌کاری در ساختار ZIP فایل بدافزار: هکرها مسیر فایل‌های داخلی APK را دستکاری کرده‌اند؛ این کار باعث می‌شود ابزارهای تحلیل خودکار امنیتی و آنتی‌ویروس‌ها هنگام استخراج فایل دچار خطا (Crash) شوند، هرچند تحلیل‌گران به صورت دستی همچنان می‌توانند آن را بررسی کنند.
💡 نکته امنیتی برای کاربران:
هرگز برنامه‌های بانکی خود را از لینک‌های ارسال شده در پیامک‌ها، سایت‌های ناشناس یا لینک‌های گیت‌هاب دانلود نکنید. همیشه برای نصب یا به‌روزرسانی برنامه‌های بانکی، مستقیماً به وب‌سایت رسمی خود بانک یا استورهای معتبر مراجعه کنید.
🔗 لینک مقاله کامل در D3Lab:
📎 https://www.d3lab.net/nfcshare-evolves-from-a-banking-phishing-apk-to-a-github-hosted-android-nfc-fraud-campaign/
🆔 @androidSec_fa
#امنیت_اندروید #بدافزار #فیشینگ #امنیت_سایبری #NFCShare #تروجان_بانکی #Malware #AndroidSecurity
پژوهشگران امنیتی شرکت D3Lab به‌تزگی گزارشی از موج جدید حملات بدافزار NFCShare منتشر کرده‌اند که نشان می‌دهد هکرها چگونه روش‌های خود را برای دور زدن آنتی‌ویروس‌ها و فریب کاربران ارتقا داده‌اند.
📌 بدافزار NFCShare چطور کار می‌کند؟
این بدافزار یک تروجان بانکی اندرویدی است که پس از نصب، یک صفحه جعلی (WebView) با عنوان «تأیید کارت بانکی» به قربانی نشان می‌دهد. از کاربر خواسته می‌شود کارت بانکی خود را به پشت گوشی (نزدیک حسگر NFC) بچسباند. بدافزار با استفاده از قابلیت NFC و پروتکل‌های بانکی (IsoDep)، اطلاعات تراشه کارت را می‌خواند، رمز کارت (PIN) را هم از طریق صفحه جعلی سرقت می‌کند و همه را به سرور هکرها (C2) می‌فرستد!
🔄 زنجیره حمله جدید (از فیشینگ تا گیت‌هاب):
۱. سایت فیشینگ اولیه: کاربر به یک سایت جعلی کاملاً شبیه به بانک‌های معتبر هدایت می‌شود و اطلاعات ورود خود را وارد می‌کند.
۲. فریب به‌روزرسانی: سایت فیشینگ به کاربر می‌گوید اپلیکیشن بانکی شما نیاز به آپدیت دارد.
۳. سوءاستفاده از گیت‌هاب: لینک دانلود اپلیکیشن، یک لینک کوتاه‌شده (مثل TinyURL) است که در نهایت فایل مخرب APK را از یک مخزن عمومی در GitHub (که پشت یک پروژه جعلی مدرسه پنهان شده) دانلود می‌کند! هکرها از گیت‌هاب به عنوان بستر امن و رایگان برای میزبانی بدافزار استفاده می‌کنند.
🛡 تکنیک‌های ضد-تحلیل (آنتی‌آنالیز):
هکرها در کدهای اصلی تغییر زیادی نداده‌اند، اما تمرکز خود را روی فرار از دست تحلیل‌گران گذاشته‌اند:
تغییر مداوم برندها (Brand Rotation): ظاهر برنامه مدام تغییر می‌کند تا نام و لوگوی بانک‌های مختلف اروپایی را جعل کند.
خراب‌کاری در ساختار ZIP فایل بدافزار: هکرها مسیر فایل‌های داخلی APK را دستکاری کرده‌اند؛ این کار باعث می‌شود ابزارهای تحلیل خودکار امنیتی و آنتی‌ویروس‌ها هنگام استخراج فایل دچار خطا (Crash) شوند، هرچند تحلیل‌گران به صورت دستی همچنان می‌توانند آن را بررسی کنند.
💡 نکته امنیتی برای کاربران:
هرگز برنامه‌های بانکی خود را از لینک‌های ارسال شده در پیامک‌ها، سایت‌های ناشناس یا لینک‌های گیت‌هاب دانلود نکنید. همیشه برای نصب یا به‌روزرسانی برنامه‌های بانکی، مستقیماً به وب‌سایت رسمی خود بانک یا استورهای معتبر مراجعه کنید.
🔗 لینک مقاله کامل در D3Lab:
📎 https://www.d3lab.net/nfcshare-evolves-from-a-banking-phishing-apk-to-a-github-hosted-android-nfc-fraud-campaign/
🆔 @androidSec_fa
#امنیت_اندروید #بدافزار #فیشینگ #امنیت_سایبری #NFCShare #تروجان_بانکی #Malware #AndroidSecurity
D3Lab
NFCShare evolves: from a banking phishing APK to a GitHub-hosted Android NFC fraud campaign
A new NFCShare Android malware campaign distributed through an Intesa Sanpaolo-themed phishing flow, short URLs, and GitHub-hosted APKs. The recent samples keep the same NFC card-theft logic but introduce stronger anti-analysis packaging, brand rotation,…
👍4
🚨 فروش اینترنت خانه شما به هکرها توسط پروژکتور ۳۵ دلاری!
آیا تا به حال به این فکر کرده‌اید که چرا برخی از گجت‌های هوشمند در سایت‌هایی مثل AliExpress یا Temu تا این حد ارزان هستند؟ پاسخ در یک مدل کسب‌وکار بسیار کثیف پنهان شده است: شما مشتری نیستید، بلکه خودتان محصول هستید!
یک تحلیلگر امنیتی به نام "زین سنت جان" پس از خرید یک پروژکتور ارزان‌قیمت ۳۵ دلاری (Magcubic HY300 Pro+)، آن را به شبکه محلی خود متصل کرد و در کمال تعجب دید که دستگاه بدون باز کردن هیچ برنامه‌ای، شروع به ارسال ترافیک سنگین به دامنه‌های مشکوک می‌کند.
او با استفاده از ابزار هوش مصنوعی Claude Code اقدام به مهندسی معکوس این گجت کرد و به حقایق تکان‌دهنده‌ای دست یافت:
🔹 بدافزار از پیش نصب‌شده کارخانه‌ای (Manufacturer Malware):
این بدافزار در لایه سیستم (System-level) با دسترسی‌های ریشه (Root) و با نام‌های فریبنده‌ای مثل کامپوننت‌های HTC (مانند com.htc.eventuploadservice) تزریق شده است. جالب اینجاست که بدافزار در اولین بوت، سیستم حفاظتی گوگل (Play Protect) را کاملاً غیرفعال می‌کند!
🔹 معماری مخرب چند مرحله‌ای (Multi-stage RAT):
برنامه اصلی به عنوان یک تروجان دسترسی از راه دور (RAT) عمل کرده، ابتدا اطلاعات دستگاه و موقعیت مکانی دقیق کاربر را به سرور فرماندهی (C2) ارسال می‌کند و سپس قادر است هر نوع کد مخربی را بدون متوجه شدن کاربر دانلود و اجرا کند.
🔹 تبدیل خانه شما به پراکسی تجاری!
کشف اصلی این بود که بدافزار اطلاعات شبکه کاربر را به یک شرکت چینی به نام Kookeey می‌فروشد. این شرکت ارائه‌دهنده «پراکسی‌های مسکونی» است!
یعنی پروژکتور شما بدون اجازه، اینترنت خانگی‌تان را به کاربران ناشناس در سراسر دنیا اجاره می‌دهد تا ترافیک خود را از آی‌پي شما عبور دهند (که می‌تواند عواقب قانونی سنگینی برای شما داشته باشد).
🔹 مقاوم در برابر بازگشت به تنظیمات کارخانه:
بدافزار در سطح کدهای اصلی لینوکس دستگاه (Kernel) کامپایل شده است؛ بنابراین حتی با فاکتوری ریست (Factory Reset) نیز پاک نخواهد شد!
💡 این گزارش نشان می‌دهد که چگونه میلیون‌ها دستگاه ارزان‌قیمت چینی (اندروید باکس‌ها، دوربین‌های امنیتی فیک، گجت‌های خودرو) به طور پنهانی در حال سوءاستفاده از اینترنت کاربران هستند.
📝 مطالعه متن کامل تحلیل فنی و ابزارهای شناسایی در لینک زیر:
🔗 https://zanestjohn.com/blog/reing-with-claude-code
📢 به کانال ما بپیوندید:
🆔 @androidSec_fa
#Android #Malware #ReverseEngineering #CyberSecurity #IoT #ClaudeCode #AndroidSecurity
آیا تا به حال به این فکر کرده‌اید که چرا برخی از گجت‌های هوشمند در سایت‌هایی مثل AliExpress یا Temu تا این حد ارزان هستند؟ پاسخ در یک مدل کسب‌وکار بسیار کثیف پنهان شده است: شما مشتری نیستید، بلکه خودتان محصول هستید!
یک تحلیلگر امنیتی به نام "زین سنت جان" پس از خرید یک پروژکتور ارزان‌قیمت ۳۵ دلاری (Magcubic HY300 Pro+)، آن را به شبکه محلی خود متصل کرد و در کمال تعجب دید که دستگاه بدون باز کردن هیچ برنامه‌ای، شروع به ارسال ترافیک سنگین به دامنه‌های مشکوک می‌کند.
او با استفاده از ابزار هوش مصنوعی Claude Code اقدام به مهندسی معکوس این گجت کرد و به حقایق تکان‌دهنده‌ای دست یافت:
🔹 بدافزار از پیش نصب‌شده کارخانه‌ای (Manufacturer Malware):
این بدافزار در لایه سیستم (System-level) با دسترسی‌های ریشه (Root) و با نام‌های فریبنده‌ای مثل کامپوننت‌های HTC (مانند com.htc.eventuploadservice) تزریق شده است. جالب اینجاست که بدافزار در اولین بوت، سیستم حفاظتی گوگل (Play Protect) را کاملاً غیرفعال می‌کند!
🔹 معماری مخرب چند مرحله‌ای (Multi-stage RAT):
برنامه اصلی به عنوان یک تروجان دسترسی از راه دور (RAT) عمل کرده، ابتدا اطلاعات دستگاه و موقعیت مکانی دقیق کاربر را به سرور فرماندهی (C2) ارسال می‌کند و سپس قادر است هر نوع کد مخربی را بدون متوجه شدن کاربر دانلود و اجرا کند.
🔹 تبدیل خانه شما به پراکسی تجاری!
کشف اصلی این بود که بدافزار اطلاعات شبکه کاربر را به یک شرکت چینی به نام Kookeey می‌فروشد. این شرکت ارائه‌دهنده «پراکسی‌های مسکونی» است!
یعنی پروژکتور شما بدون اجازه، اینترنت خانگی‌تان را به کاربران ناشناس در سراسر دنیا اجاره می‌دهد تا ترافیک خود را از آی‌پي شما عبور دهند (که می‌تواند عواقب قانونی سنگینی برای شما داشته باشد).
🔹 مقاوم در برابر بازگشت به تنظیمات کارخانه:
بدافزار در سطح کدهای اصلی لینوکس دستگاه (Kernel) کامپایل شده است؛ بنابراین حتی با فاکتوری ریست (Factory Reset) نیز پاک نخواهد شد!
💡 این گزارش نشان می‌دهد که چگونه میلیون‌ها دستگاه ارزان‌قیمت چینی (اندروید باکس‌ها، دوربین‌های امنیتی فیک، گجت‌های خودرو) به طور پنهانی در حال سوءاستفاده از اینترنت کاربران هستند.
📝 مطالعه متن کامل تحلیل فنی و ابزارهای شناسایی در لینک زیر:
🔗 https://zanestjohn.com/blog/reing-with-claude-code
📢 به کانال ما بپیوندید:
🆔 @androidSec_fa
#Android #Malware #ReverseEngineering #CyberSecurity #IoT #ClaudeCode #AndroidSecurity
Zanestjohn
Reverse engineering Android malware with Claude Code - Zane St. John
I pointed an autonomous coding agent at a $35 projector. It found a big RAT.
👍4
🚨 تحول خطرناک در دنیای هک: هوش مصنوعی انحصار بدافزارهای بانکی را شکست!
پیش از این در سال‌های ۲۰۲۴ و ۲۰۲۵، توسعه بدافزارهای پیشرفته‌ای که می‌توانستند سیگنال‌های کارت‌های بانکی بدون تماس (NFC) را سرقت کنند، به طور کامل در انحصار گروه‌های سایبری بزرگ چینی‌زبان (MaaS) بود. اما گزارش جدید شرکت امنیتی Cleafy نشان می‌دهد که در سال ۲۰۲۶ این انحصار به طور کامل شکسته شده است!
حالا به لطف هوش مصنوعی مولد (Generative AI) و کدهای منبع‌باز، هکرهای مستقل و محلی در اروپا و آمریکای لاتین در حال ساخت کیت‌های بدافزاری اختصاصی خود هستند.
🔍 معرفی دو بدافزار مخرب جدید:
DevilNFC و NFCMultiPay
تیم هوش تهدیدات Cleafy موفق به کشف دو خانواده بدافزار اندرویدی جدید شده که به طور ویژه برای سرقت اطلاعات کارت‌های بانکی طراحی شده‌اند:
1️⃣ بدافزار DevilNFC (اسپانیایی): بسیار پیشرفته و پیچیده است. این برنامه یک فایل APK واحد است که بسته به اینکه روی گوشی قربانی یا هکر نصب شود، رفتار متفاوتی نشان می‌دهد. این بدافزار روی گوشی هکر با ابزارهای سیستمی و Hooking، خود را به عنوان یک کارت‌خوان شبیه‌سازی می‌کند تا تراکنش‌های مالی مخفیانه انجام دهد.
2️⃣ بدافزار NFCMultiPay (برزیلی/پرتغالی): رویکرد ساده‌تری دارد و کاملاً با زبان جاوا نوشته شده است. این برنامه برای اجرا نیازی به روت بودن گوشی قربانی ندارد و اطلاعات را از طریق سرورهای ابری بین قربانی و هکر جابه‌جا می‌کند.
💳 سناریوی حمله؛ هکرها چگونه پول شما را سرقت می‌کنند؟
🔹 گام اول: فیشینگ و فریب
قربانی پیامکی در واتس‌اپ یا SMS دریافت می‌کند که او را به یک صفحه جعلی (شبیه به گوگل پلی) هدایت می‌کند تا به بهانه «به‌روزرسانی امنیتی یا بانکی»، برنامه مخرب را دانلود کند.
🔹 گام دوم: قفل کردن گوشی (Kiosk Mode)
بدافزار DevilNFC پس از اجرا، گوشی قربانی را قفل می‌کند و دکمه‌های بازگشت و ناوبری را از کار می‌اندازد تا کاربر نتواند از برنامه جعلی خارج شود.
🔹 گام سوم: سرقت رمز کارت (PIN)
برنامه از کاربر می‌خواهد کارت بانکی خود را به پشت گوشی نزدیک کند. سپس با نشان دادن یک پیام خطای ساختگی، از او می‌خواهد رمز ۴ رقمی کارت (PIN) خود را وارد کند.
🔹 گام چهارم: انتقال آنی سیگنال به هکر
در همان لحظه که کارت به گوشی قربانی چسبیده، سیگنال NFC کارت همراه با رمز ورود، از طریق اینترنت برای هکری که ممکن است فرسنگ‌ها دورتر جلوی یک عابر بانک یا دستگاه کارت‌خوان (POS) ایستاده باشد ارسال می‌شود و هکر به راحتی پول برداشت می‌کند!
🔹 گام پنجم: سرقت پیامک‌های رمز پویا
این برنامه‌ها به طور هم‌زمان پیامک‌های حاوی رمز پویا (OTP) را نیز به سرور هکر یا چت تلگرام او می‌فرستند.
🤖 نقش هوش مصنوعی در این موج جدید چیست؟
بررسی کدهای این دو بدافزار نشان‌دهنده الگوهای واضحی از به‌کارگیری مدل‌های زبانی بزرگ (LLM) است. وجود مدل‌های هوش مصنوعی متن‌باز و بدون فیلترهای امنیتی به هکرهای تازه‌کار این امکان را داده که بدون نیاز به تخصص عمیق در برنامه‌نویسی اندروید، بخش‌های مختلف کد، سیستم‌های ثبت گزارش (همراه با ایموجی‌ها) و صفحات فیشینگ را با سرعت و دقت بسیار بالا تولید کنند. این یعنی سد فنی ورود به دنیای هک به شدت پایین آمده است.
🌐 برای مطالعه جزئیات فنی و شاخص‌های آلودگی (IoCs) می‌توانید مقاله اصلی را مطالعه کنید:
🔗 https://www.cleafy.com/cleafy-labs/nfc-relay-goes-local-how-ai-is-accelerating-a-new-wave-of-independent-malware-developers
📢 به کانال ما بپیوندید تا از آخرین تهدیدات امنیتی اندروید باخبر شوید:
🆔 @androidSec_fa
#امنیت_اندروید #تست_نفوذ #بدافزار #هوش_مصنوعی #فیشینگ #امنیت_بانکی #NFC
پیش از این در سال‌های ۲۰۲۴ و ۲۰۲۵، توسعه بدافزارهای پیشرفته‌ای که می‌توانستند سیگنال‌های کارت‌های بانکی بدون تماس (NFC) را سرقت کنند، به طور کامل در انحصار گروه‌های سایبری بزرگ چینی‌زبان (MaaS) بود. اما گزارش جدید شرکت امنیتی Cleafy نشان می‌دهد که در سال ۲۰۲۶ این انحصار به طور کامل شکسته شده است!
حالا به لطف هوش مصنوعی مولد (Generative AI) و کدهای منبع‌باز، هکرهای مستقل و محلی در اروپا و آمریکای لاتین در حال ساخت کیت‌های بدافزاری اختصاصی خود هستند.
🔍 معرفی دو بدافزار مخرب جدید:
DevilNFC و NFCMultiPay
تیم هوش تهدیدات Cleafy موفق به کشف دو خانواده بدافزار اندرویدی جدید شده که به طور ویژه برای سرقت اطلاعات کارت‌های بانکی طراحی شده‌اند:
1️⃣ بدافزار DevilNFC (اسپانیایی): بسیار پیشرفته و پیچیده است. این برنامه یک فایل APK واحد است که بسته به اینکه روی گوشی قربانی یا هکر نصب شود، رفتار متفاوتی نشان می‌دهد. این بدافزار روی گوشی هکر با ابزارهای سیستمی و Hooking، خود را به عنوان یک کارت‌خوان شبیه‌سازی می‌کند تا تراکنش‌های مالی مخفیانه انجام دهد.
2️⃣ بدافزار NFCMultiPay (برزیلی/پرتغالی): رویکرد ساده‌تری دارد و کاملاً با زبان جاوا نوشته شده است. این برنامه برای اجرا نیازی به روت بودن گوشی قربانی ندارد و اطلاعات را از طریق سرورهای ابری بین قربانی و هکر جابه‌جا می‌کند.
💳 سناریوی حمله؛ هکرها چگونه پول شما را سرقت می‌کنند؟
🔹 گام اول: فیشینگ و فریب
قربانی پیامکی در واتس‌اپ یا SMS دریافت می‌کند که او را به یک صفحه جعلی (شبیه به گوگل پلی) هدایت می‌کند تا به بهانه «به‌روزرسانی امنیتی یا بانکی»، برنامه مخرب را دانلود کند.
🔹 گام دوم: قفل کردن گوشی (Kiosk Mode)
بدافزار DevilNFC پس از اجرا، گوشی قربانی را قفل می‌کند و دکمه‌های بازگشت و ناوبری را از کار می‌اندازد تا کاربر نتواند از برنامه جعلی خارج شود.
🔹 گام سوم: سرقت رمز کارت (PIN)
برنامه از کاربر می‌خواهد کارت بانکی خود را به پشت گوشی نزدیک کند. سپس با نشان دادن یک پیام خطای ساختگی، از او می‌خواهد رمز ۴ رقمی کارت (PIN) خود را وارد کند.
🔹 گام چهارم: انتقال آنی سیگنال به هکر
در همان لحظه که کارت به گوشی قربانی چسبیده، سیگنال NFC کارت همراه با رمز ورود، از طریق اینترنت برای هکری که ممکن است فرسنگ‌ها دورتر جلوی یک عابر بانک یا دستگاه کارت‌خوان (POS) ایستاده باشد ارسال می‌شود و هکر به راحتی پول برداشت می‌کند!
🔹 گام پنجم: سرقت پیامک‌های رمز پویا
این برنامه‌ها به طور هم‌زمان پیامک‌های حاوی رمز پویا (OTP) را نیز به سرور هکر یا چت تلگرام او می‌فرستند.
🤖 نقش هوش مصنوعی در این موج جدید چیست؟
بررسی کدهای این دو بدافزار نشان‌دهنده الگوهای واضحی از به‌کارگیری مدل‌های زبانی بزرگ (LLM) است. وجود مدل‌های هوش مصنوعی متن‌باز و بدون فیلترهای امنیتی به هکرهای تازه‌کار این امکان را داده که بدون نیاز به تخصص عمیق در برنامه‌نویسی اندروید، بخش‌های مختلف کد، سیستم‌های ثبت گزارش (همراه با ایموجی‌ها) و صفحات فیشینگ را با سرعت و دقت بسیار بالا تولید کنند. این یعنی سد فنی ورود به دنیای هک به شدت پایین آمده است.
🌐 برای مطالعه جزئیات فنی و شاخص‌های آلودگی (IoCs) می‌توانید مقاله اصلی را مطالعه کنید:
🔗 https://www.cleafy.com/cleafy-labs/nfc-relay-goes-local-how-ai-is-accelerating-a-new-wave-of-independent-malware-developers
📢 به کانال ما بپیوندید تا از آخرین تهدیدات امنیتی اندروید باخبر شوید:
🆔 @androidSec_fa
#امنیت_اندروید #تست_نفوذ #بدافزار #هوش_مصنوعی #فیشینگ #امنیت_بانکی #NFC
Cleafy
NFC Relay Goes Local: How AI Is Accelerating a New Wave of Independent Malware Developers | Cleafy
Cleafy's TIR team identified and analyzed two previously undocumented Android NFC relay malware families, DevilNFC and NFCMultiPay, actively targeting European and LATAM banking customers.
👍5
🚨 کشف باگ امنیتی جدید در اندروید ۱۶: دور زدن کامل VPN و لو رفتن IP واقعی کاربر!
تیم امنیتی اندروید به تازگی گزارشی دریافت کرده که نشان می‌دهد یک نقص طراحی در Android 16، به برنامه‌های مخرب اجازه می‌دهد حتی با وجود فعال بودن سخت‌گیرانه‌ترین تنظیمات امنیتی، ترافیک شبکه‌ای را خارج از تونل VPN ارسال کنند!
در ادامه این تکنیک که به نام "The Tiny UDP Cannon" معرفی شده را به زبان ساده و فنی بررسی می‌کنیم:
🔍 ریشه مشکل چیست؟
در اندروید ۱۶ قابلیت جدیدی برای پروتکل QUIC اضافه شده تا زمانی که یک برنامه بسته می‌شود، سیستم به طور خودکار یک بسته خداحافظی (CONNECTION_CLOSE) برای سرور بفرستد تا اتصال معلق نماند. اما توسعه‌دهندگان اندروید چند اشتباه بزرگ در پیاده‌سازی این ویژگی انجام داده‌اند:
۱. برای استفاده از این قابلیت، هیچ دسترسی یا مجوز خاصی (Permission) بررسی نمی‌شود.
۲. سیستم بایت‌های تحویلی برنامه را تایید اصالت نمی‌کند؛ یعنی برنامه می‌تواند هر داده دلخواهی را به عنوان بسته QUIC جا بزند.
۳. سیستم بررسی نمی‌کند که آیا برنامه فرستنده تحت محدودیت و قفلِ VPN قرار دارد یا خیر.
🛠️ مکانیزم دور زدن VPN
یک برنامه معمولی که در وضعیت «قرنطینه وی‌پی‌ان» قرار دارد، نمی‌تواند مستقیماً به شبکه واقعی دستگاه (مثلاً وای‌فای) متصل شود و خطای EPERM دریافت می‌کند. اما این آسیب‌پذیری با یک ترفند زیرکانه فایروال اندروید را دور می‌زند:
۱. فریب در سطح هسته: برنامه ابتدا با استفاده از دستور سیستمی bind() در سطح هسته لینوکس، سوکت خود را مستقیماً به IP وای‌فای دستگاه متصل می‌کند. هسته لینوکس این کار را مجاز می‌داند و سیاست‌های کاربردی VPN اندروید را در این مرحله چک نمی‌کند.
۲. سپردن مأموریت به سیستم: برنامه بایت‌های مورد نظر خود را به همراه آدرس سرور مقصد (سرور مهاجم) به سرویس سیستمی اندروید (system_server) تحویل می‌دهد و سپس فوراً بسته می‌شود.
۳. شلیک از پشت خطوط دفاعی: از آنجایی که سرویس system_server با دسترسی‌های بالای سیستمی اجرا می‌شود، به طور کامل از قوانین فیلترینگ و مسیریابی VPN معاف است. این سرویس سیستمی، داده‌ها را مستقیماً از طریق اینترنت واقعی وای‌فای به سمت مقصد شلیک می‌کند! در نتیجه، فیلتر لایه کاربردی VPN دور زده شده و سرور مقصد، IP واقعی و عمومی شما را مشاهده می‌کند.
🤷♂️ پاسخ ناامیدکننده گوگل
نویسنده مقاله این آسیب‌پذیری را به همراه کد مخرب نمونه (PoC) به گوگل گزارش داد. با این حال، تیم امنیتی اندروید این گزارش را با وضعیت "Won't Fix" (برطرف نخواهد شد) بست و اعلام کرد که این مورد در مدل تهدیدات امنیتی آن‌ها جایی ندارد و برای آن اصلاحیه رسمی منتشر نخواهد شد! به همین دلیل، این باگ به صورت عمومی افشا شده است.
🛡️ روش موقت پیشگیری (Mitigation)
اگر از کاربران اندروید ۱۶ هستید و به شدت به امنیت و عدم نشت IP خود وابسته هستید، می‌توانید از طریق ابزار ADB این ویژگی را به طور کامل غیرفعال کنید:
با اجرای این دستور و ری‌بوت کردن گوشی، قابلیت ارسال بسته پویای QUIC متوقف شده و این روزنه عبور ترافیک کاملاً مسدود می‌شود.
🌐 لینک مقاله اصلی جهت مطالعه جزئیات بیشتر و کدهای جاوا:
🔗 https://lowlevel.fun/posts/tiny-udp-cannon-android-vpn-bypass/
🆔 @androidSec_fa
#Android #Security #Vulnerability #VPN_Bypass #Android16 #CyberSecurity
تیم امنیتی اندروید به تازگی گزارشی دریافت کرده که نشان می‌دهد یک نقص طراحی در Android 16، به برنامه‌های مخرب اجازه می‌دهد حتی با وجود فعال بودن سخت‌گیرانه‌ترین تنظیمات امنیتی، ترافیک شبکه‌ای را خارج از تونل VPN ارسال کنند!
در ادامه این تکنیک که به نام "The Tiny UDP Cannon" معرفی شده را به زبان ساده و فنی بررسی می‌کنیم:
🔍 ریشه مشکل چیست؟
در اندروید ۱۶ قابلیت جدیدی برای پروتکل QUIC اضافه شده تا زمانی که یک برنامه بسته می‌شود، سیستم به طور خودکار یک بسته خداحافظی (CONNECTION_CLOSE) برای سرور بفرستد تا اتصال معلق نماند. اما توسعه‌دهندگان اندروید چند اشتباه بزرگ در پیاده‌سازی این ویژگی انجام داده‌اند:
۱. برای استفاده از این قابلیت، هیچ دسترسی یا مجوز خاصی (Permission) بررسی نمی‌شود.
۲. سیستم بایت‌های تحویلی برنامه را تایید اصالت نمی‌کند؛ یعنی برنامه می‌تواند هر داده دلخواهی را به عنوان بسته QUIC جا بزند.
۳. سیستم بررسی نمی‌کند که آیا برنامه فرستنده تحت محدودیت و قفلِ VPN قرار دارد یا خیر.
🛠️ مکانیزم دور زدن VPN
یک برنامه معمولی که در وضعیت «قرنطینه وی‌پی‌ان» قرار دارد، نمی‌تواند مستقیماً به شبکه واقعی دستگاه (مثلاً وای‌فای) متصل شود و خطای EPERM دریافت می‌کند. اما این آسیب‌پذیری با یک ترفند زیرکانه فایروال اندروید را دور می‌زند:
۱. فریب در سطح هسته: برنامه ابتدا با استفاده از دستور سیستمی bind() در سطح هسته لینوکس، سوکت خود را مستقیماً به IP وای‌فای دستگاه متصل می‌کند. هسته لینوکس این کار را مجاز می‌داند و سیاست‌های کاربردی VPN اندروید را در این مرحله چک نمی‌کند.
۲. سپردن مأموریت به سیستم: برنامه بایت‌های مورد نظر خود را به همراه آدرس سرور مقصد (سرور مهاجم) به سرویس سیستمی اندروید (system_server) تحویل می‌دهد و سپس فوراً بسته می‌شود.
۳. شلیک از پشت خطوط دفاعی: از آنجایی که سرویس system_server با دسترسی‌های بالای سیستمی اجرا می‌شود، به طور کامل از قوانین فیلترینگ و مسیریابی VPN معاف است. این سرویس سیستمی، داده‌ها را مستقیماً از طریق اینترنت واقعی وای‌فای به سمت مقصد شلیک می‌کند! در نتیجه، فیلتر لایه کاربردی VPN دور زده شده و سرور مقصد، IP واقعی و عمومی شما را مشاهده می‌کند.
🤷♂️ پاسخ ناامیدکننده گوگل
نویسنده مقاله این آسیب‌پذیری را به همراه کد مخرب نمونه (PoC) به گوگل گزارش داد. با این حال، تیم امنیتی اندروید این گزارش را با وضعیت "Won't Fix" (برطرف نخواهد شد) بست و اعلام کرد که این مورد در مدل تهدیدات امنیتی آن‌ها جایی ندارد و برای آن اصلاحیه رسمی منتشر نخواهد شد! به همین دلیل، این باگ به صورت عمومی افشا شده است.
🛡️ روش موقت پیشگیری (Mitigation)
اگر از کاربران اندروید ۱۶ هستید و به شدت به امنیت و عدم نشت IP خود وابسته هستید، می‌توانید از طریق ابزار ADB این ویژگی را به طور کامل غیرفعال کنید:
adb shell device_config put tethering close_quic_connection -1
adb reboot
با اجرای این دستور و ری‌بوت کردن گوشی، قابلیت ارسال بسته پویای QUIC متوقف شده و این روزنه عبور ترافیک کاملاً مسدود می‌شود.
🌐 لینک مقاله اصلی جهت مطالعه جزئیات بیشتر و کدهای جاوا:
🔗 https://lowlevel.fun/posts/tiny-udp-cannon-android-vpn-bypass/
🆔 @androidSec_fa
#Android #Security #Vulnerability #VPN_Bypass #Android16 #CyberSecurity
lowlevel.fun
The Tiny UDP Cannon: An Android VPN Bypass
An unprivileged Android app can leak the user's real IP past Always-On VPN + lockdown by handing system_server a UDP payload to fire on its behalf.
👍6
🛡️ابزار کاربردی برای تست نفوذ اپلیکیشن‌های اندرویدی!
ابزار APKShield-PT ابزاری خودکار برای دیکامپایل کردن فایل‌های APK و شناسایی مکانیزم‌های امنیتی مثل SSL Pinning و Root Detection است که اسکریپت‌های لازم برای دور زدن آن‌ها را نیز در اختیارتان قرار می‌دهد.
لینک ریپازیتوری:
https://github.com/Whitehat987/apkshield-pt
@androidSec_fa
#AndroidSecurity #Pentest #Frida #CyberSecurity
ابزار APKShield-PT ابزاری خودکار برای دیکامپایل کردن فایل‌های APK و شناسایی مکانیزم‌های امنیتی مثل SSL Pinning و Root Detection است که اسکریپت‌های لازم برای دور زدن آن‌ها را نیز در اختیارتان قرار می‌دهد.
لینک ریپازیتوری:
https://github.com/Whitehat987/apkshield-pt
@androidSec_fa
#AndroidSecurity #Pentest #Frida #CyberSecurity
GitHub
GitHub - Whitehat987/apkshield-pt: Android Penetration Testing Tool — Auto Root Detection & SSL Pinning Bypass with Frida Script…
Android Penetration Testing Tool — Auto Root Detection & SSL Pinning Bypass with Frida Script Generation - Whitehat987/apkshield-pt
👍4
🔥 تست نفوذ پوزهای اندرویدی؛ وقتی پروتکل بانکی زیر ذره‌بین می‌رود!
سلام رفقا! امروز می‌خوام خلاصه یک گزارش تست نفوذ (Penetration Testing) فوق‌العاده عمیق و کاربردی رو براتون بگم که روی سیستم‌های پرداخت و کارتخوان‌های جدید اندرویدی انجام شده.
خیلی از تسترها وقتی امنیت یک دستگاه پوز (POS) رو بررسی می‌کنن، فقط سراغ باگ‌های وب، APIها یا کدهای جاوای خود اپلیکیشن میرن. اما این تستر رفته سراغ هسته اصلی و تاریک ماجرا: پروتکل ارتباطی ISO 8583؛ یعنی همون زبون استاندارد و فریم‌های هگزادسیمالی که دستگاه پوز باهاش مستقیماً از طریق سوکت شبکه با سرور بانک یا پردازشگر پرداخت حرف میزنه.
🛠 تستر چطور راهش رو به سیستم باز کرد؟
این پروژه یک ارزیابی امنیتی قانونی بوده. شرکت سازنده، فایل APK اپلیکیشن پوز رو در اختیار تستر قرار میده. این برنامه در مرحله پیش-تولید بود و به جای بانک واقعی، به یک شبیه‌ساز (Mock Server) وصل می‌شد که روی اینترنت عمومی فعال بود و دقیقاً مثل سرور بانک رفتار می‌کرد.
تستر با مهندسی معکوس کدهای اپلیکیشن، متوجه یک فلگ پنهان به نام debugMode=false میشه. اون این فلگ رو به true تغییر میده و برنامه رو دوباره باندل می‌کنه. با این کار، یک اتفاق جذاب میفته: دستگاه پوز تمام پیام‌های تراکنش (خرید، ابطال و...) رو که به زبان هگزادسیمال تولید می‌کرد، توی لاگ‌های سیستم چاپ می‌کنه!
حالا تستر کدهای هگزادسیمال تراکنش‌ها رو کپی می‌کنه و با زبان پایتون یک اسکریپت می‌نویسه. این اسکریپت کارش این بود که خودش رو جای دستگاه پوز جا بزنه، مستقیم به آی‌پي و پورت اون شبیه‌ساز وصل بشه و پیام‌های دستکاری‌شده بفرسته تا ببینه سرور چقدر امنیت داره...
👇 توی پست بعدی، باگ‌های عجیبی که توی لایه سوکت پیدا شد رو بررسی می‌کنیم!
🆔 @androidSec_fa
#امنیت #تست_نفوذ #امنیت_اندروید #تست_پوز #پروتکل_ISO8583 #هک_و_امنیت
سلام رفقا! امروز می‌خوام خلاصه یک گزارش تست نفوذ (Penetration Testing) فوق‌العاده عمیق و کاربردی رو براتون بگم که روی سیستم‌های پرداخت و کارتخوان‌های جدید اندرویدی انجام شده.
خیلی از تسترها وقتی امنیت یک دستگاه پوز (POS) رو بررسی می‌کنن، فقط سراغ باگ‌های وب، APIها یا کدهای جاوای خود اپلیکیشن میرن. اما این تستر رفته سراغ هسته اصلی و تاریک ماجرا: پروتکل ارتباطی ISO 8583؛ یعنی همون زبون استاندارد و فریم‌های هگزادسیمالی که دستگاه پوز باهاش مستقیماً از طریق سوکت شبکه با سرور بانک یا پردازشگر پرداخت حرف میزنه.
🛠 تستر چطور راهش رو به سیستم باز کرد؟
این پروژه یک ارزیابی امنیتی قانونی بوده. شرکت سازنده، فایل APK اپلیکیشن پوز رو در اختیار تستر قرار میده. این برنامه در مرحله پیش-تولید بود و به جای بانک واقعی، به یک شبیه‌ساز (Mock Server) وصل می‌شد که روی اینترنت عمومی فعال بود و دقیقاً مثل سرور بانک رفتار می‌کرد.
تستر با مهندسی معکوس کدهای اپلیکیشن، متوجه یک فلگ پنهان به نام debugMode=false میشه. اون این فلگ رو به true تغییر میده و برنامه رو دوباره باندل می‌کنه. با این کار، یک اتفاق جذاب میفته: دستگاه پوز تمام پیام‌های تراکنش (خرید، ابطال و...) رو که به زبان هگزادسیمال تولید می‌کرد، توی لاگ‌های سیستم چاپ می‌کنه!
حالا تستر کدهای هگزادسیمال تراکنش‌ها رو کپی می‌کنه و با زبان پایتون یک اسکریپت می‌نویسه. این اسکریپت کارش این بود که خودش رو جای دستگاه پوز جا بزنه، مستقیم به آی‌پي و پورت اون شبیه‌ساز وصل بشه و پیام‌های دستکاری‌شده بفرسته تا ببینه سرور چقدر امنیت داره...
👇 توی پست بعدی، باگ‌های عجیبی که توی لایه سوکت پیدا شد رو بررسی می‌کنیم!
🆔 @androidSec_fa
#امنیت #تست_نفوذ #امنیت_اندروید #تست_پوز #پروتکل_ISO8583 #هک_و_امنیت
👍3🔥1
اندروید | امنیت و هک
🔥 تست نفوذ پوزهای اندرویدی؛ وقتی پروتکل بانکی زیر ذره‌بین می‌رود! سلام رفقا! امروز می‌خوام خلاصه یک گزارش تست نفوذ (Penetration Testing) فوق‌العاده عمیق و کاربردی رو براتون بگم که روی سیستم‌های پرداخت و کارتخوان‌های جدید اندرویدی انجام شده. خیلی از تسترها…
🔥 شکار ۴ باگ بحرانی و منطقی در لایه سوکت پرداخت!
در ادامه پست قبل، تستر با اسکریپت پایتون خودش شروع کرد به فرستادن فریم‌های دستکاری‌شده ISO 8583 به سمت سرور شبیه‌ساز پرداخت. سرور پردازشگر برخلاف ظاهرش، توی بررسی منطق تراکنش‌ها (Business Logic) فاجعه بود و تستر تونست ۴ تا باگ بسیار خطرناک ازش دربیاره:
1️⃣ دور زدن پنجره زمانی و حمله تکرار (Replay Attack):
سرورها برای اینکه یک تراکنش به خاطر اختلال شبکه دوبار حساب نشه، تا چند ثانیه تراکنش تکراری رو رد می‌کنن. اما تستر فهمید اگه کمی صبر کنه تا اون زمان منقضی بشه و بعد دقیقاً همون کد هگز تراکنش قبلی رو بفرسته، سرور اون رو به عنوان یک خرید کاملاً جدید قبول می‌کنه! (یعنی امکان دبل‌شارژ کردن و دزدیدن پول از کارت مشتری).
2️⃣ آسیب‌پذیری IDOR بین فروشگاه‌ها (Cross-Merchant IDOR):
تستر با اکانت و سوکت «فروشگاه ب» به سرور وصل شد، اما در پیام هگزادسیمال، شماره مرجع تراکنش (RRN) متعلق به «فروشگاه الف» رو قرار داد. سرور اصلاً چک نکرد که این تراکنش مال کیه و درخواست ابطال (Void) یا برگشت وجه رو تایید کرد! یعنی یک فروشگاه راحت می‌تونست تراکنش‌های رقیبش رو باطل کنه.
3️⃣ تراکنش شبح (Ghost Transactions):
تستر بدون اینکه فریم احراز هویت (AUTH) رو به سوکت سرور بفرسته، مستقیم درخواست پرداخت فرستاد. سرور تاییدیه پرداخت رو صادر کرد (DE39 = 00)، اما عجیب اینجا بود که این تراکنش در هیچ‌کدوم از سیستم‌های حسابداری، مانیتورینگ و پنل مدیریت ثبت نشد! یعنی پول جابه‌جا می‌شد بدون اینکه ردی بمونه.
4️⃣ بای‌پاس تایید هویت کارت در زمان ابطال:
پوزهای اندرویدی موقع باطل کردن تراکنش، از کاربر می‌خوان که همون کارت قبلی رو بکشه تا دستگاه تطابق رو چک کنه. تستر با کپی کردن فریم ابطال و فرستادن مستقیم اون از طریق پایتون به سوکت شبکه، این لایه امنیتیِ توکن‌سازی کارت رو کاملاً دور زد و سرور بدون چک کردن اطلاعات کارت، ابطال رو انجام داد.
👇 پست سوم و آخر رو برای نتیجه‌گیری معماری این باگ‌ها دنبال کنید...
🆔 @androidSec_fa
#امنیت #تست_نفوذ #باگ_منطقی #امنیت_شبکه #سوکت_نویسی #تست_پوز
در ادامه پست قبل، تستر با اسکریپت پایتون خودش شروع کرد به فرستادن فریم‌های دستکاری‌شده ISO 8583 به سمت سرور شبیه‌ساز پرداخت. سرور پردازشگر برخلاف ظاهرش، توی بررسی منطق تراکنش‌ها (Business Logic) فاجعه بود و تستر تونست ۴ تا باگ بسیار خطرناک ازش دربیاره:
1️⃣ دور زدن پنجره زمانی و حمله تکرار (Replay Attack):
سرورها برای اینکه یک تراکنش به خاطر اختلال شبکه دوبار حساب نشه، تا چند ثانیه تراکنش تکراری رو رد می‌کنن. اما تستر فهمید اگه کمی صبر کنه تا اون زمان منقضی بشه و بعد دقیقاً همون کد هگز تراکنش قبلی رو بفرسته، سرور اون رو به عنوان یک خرید کاملاً جدید قبول می‌کنه! (یعنی امکان دبل‌شارژ کردن و دزدیدن پول از کارت مشتری).
2️⃣ آسیب‌پذیری IDOR بین فروشگاه‌ها (Cross-Merchant IDOR):
تستر با اکانت و سوکت «فروشگاه ب» به سرور وصل شد، اما در پیام هگزادسیمال، شماره مرجع تراکنش (RRN) متعلق به «فروشگاه الف» رو قرار داد. سرور اصلاً چک نکرد که این تراکنش مال کیه و درخواست ابطال (Void) یا برگشت وجه رو تایید کرد! یعنی یک فروشگاه راحت می‌تونست تراکنش‌های رقیبش رو باطل کنه.
3️⃣ تراکنش شبح (Ghost Transactions):
تستر بدون اینکه فریم احراز هویت (AUTH) رو به سوکت سرور بفرسته، مستقیم درخواست پرداخت فرستاد. سرور تاییدیه پرداخت رو صادر کرد (DE39 = 00)، اما عجیب اینجا بود که این تراکنش در هیچ‌کدوم از سیستم‌های حسابداری، مانیتورینگ و پنل مدیریت ثبت نشد! یعنی پول جابه‌جا می‌شد بدون اینکه ردی بمونه.
4️⃣ بای‌پاس تایید هویت کارت در زمان ابطال:
پوزهای اندرویدی موقع باطل کردن تراکنش، از کاربر می‌خوان که همون کارت قبلی رو بکشه تا دستگاه تطابق رو چک کنه. تستر با کپی کردن فریم ابطال و فرستادن مستقیم اون از طریق پایتون به سوکت شبکه، این لایه امنیتیِ توکن‌سازی کارت رو کاملاً دور زد و سرور بدون چک کردن اطلاعات کارت، ابطال رو انجام داد.
👇 پست سوم و آخر رو برای نتیجه‌گیری معماری این باگ‌ها دنبال کنید...
🆔 @androidSec_fa
#امنیت #تست_نفوذ #باگ_منطقی #امنیت_شبکه #سوکت_نویسی #تست_پوز
👍3🔥1
اندروید | امنیت و هک
🔥 شکار ۴ باگ بحرانی و منطقی در لایه سوکت پرداخت! در ادامه پست قبل، تستر با اسکریپت پایتون خودش شروع کرد به فرستادن فریم‌های دستکاری‌شده ISO 8583 به سمت سرور شبیه‌ساز پرداخت. سرور پردازشگر برخلاف ظاهرش، توی بررسی منطق تراکنش‌ها (Business Logic) فاجعه بود…
💡 نتیجه‌گیری معماری؛ چرا نباید به لایه‌های بعدی اعتماد کرد؟
شاید بعد از خوندن باگ‌های پست قبل بگید:
«خب این باگ‌ها روی سرور بانک واقعی کار نمی‌کنه چون بانک خودش دبل تراکنش یا موجودی رو چک می‌کنه». اما نویسنده مقاله یک استدلال فوق‌العاده درست و استاندارد رو مطرح می‌کنه:
تسوویه و منطق تراکنش‌ها وظیفه خودِ پردازشگر پرداخت (Payment Processor) هست که این وسط قرار گرفته. لایه‌هایی مثل بررسی هویت کارت در زمان ابطال، عدم دسترسی فروشگاه‌ها به تراکنش‌های همدیگه (IDOR) و ثبت لاگ‌ها تماماً باید در لایه همین سوکت مدیریت بشن و رها کردن این باگ‌ها به امید اینکه «بانک نهایی جلوش رو می‌گیره» یک خطای بزرگ در معماری امنیته.
🛠 چک‌لیست پیشنهادی برای تست پروتکل ISO 8583:
اگر رفقای تستر می‌خوان این لایه رو تست کنن، حتماً این موارد رو فازینگ (Fuzzing) کنن:
🔹 تغییر مقدار تراکنش به صفر یا اعداد منفی
🔹 تغییر کدهای ارز (تست جابه‌جایی ارزها)
🔹 دستکاری طول فیلدهای متغیر (LLVAR/LLLVAR) برای بررسی بافر سرور
🔹 به‌هم ریختن نقشه بیتی (Bitmap) فیلدها
خوشبختانه این باگ‌ها قبل از اینکه پوزها عملیاتی بشن و به بانک واقعی وصل بشن، در این پروژه تست نفوذ کشف و اصلاح شدن که اهمیت ارزیابی امنیتی رو قبل از ریلیز نشون میده.
🔗 مطالعه کامل و فنی مقاله در وبلاگ نویسنده:
👉 https://m4kr0.vercel.app/posts/iso-8583-under-fire-finding-vulnerabilities-in-a-payment-socket
🆔 @androidSec_fa
#امنیت #تست_نفوذ #معماری_امنیت #تست_پوز #پروتکل_ISO8583 #امنیت_اندروید
شاید بعد از خوندن باگ‌های پست قبل بگید:
«خب این باگ‌ها روی سرور بانک واقعی کار نمی‌کنه چون بانک خودش دبل تراکنش یا موجودی رو چک می‌کنه». اما نویسنده مقاله یک استدلال فوق‌العاده درست و استاندارد رو مطرح می‌کنه:
تسوویه و منطق تراکنش‌ها وظیفه خودِ پردازشگر پرداخت (Payment Processor) هست که این وسط قرار گرفته. لایه‌هایی مثل بررسی هویت کارت در زمان ابطال، عدم دسترسی فروشگاه‌ها به تراکنش‌های همدیگه (IDOR) و ثبت لاگ‌ها تماماً باید در لایه همین سوکت مدیریت بشن و رها کردن این باگ‌ها به امید اینکه «بانک نهایی جلوش رو می‌گیره» یک خطای بزرگ در معماری امنیته.
🛠 چک‌لیست پیشنهادی برای تست پروتکل ISO 8583:
اگر رفقای تستر می‌خوان این لایه رو تست کنن، حتماً این موارد رو فازینگ (Fuzzing) کنن:
🔹 تغییر مقدار تراکنش به صفر یا اعداد منفی
🔹 تغییر کدهای ارز (تست جابه‌جایی ارزها)
🔹 دستکاری طول فیلدهای متغیر (LLVAR/LLLVAR) برای بررسی بافر سرور
🔹 به‌هم ریختن نقشه بیتی (Bitmap) فیلدها
خوشبختانه این باگ‌ها قبل از اینکه پوزها عملیاتی بشن و به بانک واقعی وصل بشن، در این پروژه تست نفوذ کشف و اصلاح شدن که اهمیت ارزیابی امنیتی رو قبل از ریلیز نشون میده.
🔗 مطالعه کامل و فنی مقاله در وبلاگ نویسنده:
👉 https://m4kr0.vercel.app/posts/iso-8583-under-fire-finding-vulnerabilities-in-a-payment-socket
🆔 @androidSec_fa
#امنیت #تست_نفوذ #معماری_امنیت #تست_پوز #پروتکل_ISO8583 #امنیت_اندروید
M4KR0 Blog
ISO 8583 Under Fire: Finding Vulnerabilities in a Payment Socket - M4KR0 Blog
A hands-on walkthrough of security testing an ISO 8583 payment socket — from reversing the app and enabling hidden debug mode, to finding four critical vulnerabilities in the processor layer
👍4
بررسی آسیب‌پذیری جدید در شبیه‌ساز اندروید MEmu (افزایش سطح دسترسی)
📌 شناسه: CVE-2026-36213
💻 محصول تحت تأثیر: MEmu Android Emulator (نسخه 9.2.7.0 و احتمالاً نسخه‌های هم‌خانواده)
🎯 نوع آسیب‌پذیری: Local Privilege Escalation (LPE)
📂 مؤلفه آسیب‌پذیر: سرویس پس‌زمینه MemuService.exe
⚙️ شرح آسیب‌پذیری به زبان ساده:
سرویس MemuService.exe متعلق به شبیه‌ساز MEmu، با بالاترین سطح دسترسی در ویندوز (SYSTEM/Administrator) اجرا می‌شود. این آسیب‌پذیری به یک کاربر با دسترسی محدود یا یک بدافزارِ معمولیِ مستقر روی سیستم اجازه می‌دهد تا از نقص موجود در مدیریت دسترسی‌های این سرویس سوءاستفاده کند.
مهاجم با فریب دادن این سرویس، می‌تواند کدهای مخرب خود را با اختیارات بالا (Privilege Escalation) اجرا کرده و کنترل کامل سیستم‌عامل ویندوز را به دست بگیرد.
🛠 راهکار:
اگر از این شبیه‌ساز روی سیستم خود یا سازمان استفاده می‌کنید، سریعاً آن را به آخرین نسخه ارائه‌شده توسط توسعه‌دهنده به‌روزرسانی کنید تا فایل اجرایی مربوطه اصلاح شود.
🔗 لینک مخزن گیت‌هاب (PoC/Details):
https://github.com/sec-zone/CVE-2026-36213
🆔 @androidSec_fa
#CVE_2026_36213 #WindowsSecurity #AndroidEmulator #MEmu #PrivilegeEscalation #LPE #Vulnerability #Exploit
📌 شناسه: CVE-2026-36213
💻 محصول تحت تأثیر: MEmu Android Emulator (نسخه 9.2.7.0 و احتمالاً نسخه‌های هم‌خانواده)
🎯 نوع آسیب‌پذیری: Local Privilege Escalation (LPE)
📂 مؤلفه آسیب‌پذیر: سرویس پس‌زمینه MemuService.exe
⚙️ شرح آسیب‌پذیری به زبان ساده:
سرویس MemuService.exe متعلق به شبیه‌ساز MEmu، با بالاترین سطح دسترسی در ویندوز (SYSTEM/Administrator) اجرا می‌شود. این آسیب‌پذیری به یک کاربر با دسترسی محدود یا یک بدافزارِ معمولیِ مستقر روی سیستم اجازه می‌دهد تا از نقص موجود در مدیریت دسترسی‌های این سرویس سوءاستفاده کند.
مهاجم با فریب دادن این سرویس، می‌تواند کدهای مخرب خود را با اختیارات بالا (Privilege Escalation) اجرا کرده و کنترل کامل سیستم‌عامل ویندوز را به دست بگیرد.
🛠 راهکار:
اگر از این شبیه‌ساز روی سیستم خود یا سازمان استفاده می‌کنید، سریعاً آن را به آخرین نسخه ارائه‌شده توسط توسعه‌دهنده به‌روزرسانی کنید تا فایل اجرایی مربوطه اصلاح شود.
🔗 لینک مخزن گیت‌هاب (PoC/Details):
https://github.com/sec-zone/CVE-2026-36213
🆔 @androidSec_fa
#CVE_2026_36213 #WindowsSecurity #AndroidEmulator #MEmu #PrivilegeEscalation #LPE #Vulnerability #Exploit
GitHub
GitHub - sec-zone/CVE-2026-36213: CVE-2026-36213 | Local Privilege Escalation in MEmu Android Emulator 9.2.7.0 via Insecure Service…
CVE-2026-36213 | Local Privilege Escalation in MEmu Android Emulator 9.2.7.0 via Insecure Service Binary Permissions | Patched in 9.3.2 - sec-zone/CVE-2026-36213
👍3
🚨 شکارچیان خاموش؛ چطور چراغ هشدار عینک‌های هوشمند هک می‌شود؟
عینک‌های هوشمند جدید (مثل Ray-Ban Meta) دقیقاً شبیه عینک طبی یا آفتابی معمولی هستند و دوربین کوچک آن‌ها عملاً قابل تشخیص نیست.
🛠 دور زدن فیزیکی چراغ هشدار (LED)
سازندگان برای حفظ حریم خصوصی، یک LED روی فریم گذاشته‌اند که هنگام ضبط روشن می‌شود. اما این مانع به راحتی دور زده می‌شود:
▪️ کاورها و استیکرها: برچسب‌هایی در بازار هستند که روی LED را می‌پوشانند. این کاورها با داشتن یک روزنه ریز، نور کافی را به سنسور عینک می‌رسانند تا ضبط متوقف نشود، اما دیدن چراغ را غیرممکن می‌کنند.
▪️ جراحی سخت‌افزاری (Modding): هکرها با ابزارهای ظریف، LED را دستکاری یا مسدود کرده تا عینک در حالت صددرصد مخفی (Stealth) فیلم‌برداری کند!
در پست بعدی به این می‌پردازیم که چرا اپلیکیشن‌های موبایلی هم از شناسایی این عینک‌ها عاجز هستند.👇
ID: @androidSec_fa
#Cybersecurity #Privacy #HardwareHacking #SmartGlasses
عینک‌های هوشمند جدید (مثل Ray-Ban Meta) دقیقاً شبیه عینک طبی یا آفتابی معمولی هستند و دوربین کوچک آن‌ها عملاً قابل تشخیص نیست.
🛠 دور زدن فیزیکی چراغ هشدار (LED)
سازندگان برای حفظ حریم خصوصی، یک LED روی فریم گذاشته‌اند که هنگام ضبط روشن می‌شود. اما این مانع به راحتی دور زده می‌شود:
▪️ کاورها و استیکرها: برچسب‌هایی در بازار هستند که روی LED را می‌پوشانند. این کاورها با داشتن یک روزنه ریز، نور کافی را به سنسور عینک می‌رسانند تا ضبط متوقف نشود، اما دیدن چراغ را غیرممکن می‌کنند.
▪️ جراحی سخت‌افزاری (Modding): هکرها با ابزارهای ظریف، LED را دستکاری یا مسدود کرده تا عینک در حالت صددرصد مخفی (Stealth) فیلم‌برداری کند!
در پست بعدی به این می‌پردازیم که چرا اپلیکیشن‌های موبایلی هم از شناسایی این عینک‌ها عاجز هستند.👇
ID: @androidSec_fa
#Cybersecurity #Privacy #HardwareHacking #SmartGlasses
👍3
اندروید | امنیت و هک
🚨 شکارچیان خاموش؛ چطور چراغ هشدار عینک‌های هوشمند هک می‌شود؟ عینک‌های هوشمند جدید (مثل Ray-Ban Meta) دقیقاً شبیه عینک طبی یا آفتابی معمولی هستند و دوربین کوچک آن‌ها عملاً قابل تشخیص نیست. 🛠 دور زدن فیزیکی چراغ هشدار (LED) سازندگان برای حفظ حریم خصوصی، یک…
📡 پشت پرده فنی؛ چرا اپ‌های اندرویدی در ردیابی عینک‌های هوشمند شکست می‌خورند؟
پس از موج نگرانی‌ها بابت جاسوسی با عینک‌های هوشمند، متخصصان امنیت اندروید تلاش کردند با استفاده از BLE Scanner API، اپلیکیشن‌هایی بسازند که سیگنال‌های بلوتوث (BLE) این دستگاه‌ها را اسکن کرده و در صورت وجود عینک در نزدیکی کاربر، هشدار دهند.
اما تحلیل‌های فنی نشان می‌دهند این اپ‌ها عملاً یک «حس امنیت کاذب» ایجاد می‌کنند و به دو دلیل شکست می‌خورند:
۱. پنهان شدن پس از اتصال (The Stealth Mode):
عینک‌های هوشمند فقط در زمانی که منتظر جفت‌شدن (Pairing) با یک گوشی جدید هستند، سیگنال‌های بیرونی و آشکار BLE می‌فرستند. به محض اینکه عینک به اندرویدِ مالک خود متصل شد، استک بلوتوث آن تغییر رفتار داده و در اسکن‌های رادیویی دستگاه‌های اطراف کاملاً نامرئی می‌شود.
۲. حملات سیگنالی و اسپم (BLE Spoofing):
مهاجمان به راحتی می‌توانند با ابزارهایی مثل Flipper Zero یا بردهای نظیر ESP32، سیگنال‌های فیکِ BLE با هدرهای عینک‌های هوشمند تولید کنند. این کار باعث خطای مثبت کاذب (False Positive) در اپ‌های ردیاب شده و سیستم‌های پایش رادیویی را کاملاً مختل و بی‌خاصیت می‌کند.
در پست آخر، خطرناک‌ترین سناریوی این عینک‌ها یعنی ترکیب با هوش مصنوعی را بررسی می‌کنیم.👇
ID: @androidSec_fa
#Android #Cybersecurity #BLE #Bluetooth #WirelessSecurity
پس از موج نگرانی‌ها بابت جاسوسی با عینک‌های هوشمند، متخصصان امنیت اندروید تلاش کردند با استفاده از BLE Scanner API، اپلیکیشن‌هایی بسازند که سیگنال‌های بلوتوث (BLE) این دستگاه‌ها را اسکن کرده و در صورت وجود عینک در نزدیکی کاربر، هشدار دهند.
اما تحلیل‌های فنی نشان می‌دهند این اپ‌ها عملاً یک «حس امنیت کاذب» ایجاد می‌کنند و به دو دلیل شکست می‌خورند:
۱. پنهان شدن پس از اتصال (The Stealth Mode):
عینک‌های هوشمند فقط در زمانی که منتظر جفت‌شدن (Pairing) با یک گوشی جدید هستند، سیگنال‌های بیرونی و آشکار BLE می‌فرستند. به محض اینکه عینک به اندرویدِ مالک خود متصل شد، استک بلوتوث آن تغییر رفتار داده و در اسکن‌های رادیویی دستگاه‌های اطراف کاملاً نامرئی می‌شود.
۲. حملات سیگنالی و اسپم (BLE Spoofing):
مهاجمان به راحتی می‌توانند با ابزارهایی مثل Flipper Zero یا بردهای نظیر ESP32، سیگنال‌های فیکِ BLE با هدرهای عینک‌های هوشمند تولید کنند. این کار باعث خطای مثبت کاذب (False Positive) در اپ‌های ردیاب شده و سیستم‌های پایش رادیویی را کاملاً مختل و بی‌خاصیت می‌کند.
در پست آخر، خطرناک‌ترین سناریوی این عینک‌ها یعنی ترکیب با هوش مصنوعی را بررسی می‌کنیم.👇
ID: @androidSec_fa
#Android #Cybersecurity #BLE #Bluetooth #WirelessSecurity
👍3
👁 کابوس بیومتری؛ وقتی عینک هوشمند ابزار OSINT و تشخیص چهره می‌شود!
خطر عینک‌های هوشمند جدید فقط به ضبط پنهانی ویدیو ختم نمی‌شود. تهدید بزرگتر و واقعی زمانی آغاز می‌شود که این گجت‌ها به موتورهای پردازش تصویر هوش مصنوعی و پایگاه‌های داده بیومتmetric متصل شوند.
تحلیل کدهای پنهان در اپلیکیشن‌های مدیریت این عینک‌ها (مانند پروژه آزمایشگاهی NameTag) نشان می‌دهد که سناریوی زیر چندان دور نیست:
۱. اسکن در لحظه (Real-time Scanning):
شما در حال قدم زدن در خیابان هستید؛ فردی با عینک هوشمند از کنار شما رد می‌شود. دوربین عینک بدون اینکه متوجه شوید، چهره شما را فریم‌به-فریم اسکن می‌کند.
۲. اتصال به موتورهای OSINT چهره:
تصویر صورت شما فوراً به سرورهای پردازش ابری فرستاده شده و با موتورهای جستجوی قدرتمند چهره مانند PimEyes یا FaceCheck تطبیق داده می‌شود.
۳. افشای آنی هویت:
ظرف چند ثانیه، نام کامل شما، حساب‌های شبکه‌های اجتماعی (اینستاگرام، لینکدین، تلگرام) و حتی محل کار یا سکونت احتمالی شما روی شیشه عینک یا گوشی فرد مقابل ظاهر می‌شود!
سرعت پیشرفت ابزارهای جاسوسی و مانیتورینگ توده‌ای، فراتر از قوانین حقوقی و سیستم‌های دفاع دیجیتال ماست. حریم خصوصی در فضاهای عمومی رسماً به پایان خود نزدیک شده است.
🔗 مطالعه کامل و فنی مقاله در وبلاگ نویسنده:
👉 https://www.mobile-hacker.com/2026/06/14/smart-glasses-can-record-you-and-detecting-them-isnt-so-simple/
🆔 @androidSec_fa
#OSINT #AI #FaceRecognition #Privacy #Biometrics
خطر عینک‌های هوشمند جدید فقط به ضبط پنهانی ویدیو ختم نمی‌شود. تهدید بزرگتر و واقعی زمانی آغاز می‌شود که این گجت‌ها به موتورهای پردازش تصویر هوش مصنوعی و پایگاه‌های داده بیومتmetric متصل شوند.
تحلیل کدهای پنهان در اپلیکیشن‌های مدیریت این عینک‌ها (مانند پروژه آزمایشگاهی NameTag) نشان می‌دهد که سناریوی زیر چندان دور نیست:
۱. اسکن در لحظه (Real-time Scanning):
شما در حال قدم زدن در خیابان هستید؛ فردی با عینک هوشمند از کنار شما رد می‌شود. دوربین عینک بدون اینکه متوجه شوید، چهره شما را فریم‌به-فریم اسکن می‌کند.
۲. اتصال به موتورهای OSINT چهره:
تصویر صورت شما فوراً به سرورهای پردازش ابری فرستاده شده و با موتورهای جستجوی قدرتمند چهره مانند PimEyes یا FaceCheck تطبیق داده می‌شود.
۳. افشای آنی هویت:
ظرف چند ثانیه، نام کامل شما، حساب‌های شبکه‌های اجتماعی (اینستاگرام، لینکدین، تلگرام) و حتی محل کار یا سکونت احتمالی شما روی شیشه عینک یا گوشی فرد مقابل ظاهر می‌شود!
سرعت پیشرفت ابزارهای جاسوسی و مانیتورینگ توده‌ای، فراتر از قوانین حقوقی و سیستم‌های دفاع دیجیتال ماست. حریم خصوصی در فضاهای عمومی رسماً به پایان خود نزدیک شده است.
🔗 مطالعه کامل و فنی مقاله در وبلاگ نویسنده:
👉 https://www.mobile-hacker.com/2026/06/14/smart-glasses-can-record-you-and-detecting-them-isnt-so-simple/
🆔 @androidSec_fa
#OSINT #AI #FaceRecognition #Privacy #Biometrics
Mobile Hacker
Smart Glasses Can Record You - And Detecting Them Isn’t So Simple - Mobile Hacker
Smart glasses with camera are becoming more common, fitting into everyday life. They look like normal sunglasses — but they can record video, capture audio, and take photos at any moment.
👍3
🪲 تروجان بانکی Rokarolla؛ تهدید جدید اندروید با قابلیت کنترل کامل دستگاه (Device Takeover)
تیم تحقیقاتی zLabs به‌تازگی یک بدافزار بسیار تهاجمی و پیشرفته اندرویدی به نام Rokarolla کشف کرده است که با هدف قرار دادن ۲۱۷ اپلیکیشن بانکی و صرافی رمزارز، کنترل اداری مطلق دستگاه قربانی را به دست می‌گیرد.
📍 تکنیک‌های انتشار و فریب کاربر:
این بدافزار عمدتاً از طریق سایت‌های مخرب و به شکل برنامه‌های معروفی مثل Google Chrome یا TikTok توزیع می‌شود. هسته اصلی بدافزار (Dropper) با جعل نام و ظاهر سیستم امنیتی Google Play Protect، کاربر را فریب داده تا بار داده مخرب اصلی را نصب کند و دسترسی حیاتی Accessibility Services را فعال نماید.
🛡 مهم‌ترین قابلیت‌های مخرب Rokarolla:
🔹 جعل پیشرفته صفحه (Overlays): نمایش صفحات فیشینگ منطبق بر بانک‌های هدف روی برنامه اصلی، جهت سرقت رمز عبور، پین‌کد یا مشخصات کارت اعتباری.
🔹 جاسوسی تصویری (Pseudo-VNC): تهیه اسکرین‌شات‌های مداوم، فشرده‌سازی و ارسال سیستماتیک آن‌ها به سرور C2 همراه با برچسب زمانی.
🔹 جاسوسی اختصاصی واتس‌اپ: پایش صفحه برای پیدا کردن کلمات کلیدی واتس‌اپ و استخراج لیست مخاطبین.
🔹 سرقت SMS و کنترل تماس: ربودن رمزهای یک‌بار مصرف (OTP) و مسدود کردن تماس‌های دریافتی برای جلوگیری از دریافت هشدارهای امنیتی بانک.
🔹 عملیات بی‌صدا و ماندگاری: حذف آیکون برنامه از منو، قطع کامل صدا و لرزش گوشی برای پنهان‌کاری، روشن نگه داشتن دائمی صفحه نمایش و تلاش برای غیرفعال‌سازی پروتکل‌های حفاظتی Play Protect.
🔹 دستکاری حافظه موقت (Clipboard): جایگزینی خودکار آدرس کیف پول‌های رمزارز کپی شده با آدرس مهاجم (Crypto Clipper).
هکرها در این تروجان از یک پنل مدیریت قدرتمند با ۱۳۷ فرمان مختلف استفاده می‌کنند که دسترسی آن‌ها را به یک «کنترل کامل تصویری و عملکردی» روی گوشی تبدیل می‌کند.
🔗 مطالعه متن کامل گزارش فنی و بررسی تحلیل دامنه‌ها:
👉 https://zimperium.com/blog/rokarolla-android-banker-with-complete-device-takeover-capabilities
🚩 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#AndroidSecurity #MalwareAnalysis #MobileTargeting #Rokarolla #BankingTrojan #zLabs #CyberSecurity #Phishing
تیم تحقیقاتی zLabs به‌تازگی یک بدافزار بسیار تهاجمی و پیشرفته اندرویدی به نام Rokarolla کشف کرده است که با هدف قرار دادن ۲۱۷ اپلیکیشن بانکی و صرافی رمزارز، کنترل اداری مطلق دستگاه قربانی را به دست می‌گیرد.
📍 تکنیک‌های انتشار و فریب کاربر:
این بدافزار عمدتاً از طریق سایت‌های مخرب و به شکل برنامه‌های معروفی مثل Google Chrome یا TikTok توزیع می‌شود. هسته اصلی بدافزار (Dropper) با جعل نام و ظاهر سیستم امنیتی Google Play Protect، کاربر را فریب داده تا بار داده مخرب اصلی را نصب کند و دسترسی حیاتی Accessibility Services را فعال نماید.
🛡 مهم‌ترین قابلیت‌های مخرب Rokarolla:
🔹 جعل پیشرفته صفحه (Overlays): نمایش صفحات فیشینگ منطبق بر بانک‌های هدف روی برنامه اصلی، جهت سرقت رمز عبور، پین‌کد یا مشخصات کارت اعتباری.
🔹 جاسوسی تصویری (Pseudo-VNC): تهیه اسکرین‌شات‌های مداوم، فشرده‌سازی و ارسال سیستماتیک آن‌ها به سرور C2 همراه با برچسب زمانی.
🔹 جاسوسی اختصاصی واتس‌اپ: پایش صفحه برای پیدا کردن کلمات کلیدی واتس‌اپ و استخراج لیست مخاطبین.
🔹 سرقت SMS و کنترل تماس: ربودن رمزهای یک‌بار مصرف (OTP) و مسدود کردن تماس‌های دریافتی برای جلوگیری از دریافت هشدارهای امنیتی بانک.
🔹 عملیات بی‌صدا و ماندگاری: حذف آیکون برنامه از منو، قطع کامل صدا و لرزش گوشی برای پنهان‌کاری، روشن نگه داشتن دائمی صفحه نمایش و تلاش برای غیرفعال‌سازی پروتکل‌های حفاظتی Play Protect.
🔹 دستکاری حافظه موقت (Clipboard): جایگزینی خودکار آدرس کیف پول‌های رمزارز کپی شده با آدرس مهاجم (Crypto Clipper).
هکرها در این تروجان از یک پنل مدیریت قدرتمند با ۱۳۷ فرمان مختلف استفاده می‌کنند که دسترسی آن‌ها را به یک «کنترل کامل تصویری و عملکردی» روی گوشی تبدیل می‌کند.
🔗 مطالعه متن کامل گزارش فنی و بررسی تحلیل دامنه‌ها:
👉 https://zimperium.com/blog/rokarolla-android-banker-with-complete-device-takeover-capabilities
🚩 کانال تخصصی امنیت اندروید:
🆔 @androidSec_fa
#AndroidSecurity #MalwareAnalysis #MobileTargeting #Rokarolla #BankingTrojan #zLabs #CyberSecurity #Phishing
Zimperium
Rokarolla : Android Banker with Complete Device Takeover Capabilities
true
👍3