Видео от замечательного @OxFi5t

Всё как обычно по делу!

​​Мы теряем таланты!

Новость уже немного поросла мхом, но тем не менее 😄

Создатель и, что логично, основной разработчик magisk (утилита или набор скриптов для модификации Android, а так же сокрытия этого факта от системы и остальных приложений), перешел в команду безопасности Android, о чем сообщил в своем твиттере.

Очень неплохая статья на русском на Хабре, с обсуждением, к чему это может привести и чего дальше ждать. Как мне кажется, особо ничего хорошего для проекта Magisk :(

И это не первый и, думаю, не последний ход Google по найму людей, которые умеют качественно ломать Android в свою команду безопасности. Сначала @B3nac, потом автор magisk, интересно, кто будет следующим? Есть у меня один знакомый на примете 😅😅😅

Но, поживём, увидим!

Всем хороших выходных!

#magisk #google #hiring

Устаревшие алгоритмы шифрования в Android

В новой версии Android, уже 12-й (!), объявили об удалении устаревших алгоритмов шифрования.

Дословно:
«Android 12 has removed many BouncyCastle implementations of cryptographic algorithms that were previously deprecated, including all AES algorithms.»

Думаю, что это нарушит работу многих приложений, так что, если вы используете алгоритмы, которые удалены, это может стать проблемой. Конечно, можно подключить внешнюю библиотеку и продолжать жить счастливо, но я бы рекомендовал все-таки обновить технологии шифрования. Тем более, учитывая, сколько уязвимостей есть в библиотеке BouncyCastle.

Другое интересное новшество:
"Your app uses 512-bit key sizes. Conscrypt doesn't support this key size. If necessary, update your app's cryptography logic to use different key sizes."

Размер теперь имеет значение 😃
Если я правильно понял, необходимо использовать более длинные ключи в новых версиях Android. И это не может не радовать!

Конечно, это повлияет на разработку и заставит немного подкрутить логику работы с шифрованием, но в дальнейшем может повысить защищенность (очен на это надеюсь, по крайней мере).

Читая всё это задумался и начать писать статью о том, как эволюционировала безопасность системы Android со времён 4-й версии. Так что надеюсь, что в ближайшее время смогу порадовать интересным материалом!

#Android12 #update #news

Поправка к предыдущему посту

Прошу прощения, немного не верно понял информацию, удаляются не старые версии алгоритмов из поддержки, а именно их реализация в библиотеке BoucyCastle.

Через такой хитрый ход Google продвигает собственную библиотеку ConsCrypt.

Так что можно жить дальше :))

Спасибо большое @AndroidDevSec за поправку :)

И ещё немного о приватности в Android 12

Официальная дока по улучшениям в обеспечении приватности пользовательских данных.

По накатанной дорожке, от релиза к релизу, Google ужесточает правила игры и запрещает приложениям собирать больше информации. И Android 12 не стал исключением. Немного наиболее интересных обновлений:

Буфер обмена
Теперь при чтении из буфера обмена, пользователю будет показано сообщение. Ранее гугл отключил доступ к буферу приложениям в фоне, а теперь ещё и нотификацию показывает.

Отчет о приватности
Анонсировали дашборд, в котором можно посмотреть отчет за последние 24 часа, в какое время какие приложения имели доступ к камере, микрофону и локации.

Выключение камеры и микрофона
Появились два новых выключателя в настройках, которые отвечают за камеру и микрофон. Если их выключить, то при попытке доступа к этим сенсорам будет выведено предупреждение, что сначала необходимо включить камеру и микрофон в настройках.

Ещё много занятных вещей появилось. И всё сильнее Google заботится о том, чтобы данные получали только они, а не другие приложения и сервисы 😅

#Android12 #update #news

Нужна помощь специалистов

Всем привет, пользуясь тем, что могу сюда писать обращаюсь к вам за помощью 😃

Если вы разрабатываете или анализируете приложения, накидайте, пожалуйста в комментарии популярные библиотеки, которые часто используются при разработке Android или iOS приложений.

Сейчас прорабатываем интересную концепцию по поиску уязвимостей, хотелось бы побольше живых данных для старта набрать.

У меня пока что получился такой минимальный список:
https://github.com/google/guava
https://github.com/ReactiveX/RxJava
https://github.com/opencv/opencv
https://github.com/square/okhttp
https://github.com/alibaba/fastjson
https://github.com/google/gson
https://github.com/JetBrains/kotlin
https://github.com/square/retrofit

Накидайте названий или ссылок, чего угодно, буду очень благодарен, а после нашего эксперимента расскажу о результатах, какие бы они не были ))

Запись с вебинара

Всем привет! Выложили запись с вебинара, кто не успел поприсутствовать лично, можно посмотреть в комфортное время.

Вроде получился достаточно неплохой обзор практик, которые можно применять при анализе мобильных приложений и немного рассказал про то, как динамику проводим мы. Может быть немного по капитански, но я правда старался) Первое подобное мероприятие, которое относится непосредственно к тому, что я делаю, так что было немного волнительно 😀

Формат достаточно неплохо зашел, так что подумаем над тем, чтобы его продолжить в виде нескольких видео по нашему продукту и как мы реализовали поиск интересных дефектов.

Stayu tuned, как говорится 😃

#Webinar #record #stingray

Произошло целых два события: отгремела Google I/O 2021 и у меня нашлось время собрать всякую интересную инфу по privacy & security фишкам, которые там показали. Обзор получился довольно объемный, поэтому в описании вас традиционно ждут таймкоды и куча тематических ссылок. Смотрите, комментируйте, задавайте вопросы. Там есть что обсудить!
https://youtu.be/2Mtdo84dI4M

Анализ безопасности приложений Samsung

Бери Samsung, говорили они, он безопасный, говорили они 😃

И по итогу, установка произвольных приложений (при этом им система еще выдает административные права), кража СМС, контактов, кража данных из нотификаций и много чего еще. Что-то уже не кажется, что все так хорошо))

И все это описано в потрясающей статье от великолепного @bagipro про исследование безопасности предустановленных приложений в Samsung. Все уязвимости найдены при помощи сканнера Oversecured ;)

В статье подробно изложены методики анализа и причины возникновения уязвимостей, а также представлены PoC для последующего изучения и повторения техник) Ну а что мне больше нравится, это название статьи "...Part 1", которое подразумевает продолжение.

Очень ждем продолжения и больше-больше крутых техник и уязвимостей!

#OverSecured #bagipro #vulnerabilities

Запуск приложений Mac на Jailbreaked iPhone

Пока кто-то пытается запускать любые iOS-приложения на M1 и обойти ограничения Apple на запуск неподписанного кода, другие пытаются запустить приложения для Mac на айфоне. Зачем? Ну не знаю, например, чтобы проверить предположение, что mac и ios взаимодополняют друг-друга и могут спокойно запускать приложения друг-друга. Ну или просто just-for-fun)

На самом деле очень интересная статья, которая может помочьт во внутреннем изучении системы и понимании логики работы обеих систем.

#iOS #MacOS #M1 #iPhone

Уязвимость в Mattermost приложении под Android

Уязвимость Persistant Arbitrary code execution в приложении Mattermost под Android. Очень интересная бага, учитывая, что это OpenSource проект, и на его основе многие компании строят свои внутренние мессенджеры. Так что, если вы используете в компании Mattermost, то обновитесь на свеженькую версию)

Суть атаки в наличии уязвимости Path Traversal в одном из параметров, который принимает ContentProvider. Благодаря этому можно перезаписать одну из нативных библиотек в приложении и при следующем запуске будет выполнен код, который атакующий зашил в метод OnLoad внутри натива.

Крайне знакомая техника, где же я о ней читал? 🤔

#Mattermost #Vulnerability #ACE

​​ZeroNights 2021

Всем любителям конференций :)

Уже очень скоро, 30 июня в Питере пройдет одна из основных конференций по информационной безопасности - ZeroNights 2021. Мне лично очень нравится и сама конфа и атмосфера, которой она сопровождается.

Мы в этом году, к сожалению не выступаем, но надеюсь, что к следующему году мы уж точно наберем достаточно материала и времени для нескольких выступлений 😉 так что в этом году просто послушаю доклады и пообщаюсь с друзьями за бутылочкой Club Mate)

По нашей теме, будет как минимум один интересный доклад об уязвимостях в Samsung (опять) и о построении собственных эмуляторов на базе QEMU. Обязательно пойду послушать :)

Если кто-то соберется поехать, то увидимся на конференции!

#zeronights #conference

Очень классный пост в одном из каналов нарыл @EZ3K1EL.

Такой микс, всё в одном посте :)

⁤Мне наконец-то удалось плотно поработать с реверсом Android-приложений. Если раньше хватало Burp'а для анализа трафика, чтобы посмотреть простенькие запросы к API (для OSINT'а, например), а дальше заглядывать было лень, то в этот раз сама жизнь заставила и пришлось немного углубиться в тему.

В основном, я использовал Frid'у (просто незаменимый и очень-очень удобный фреймворк) и некоторые тулзы для сборки/декомпиляции/подписи/просмотра исходного кода, о которых, возможно, напишу в следующих постах.

Для тех, кто хотел вкатиться, вот все ресурсы, которые были мною использованы для обучения, думаю, будет полезно.

Вводные статьи по Java:
https://docs.oracle.com/javase/tutorial/
https://beginnersbook.com/java-tutorial-for-beginners-with-examples/
https://www.tutorialspoint.com/java/java_tutorial.pdf

Шпаргалка по Smali на русском:
*выше на канале*

Цикл видосов по Android Reverse Engineering:
https://www.youtube.com/watch?v=BijZmutY0CQ

Канал "Android AppSec" на Youtube:
https://www.youtube.com/channel/UC5bY16WSEa_ttTPqj8aTeIw/videos

Подробнейшая инструкция по настройке рабочего окружения:
https://blog.cobalt.io/getting-started-with-android-application-security-6f20b76d795b

Документация Frida + Codeshare и сниппеты:
https://frida.re/docs/javascript-api/
https://codeshare.frida.re/
https://github.com/iddoeldor/frida-snippets

Бложики со статьями, наполненные одами о Frida:
https://grepharder.github.io/blog/
https://neo-geo2.gitbook.io/adventures-on-security/
https://joshspicer.com/android-frida-1
https://11x256.github.io/
(на русском: https://forum.reverse4you.org/t/android-frida/1128)

Статья на Zennolab о Frida:
https://zennolab.com/discussion/threads/android-na-post-get-s-pomoschju-frida-server-burpsuite-i-bonus.79264/

Статья на Xakep о Frida:
https://xakep.ru/2018/03/19/android-frida/

Самые полезные и полные гайды с большим количеством примеров (Tiktok и Frida):
https://www.fatalerrors.org/a/code-and-example.html
https://www.fatalerrors.org/a/0d901j8.html

Райтапы ØxＯＰＯＳɆＣ, связанные с криптографией:
https://inesmartins.github.io/oposec-don-joe/
https://inesmartins.github.io/oposec-secrets/
https://inesmartins.github.io/htb-crypto-challenge-call/
https://inesmartins.github.io/htb-crypto-challenge/
https://inesmartins.github.io/oxopos-c-summer-challenge-2020-web-challenges-write-up/
https://inesmartins.github.io/0xoposec/

Отдельно выделю их же цикл статей "Undeground Leaks":
https://inesmartins.github.io/oposec-underground-leaks/
https://inesmartins.github.io/oposec-underground-leaks-part-ii/
https://inesmartins.github.io/opoleaks-underground-leaks-part-iii/

Если есть что добавить, кидайте в обратную связь, - запилю отдельный пост.

Вступительная статья по статическому анализу Android-приложений

Весьма неплохая вступительная статья о статическом анализе Android-приложений с видео и текстовым описанием того, что происходит.

Заядлым реверсерам и опытным безопасникам она мало поможет, так как ничего особо нового там нет. Но тем, кто начинает свой путь и хочет более подробно разобраться на конкретном примере - может быть полезно.

В примере разобрана одна из уязвимостей приложения InsecureBankV2

#SAST #Reverse #decompile #junior

Разбор уязвимости в Android Verified Boot Process на примере... велотренажера

В Android есть процесс доверенной загрузки, который впервые появился в Android 4.4 (но был настолько ужасным, что им никто не пользовался), и в последствии был существенно доработан в 6-й и 7-й версиях Android. И хотя он недотягивает до цепочки доверия в iOS, но тем не менее работает 😃

И вот, в компании McAfee обнаружили инересну багу в велотренажерах, на которых установлен тот самый Android) Что позволяло при физическом доступе перезалить модифицированный образ загрузчика и получить удаленный root-доступ к велотренажерам. А там и запись видео со звуком, слив информации и прочие веселые вещи.

На самом деле статья интересна не конкретно велотренажерами, а тем, как в ней описан процесс доверенной загрузки, как он работает и шаги, которые были предприняты, чтобы выявить проблемы.

Можно почитать, интересный материал за чашкой кофе с утра ☕️

#Android #VerifiedBoot #Vulnerability #Sport

Выполнение произвольного кода в приложении Google

Отличная пятничная статья (хоть она и вышла несколько дней назад, но для меня она пятничная) про очень крутую уязвимость в приложении Google от уникальной компании Oversecured!

Уязвимость persistent local code execution. позволяет выполнить произвольный код в контексте приложения Google, а это значит получить очень и очень широкие возможности в системе. При этом достаточно всего одного запуска вредоносного приложения, для того, чтобы зловредный модуль остался в системе и делал свои темные дела.

Что мне нравится в этой статье, так это реально крутая связка уязвимостей, которая привела к возможности проведения подобной атаки. И более того, про каждый элемент этой цепочки можно прочитать в соответствующей статье от Oversecured. И это действительно круто. Если вы еще не читали про различные техники эксплуатации - советую начать с этой статьи и прочитать все кросс-ссылки, это безумно интересно.

Всем приятного чтения и хороших выходных!

#Google #Vulnerability #Oversecured

Отключение WiFi в iOS

В Android 12 сделали программное отключение доступа к камере и микрофону для всех приложений, iOS не мог этого так оставить и допустил функционал по отключению WiFi. Правда, скорее всего случайно и с использованием бага в форматной строке 😄

Всё очень просто, если на iPhone подключиться к сети с SSID “%p%s%s%s%s%n”, то устройство полностью отключит модуль WiFi :))

К сожалению, не увидел, на каких именно устройствах и версиях ОС это работает, но чем не повод проверить и создать такую открытую сеть? 😉 например на какой-нибудь конференции….

#iOS #WiFi #Bug

​​Занятные CTF под Android

Нашёл тут серию статей про прохождению CTF при помощи Frida. Пока что есть первая и вторая части, но вроде автор собирается писать ещё.

В целом, writeup неплохие, с подробными комментами и описанием того, что и почему нужно делать для прохождения заданий.

Но больше всего мне понравились задания и сам CTF под названием hpandro. Распространяются через Google Play, есть большое количество самых различных задач в виде отдельных приложений, а на сайте можно зарегистрироваться и отправлять флаги и даже есть scoreboard!

Но больше всего мне запомнился комментарий под одним из приложений, наверное человек не смог его решить 😂

#android #ctf

Вебинар по безопасной разработке

30-го июня в 21:00 по московскому времени (или в 14:00 по eastern time) пройдет двухчасовой вебинар по лучшим практикам в написании безопасного кода для мобильных приложений от компании NowSecure.

Судя по описанию должно быть достаточно интересно и познавательно, обещают осветить вопросы по следующим темам:
- Данные, хранящиеся в небезопасном месте
- Некорректная реализация сетевого взаимодействия
- Небезопасная аутентификация и авторизация
- Небезопасные практики кодинга (интересно, что они имеют ввиду)
- Защита от реверса

Я постараюсь быть, хоть время и позднее для нашего часового пояса. Всегда полезно ходить на подобные мероприятия, что-то новое определенно узнаешь и где-то тебя натолкнут на правильные мысли.

Ну или будем надеяться, что будет запись 😃

#webinar #securecoding

Обновление курсов и книг по безопасности и анализу мобильных приложений

Очередное обновление библиотеки!

На этот раз были добавлены книги по Android / iOS и два больших курса (спасибо @wusero)!

Книги:
- Android глазами хакера
- Android Security Cookbook
- iOS Application Security
- The Mac Handbook
- Beginner Guide to Exploitation on ARM 1
- Beginner Guide to Exploitation on ARM 2

Курсы:
- Pentester Academy - Pentesting iOS Applications
- GeekBrains - Безопасность мобильных приложений

Приятного чтения и просмотра!

#Books #Security #Android #iOS #Cources