Еще один интересный и весьма полезный инструмент на базе фреймворка Frida.

Многие исследователи сталкиваются с трудностями во время анализа приложений, написанных на кросс-платформенных фреймворках, например "Xamarin", когда из одного и того же кода можно получить сразу приложение и для Android и для iOS! Очень удобно в разработке, но не очень удобно для анализа.

Специально для таких случаев создан фреймворк Fridax, который существенно упростит жизнь и сэкономит много времени :)

#tools #frida #Android #iOS

https://github.com/NorthwaveNL/fridax

​​Ещё одна очень неплохая и динамично развивающаяся система для анализа мобильных приложений - Mobexler

Представляет собой виртуальную машину с предустановленным набором различного софта для пентеста мобильных приложений, как для Android, так и для iOS. Включает в себя такие утилиты, как Android Studio, BurpSuite, Frida, MobSF, Mara Framework, Objection, Drozer и многие другие.

Очень удобно иметь под рукой полностью готовую к использованию среду для тестирования. После завершения анализа можно сделать снепшот и откатить все до изначального состояния, чтобы не путались результаты между различными приложениями, в общем все удобства виртуальной среды 😁

Надеюсь, что это проект будет развиваться дальше и не загнется, как остальные попытки сделать что-то похожее.

#iOS #Android #Tools

Второй инструмент - Quark. Он использует совершенно другой принцип, не запускает анализируемое приложение, а пытается декомпилировать и по собственным правилам (которые можно дописывать или украсть подглядеть на просторах интернета) определяет, насколько приложение похоже на вредонос.

Качество детекта приятно удивляет. Конечно, бывают смешные результаты, когда особо рьяные до безопасности банковские приложения определяются, как вредоносные, но тут можно поправить или отключить некоторые правила. Разворачивать и запускать ее намного проще, чем ту же Кукушку, достаточно выполнить команду:

quark -a sample/14d9f1a92dd984d6040cc41ed06e273e.apk -r rules/ -s

И буквально через несколько минут получить результат.

Кстати, есть еще одна форма этого инструмента - для поиска уязвимостей в приложении, но уже совсем другая история и, может быть, я когда-то о нём напишу 😃

Если нужно определить, является ли Android-приложение зловредом или содержит в себе какие-то скрытые возможности, я бы рекомендовал комбинировать два эти инструмента для всестороннего анализа приложения, как с точки зрения статического анализа, так и динамического. Всё в лучших традициях AppSec - что-то найдет один инструмент, что-то другой и в итоге можно получить более-менее цельную картину.

#Android #Malware #Research #Tools

​​Мир захватили QR-коды 😬
Они везде, даже в виде пропуска на выход из дома)

Мобильные приложения, конечно, не исключение и почти в каждом есть возможность считать код для разных целей.

При анализе приложений мы всегда исследуем этот функционал и достаточно часто находим там проблемы. Помогает в этом несколько open source решений для генерации зловредных кодов: QRGen и Scansploit

Всего в несколько команд можно сгенерировать пачку QR или Barcode, содержащих любые пейлоады.

Очень удобно, единственное, сканировать их потом устаешь :))

#Android #iOS #Tools #analisys

​​В качестве обвязки для Frida я использую Python, так как мне этот язык привычен и можно найти много примеров именно такой связки.

Если же вы знаете и любите Java и хотите использовать Frida - этот гайд создан для вас. Внутри - большое количество примеров и объяснений, как и что работает. Примеры использования показаны на основе приложения, которое написал автор специально для данного гайда. Оно содержит много классов, использующих различные компоненты и подходы.

Так что даже, если Java не ваш язык, то на примере этого тестового приложения можно попрактиковаться в написании скриптов для Frida!

Автору респект, на всякий сохранил к себе, вдруг на Java написать что-то захочется 🤣

#Frida #Tools #Guide #Android

Сложная для моего понимания, но от этого не менее интересная статья про фаззинг Android NFC.

Автор рассказывает, какие подходы н применял и объясняет некоторые вещи, которые могут помочь при написании собственных шаблонов и обвязки для различных фаззеров. Кстати, результатам такого теста стала пачка CVE, которые успешно отработали в Google.

На моей памяти, мы несколько раз использовали фаззинг нативных библиотек, но обычно это были различные обработчики изображений и медиа. Нашли много багов благодаря такому подходу и их успешно пофиксили. Мы использовали тоже классную штуку - AFL (American Fuzzy Loop). Очень удобный и мощный в кривых умелых руках фаззер.

#Android #NFC #Fuzzing #Tools

​​Специально для ленивых и для тех, кто все время лезет в гугл, что бы посмотреть правильную команду в консоли (каждый раз так делаю, когда нужно архив распаковать в линуксе 🤦‍♂️).

Утилита для упрощения работы с adb, так же имеет связку с некоторыми модулями metasploit для Android, поставляется в виде bash-скрипта.

Ничего сверхъестественного, но может быть полезна в ряде случаев

#Android #Tools #Metasploit

​​Нашёл занятную утилиту, которая позволяет быстро и достаточно просто получать данные об используемом шифровании (алгоритм, его параметры, ключ и т.д.).

Работает через патчинг приложения и только, если используется стандартный SecurityProvider .

В ряде случаев может помочь быстро получить необходимые данные и поискать где-то ключик 🔑

#Android #Tools #Crypto

Альтернативный способ расшифровки IPA-файлов

Классический способ снятия FairPlay шифрования c ipa-файлов - дамп из памяти загруженных конструкций и загрузка получившегося файла к себе. Это умеет делать frida-ios-dump или dumpdecrypted, но как правило они требуют jailbreak (есть возможность использовать фриду и без джейла, но это другая история).

Однако существует инструмент yacd, который работает на iOS 13.4.1 и ниже и позволяет получить расшифрованный файл и передать его посредством Airdrop на другое устройство. Для достижения этой цели он использует эксплойт для доступа к памяти процесса, который работает как раз на этих версиях iOS.

Думаю достаточно удобно иметь под рукой такой инструмент, чтобы быстро и без особых проблем выгрузить нужное приложение 😄

#iOS #Tools #FairPlay #Decrypt

Более-менее универсальный способ SSL Unpinning в iOS

Интересная утилита Meduza на основе Frida для SSL Unpinning приложений на платформе iOS.

Её подход немного отличается от стандартных способов. Сначала необходимо запустить утилиту в режиме мониторинга и потыкать в приложении. Запущенный скрипт соберет все домены и их сертификаты, к которым обращалось приложение за время работы. После того, как закончите работу с приложением, медуза сформирует скрипт, который будет спуфить сертификаты и производить Unpinning.

Такой подход будет работать только для приложений, использующих стандартную имплементацию SSL в системе.

Как досконально это работает, я пока не успел изучить, но в ближайшем времени планирую посмотреть. Скорее всего, мы делаем классический MiTM, перехватываем трафик, но в приложение возвращается тот же самый отпечаток сертификата, что и был изначально.

Но больше всего мне нравится честный и правдивый комментарий автора:

MEDUZA doesn't work, what to do?

Try to fix it yourself or create an issue. However, I take a look at this GitHub account from time to time ( ==once a year) and support MEDUZA in my spare time ( ==never), so I can't guarantee any support. Welcome to the opensource world ;(

Удивительно честный мир опенсурса 😁

#iOS #sslunpinning #Tools

Сканер уязвимостей в Android приложениях GJoy Dex Analysizer

Нашёл достаточно необычный сканер, который включает в себя собственный декомпилятор, умение выявлять вредоносное поведение, утечку чувствительных данных, выявление уязвимостей и ещё очень-очень много всего, судя по описанию.

Написан на С++, не использует Java и не требует установки. Имеет собственный язык описания правил и развивается с 2015 года.

Приложение только под винду 😭
К сожалению, руки пока не дошли его посмотреть, выглядит интересно, но насколько хорошо работает, пока непонятно 😁

#Android #Tools