Реверс-инжиниринг безопасной ОС (TEE) на примере AMD TEE из PSP

Не совсем про мобильные истории, но все же доклад о защищенной ОС, которая также применяется в мобильных устройствах повсеместно.

Автор рассказывает о процессе реверс-инжиниринга безопасных операционных систем на примере AMD TEE. От общей информации о безопасных ОС, их применении и концепции и об AMD PSP до обсуждения восстановления основных структур ОС AMD TEE.

#AMD #TEE #SecureOS

Интеграция Ghidra и radare2

Недавно я несколько раз писал про интересный инструмент radare2. И его и так не бедную функциональность легко расширять различными плагинами. Или же наоборот, функционал других инструментов дополнять функционалом r2.

Например, одна из таких интересных интеграций может быть с не менее популярным инструментом Ghidra. Благодаря такой связке процесс реверса может стать чуточку проще.

Более подробно об этом плагине и примерах использования автор рассказал да r2con2019.

Удачного реверса

#reverse #radare2 #ghidra

Новое ограничение Android 13 для Accessibility APIs

Очень часто различная малварь на Android использует сервисы Accessibility API для того, чтобы получить данные пользователя. Как один из примеров, натянуть оверлей поверх всего экрана и считывать нажатия или получить события нажатия любых кнопок в приложении.

Как я писал в статье про развитие механизмов безопасности Android, если в первых версиях усилия Google были направлены на усиление защиты самой системы и борьбу с фрагментацией, то в последних версиях, что Google, что Apple устроили гонку по защите приватности пользователей. Тут тебе и ограничения на использование сенсоров, и доступ к геолокации и к различным идентификаторам, которые помогали идентифицировать устройство пользователя.

Теперь изменения пошли немного дальше и коснулись Accessibility API. Одно из главных изменений - доступ к этим службам не смогут получить приложения, которые были установлены не из магазина Google Play.

Об остальных нововведениях (а также об истории и возможностях этой службы) читайте в статье.

#Android13 #Accessibility #Privacy

Уязвимость утечки данных в процессорах Apple Silicon

Уязвимость (или даже вектор атаки) в новых процессорах Apple, с интересным названием "Augury" представила группа исследователей.

По сути, эта атака представляет собой использование особенности микроархитектурной оптимизации Data Memory-DependentPrefetcher (DMP).

Насколько это серьезно? По словам авторов, пока что не так уж серьезно, так как нет ни одного эксплойта, который бы использовал подобную технику. Да и получить можно только указатели.

Но мне хотелось бы верить, что все небольшие уязвимости и вектора атак сложатся в пазл и в итоге приведут наконец-то к jailbreak для 15 iOS 😄

#iOS #Vulnerability #Exploit

Очередной вирус в Google Play

На этот раз героем статьи оказалось вирусное приложение в виде QR-сканера (странно, что не калькулятор) с более чем 10 тысячами загрузок.

Не знаю почему, но эта статья мне приглянулась. Там не сильно много подробностей, показан основной принцип работы 90% подобных вирусов и рассказаны примеры общения с С&C-сервером, а полезную нагрузку он закачивал с Github 🤓

Но тем не менее, почему-то я ее с интересом прочитал. Наверное, чтобы убедится, что перехват смс и скрытие иих от пользака по прежнему работает так же, как и 10 лет назад 😄

Но можно еще и блок этой компании полистать, можно найти много достаточно интересных статей.

#Malware #Android #QR

Новости мобильной безопасности

С небольшим опозданием, но все-таки они вышли - подборка новостей по мобильной безопасности, выпуск №6 😎

https://habr.com/ru/company/swordfish_security/news/t/668720/

Ало! Мы ищем таланты!

Всем привет!
Друзья, открыт CFP на OFFZONE!
И честно говоря, мне бы очень хотелось, чтобы в этом году было побольше докладов про мобильные приложения. Про баги, про тулы, про инструменты анализа, про сложности и просто веселые истории или хардкорные доклады.
Если у вас есть идея для доклада, присылайте смело! Не стоит думать, что это никому не интересно и только поэтому молчать :)

Приходите!

Объявляем Call for Papers для OFFZONE 2022!

Почитать о подаче заявок, принципах CFP и бонусах для спикеров можно на сайте. Если коротко:

▪️Заявку можно подать до 3 июля.
▪️Будет два формата выступлений — Talk и Short Talk.
▪️Подавать заявку нужно лично. Нет, через пиарщика нельзя.
▪️Приложить к докладу можно любые материалы. Да, даже фото котиков, если они помогут оценить качество исследования.

До встречи👋

Определение «зловредности» приложения.

Попался на глаза интересный репозиторий, который используя специально обученную ML-модель определяет, является ли Android-приложение malware и с какой вероятностью.

Сеть натренирована на репозитории, в котором представлена куча всяких зловредов под Android (около 300 штук), на любой вкус. Можно самому посмотреть, как какой из них работает.

Интересно попробовать свои приложения в него позагружать и посмотреть, какие из них он посчитает вредоносом.

#Android #malware

Уязвимости в предустановленных приложениях

А ещё и во фреймворке компании “mce Systems” были найдены исследователями Майкрософт (как-то их research-команда мимо меня проходила, не знал, что они анализируют что-то кроме себя самих).

Вообще статья достаточно неплоха, и баги интересные (выполнение кода, инжект JS, повышение привилегий через десериализацию). Описаны тоже неплохо, даже иногда с советами, как можно этого избежать.

В общем, можно глянуть и если вам на проверку пришло приложение, с похожей библиотекой, вспомните про этот пост и проверьте, нужную ли версию они юзают 😁

P.S. В статье первый раз увидел упоминание PiTM (Person in the Middle), сначала задумался и даже загуглил, что это за разновидность такая атаки)))))

#microsoft #android #vuln #research #pitm

Полезный Frida-tool для iOS/Android

Достаточно интересный репозиторий для анализа iOS-приложений, который представляет из себя обвязку над несколькими функциями фриды и умеет делать еще несколько полезных вещей:
- дамп расшифрованного ipa
- логи с устройства
- отключение проверки на jailbreak/pinning
- получение дампа памяти с приложения

И ещё много полезных вещей, которыми можно управлять из единого места. Написано на питоне, так что без труда можно модифицировать под себя.

Рядом лежит второй похожий репо этого же автора, только для Android. Тот же самый функционал с набором разных скриптов под frida. Можно интересное посмотреть что-то.

И последний репозиторий от этого же автора, с большим количеством видео и примерами по использованию - перехват зашифрованного трафика для некоторых приложений, которые дополнительно делают что-то с данными при передаче их на сервер.

Кстати, видео-уроки/демо по работе с этими инструментами есть у автора на Youtube, так что можно вживую посмотреть, как эти инструменты работают.

Вообще, выглядят эти тулы достаточно интересно и перспективно.

#ios #frida #frida-ios-hook #Android

Уязвимость в UNISOC

Хорошая статья, правда не про приложения, а про мобильные устройства и их хардварную часть.

Уязвимость в чипсете UNISOC, которая позволяет, по факту, полностью отключить человека от мобильной сети.

Статья интересна техническим описанием протоколов и различными схемами коммуникации, многочисленными отсылками к документации и спецификациям. В общем, для лучшего понимания, как наши устройства работают - самое то!

Хорошего чтения!

#unisoc #vulnerability #dos

Внимание, розыгрыш билета на OFFZone 2022!

Всем привет!

Как вы знаете, скоро будет проходить очень крутая конференция по безопасности - OFFZone 2022, которая пройдёт в Москве 25-26 августа!

И, так как я принимаю в ней небольшое участие, я хотел бы разыграть проходку на это замечательное мероприятие.

Вообще, проходок и конкурсов будет несколько, это только первый из них! Один будет творческим, второй более техническим.

Итак, суть конкурса простая, у каждого из нас есть история (или даже несколько) о самых прикольных, интересных, сложных или тупых уязвимостей, которые находились в мобильных приложениях. А может вы и сами когда-либо допускали такие ошибки?)

Расскажите об этом, как вы их искали, почему это запомнилось, что понравилось, может, даже написали статью или пост про это.

В общем любые веселые, хардкорные или интересные находки!

Писать можно в комментариях к этому посту или в наш чат c тегом #offzone1

В конце, как наберется достаточно историй (скажем, через 2 недели), я выберу ту историю, что понравилась больше всего и отдам бесплатную проходку на конференцию!

Думаю, что каждый из нас может вспомнить что-то интересное, давайте немного поностальгируем и повеселимся!

#offzone #offzone2022 #конкурс

Внимание, розыгрыш билета на Mobius!

Друзья, так как в нашем чате не только безопасники и хацкеры, но и разработчики, вашему вниманию предлагается конкурс/розыгрыш билета на оффлайн день конференции Mobius, которая пройдет чуть меньше чем через две недели в Санкт-Петербурге.

Предыдущий конкурс был про рассказ о самых запоминающихся уязвимостях, которые были найдены. Но с другой стороны, не всегда получается что-то поломать и все мы писали какие-то странные вещи в отчетах по тестированию (особенно, когда ничего не нашлось, а написать что-то надо).

Суть конкурса, которая подойдет и разработчикам и безопасникам:
Напишите в комментариях к этому посту или в нашем чате историю про самую дикую дичь, которую вы видели в отчете пентеста по мобильным приложениям. А может вы и сами такое писали когда-то?

К сообщению прикрепите тэг #mobius, чтобы я потом смог найти это в комментариях и выбрать победителя.


Ну что, посмотрим, у кого истории будут интереснее, у людей, которые ищут уязвимости или которые читают наши отчеты 😃

P.S. Так как конференция уже скоро и нужно планировать, этот конкурс продлится до среды (15 июня).

Не стесняйтесь, мы готовы к любым историям

Поехали!

#конкурс #mobius #story

Немного пятничной ностальгии

А тем временем прошло уже два года с момента создания канала! Даже немного не верится, что столько времени мне удаётся его не забрасывать :D

Спасибо, что читаете, общаетесь и создаете ту атмосферу, ради которой всё это и затевалось (в том числе)!

Я постараюсь радовать вас и в следующем году жизни хорошими материалами, конкурсами и чем-то ещё веселым))

На этой отличной новости желаю вам хороших и плодотворных длинных выходных!

🎉🎉🎉

И не забывайте писать истории, разыгрываем два билета, на оффзон и на мобиус :)

#пятница

Реверс iOS-приложений для начинающих

Отличная статья по реверсу и модификации iOS-приложений доя начинающих!

Никаких больших и тяжелых софтин, вроде IDA, дизассемблеров и прочего, только классика: otool, cycript и lldb.

Очень рекомендую всем, кто желает попробовать свои силы и начать погружаться в тему безопасности iOS. В качестве тренировки автором написано простое приложение, на котором и предлагается попробовать свои силы. Также может подойти в дальнейшем для какого-то простенького ctf или задачки на собесе :))

В общем, приятного чтения!

#ios #disassemble #lldb

Результаты розыгрыша билета на Mobius

Всем привет, как и обещал, подведем итоги конкурса!
Есть две новости, хорошая и плохая)

Плохая в том, что активных участников конкурса было не сильно много, всего несколько человек. Но ничего, думаю в следующий раз будет побольше))

А хорошая в том, что выбирать мне не придется, так как организаторы решили нас поддержать и оба участника, благодаря свои историям попадают на конференцию Mobius!

@impact_l и @artebels спасибо вам за ваши истории и поздравляю!

Скоро с вами свяжется организатор и вручит билетик 😉

Если захочется подробнее посмотреть, что ждет на конференции, то программа полностью готова и доступна на сайте конференции.

Если решили посетить конфу, то не забывайте про промокод (он действует на персональный билет, вкладка «для частных лиц» на сайте): maw2022JRGpc

🍻🍻🍻

Malware под iOS, мимикрирующая под криптокошельки

Прочитал интересную статью, посвященную разбору и анализу вредоноса под iOS, целью которого являются различные криптокошельки пользователей.

Если говорить про Android, то тут всё достаточно просто, различного вида и модификаций зловредов там огромное количество, чего не скажешь про iOS. Основная проблема тут это сложность установки приложений не из магазина и полная зависимость от Apple в этом плане.

Как же действовали в этом конкретном случае? Насколько я понял, брали оригинальное приложение, модифицировали его, добавляли библиотеку .dylib, паковали, подписывали своим Apple provisioning profile и выкладывали на фейковые домены, которые мимикрировали под оригинальные сайты криптобирж и кошельков.

Ну а далее - заманивали на сайты, люди скачивали приложение, нажимали «доверять» и пошло поехало!

В статье описаны технические подробности всего вышеперечисленного, с детальным описанием, очень рекомендую почитать и посмотреть, нечасто такое встретишь)

#ios #backdoor #crypto

Встретимся на OFFZone!

Друзья, всех, кто интересуется практическими аспектами обеспечения информационной безопасности, приглашаю принять участие и встретиться лично на конференции Offzone 2022, которая пройдет 25 и 26 августа в Москве!

Ну а чтобы точно туда попасть, не забывайте участвовать в розыгрыше билета и следить за новостями, впереди ещё один конкурс :)

И ещё, рад сообщить, что наш канал Mobile Appsec World был приглашен стать одним из коммьюнити партнеров конференции Offzone 2022. У нас не только будет отдельный тематический стенд, но и специальные активности и конкурсы с крутыми призами. Проведем CTF, посканим приложения, пообщаемся в конце-концов!

Обещаем много насыщенного и полезного контента по теме мобильной безопасности!

Подключайтесь! 😎

#offzone #ofzone2022 #stand #community

Ну и веселую картиночку любителям неона =)