Introduction to Security of Mobile Applications for Android

Всем привет!
Не так давно вышло отличное видео про введение в безопасность Android-приложений.

Очень советую всем, кто хотел бы вкатиться в эту область или расширить свой кругозор относительно разработки. В примерах, которые приводит Игорь в своем докладе, он рассматривает как раз написанное нами уязвимое приложение Secure Notes, которое мы публиковали на OFFZONE в качестве CTF.

На мой взгляд это отличный пример того, как на реальном приложении рассматриваются самые различные проблемы безопасности и объясняется, как их недопустить (ну и способы эксплуатации, конечно).

И помните, мы обещали выложить некоторые подробности того, как устроено приложение внутри, какие были баги и что мы еще вспомним об этом приложении? Я очень надеюсь, что скоро мы выпустим интересную статью про наше замечательное приложение.

Игорь, Лина, спасибо вам за контент и приложение 😄

#securenotes #android #video #training

Обучение в ИБ и не только

Всем привет, недавно пообщались с уважаемыми людьми про обучение, про кадры, про разные курсы и все, что с этим связано. Как по мне получилось очень даже классно :)

Старт в анализе iOS-приложений

Всем привет, не так давно, на встрече обсуждали, что для iOS не так много материала и вкатиться в их анализ намного сложнее.

И это действительно так, анализ iOS сложнее для входа, из-за особенностей самой платформы, которая не очень-то предоставляет интерфейсы для взаимодействия приложений между собой. Они, конечно есть, но их намного меньше, чем в том же Android. Ну и конечно это формат самих приложений. Нельзя просто так взять и декомпилировать iOS-приложение, получила читаемый код, в котором относительно просто ориентироваться. Для яблока это работа с дизассемблерами и бинарщиной.

Но на самом деле, материалы есть и вот несколько статей из серии, как начать:

Часть 1. Про установку твиков, сидит и прочие базовые штуки.

Часть 2. Тут про стандартные проверки, как их выполнять разными способами через разные инструменты.

Часть 3. Тут про обход джейлбрейка, про отключение пиннинга и чуть-чуть про флаттер.

Статьи весьма базовые, но дают первое представление, как работать вообще с такими приложениями.

От себя лишь добавлю, что не увлекайтесь особенно твиками, некоторые из них могут либо окирпичить ваше устройство, либо повлиять на работу других твиков из-за конфликтов.

#ios #start

Эксплуатация уязвимости выполнения кода на уровне ядра через функционал OTA Update в MacOS

Доклад из разряда «Ничего не понятно, но очень интересно!».

Для начала материалы:
1. Слайды с доклада
2. PoC для энтузиастов
3. Видео демонстрация

К сожалению, мне не довелось еще изучить механизмы безопасности операционной системы MacOS, в частности, защиту SIP и прочие околосвязанные вещи. В теории я более менее понимаю, как оно работает, но пока что, все что я делал, это отключал SIP :)

Надеюсь, эти материалы будут полезны тем, кто вплотную работает с этим направлением. Ну а остальным, в качестве расширения кругозора :₽

#macos #ace #kernel

Подборка историй о взломах мобильных приложений

Всем привет!

Недавно пришла в голову идея составить небольшую подборку из громких в свое время историй про взлом мобильных приложений. То есть о тех историях, которые получили публичную известность благодаря СМИ и немного пошумели.

Мне кажется, что получилось достаточно неплохо, по крайней мере мне самому было интересно ее перечитать после публикации.

Так что приятного и легкого чтения =)

#news #vulns

Участие в премии

Всем привет!
Наш продукт "Стингрей" первый раз участвует в Национальной Банковской премии 2023 в номинации "Информационная безопасность".

Никогда раньше в подобных вещах не участвовал, но это оказывается достаточно волнительно 😄

Если есть желание, поддержите нас своим голосом, пожалуйста:
https://nbp.nbj.ru/v68/

Спасибо большое!

Обход SSL Pinning во Flutter-приложениях

Всем привет!
Давно не было интересных новостей и вот самая актуальная тема всех чатов - обход пиннинга!

На этот раз это видео про обход этого во Flutter-based приложениях. И это весьма интересно, так как Flutter внутри себя использует несколько другие подходы и стандартные скрипты по снятию защиты не работают.

К сожалению, это видно на английском от индуса с классическим акцентом, который надо уметь слушать, моего терпения не хватает, а сожалению.

А вообще в канале достаточно много интересных видео на тему анализа мобильных приложений и использования Frida и других инструментов. Тае что, кому заходит видео-инструкции и кто выдерживает индусский акцент, может быть достаточно интересно.

#android #pinning #flutter

Как на самом деле магазины приложений проверяют ваше приложение на уязвимости перед публикацией.

Всем привет!

Не могу не поделиться, хоть и из отпуска, нашим исследованием.

Как вы помните, на OFFZONE мы проводили CTF, в котором было представлено приложение с реальными уязвимостями. Тогда я обещал, что мы о нем еще поговорим. Время пришло 🙂

Мы загрузили наше уязвимое приложение во все популярные магазины, наблюдали за процессом их публикации и тому, какие проверки наше приложение проходило.

Исследование призвано ответить на несколько вопросов. Первый - это доказать, что надеется на проверку сторов при публикации и замещать этим аудиты безопасности приложений и средства по анализу защищенности нельзя.

Второй - выяснить, насколько магазины приложений выполняют свои обещания по проверке приложений на безопасность.

Сразу скажу, что к тем сторам, где нет ни слова об анализе приложений на безопасность, вопросов никаких и нет. Однако к тем, которые эту проверку обещают, есть большой вопрос.

Исследование касалось именно проверки на уязвимости и недостатки в приложении, но никак не проверке на вирусы, рекламу и прочее, что любой уважающий себя магазин и так делает.

Статья выше разделена на две части:
- Первая рассказывает о нашем приложении, как оно устроено, какие проблемы мы в него закладывали, к чему они могут привести. Давно планировали это написать, но решили совместить, так что всем, кто решал наш CTF и хотел посмотреть, что было еще, добро пожаловать!

- Вторая часть касается уже непосредственно анализу проверок магазинами, что они обещают и как это выглядит на самом деле. С датами заявки, проверок и публикаций.

Выводы делайте сами, но на мой взгляд, все достаточно просто, нельзя доверять проверку своего приложения на безопасность магазинам приложений, чтобы они не обещали.

И если когда-то вам скажут о том, что аудит не нужен, так как есть проверки на стороне магазинов, просто покажите им эту статью.

Лайки, репосты и прочие активности очень приветствуются!

Ну а я дальше отдыхать 🌴🏝️

#research #android #googleplay #ctf

Кастомные сборки Android

Всегда было интересно послушать про различные кастомные сборки Андроидаиз АОСП, особенно, нацеленные на приватность/безопасность.

Сильно опыта в этом нет, но интересно очень :)

И вот, наш знакомый будет делать доклад, посвещенный этому направлению.
Очень надеюсь, что будет трансляция или запись ;)

RutheniumOS. Забота о себе, или зачем нужна ещё одна приватная ОС на базе AOSP

DC7831 / DEF CON
Ждите в Нижнем Новгороде 24-25 февраля 2024 года

В докладе разберем следующие темы:
- Любовь и корпорации, или откуда взялись неофициальные прошивки.
- Открытость != приватность: какие сервисы AOSP передают информацию в Google.
- А давайте соберём AOSP: вода под камнями, опыт портирования.
- Сапожник ходит без рута: как после вольностей в настройках вернуть себе прежнюю безопасность ОС Android.

Не могу не поделиться монументальной работой.

Пока что не изучал, но планирую на неделе рабочей обязательно почитать и сделать небольшую выдержку. Приятно, что такие материалы появляются, спасибо автору!

Такая вот работа получилась. Большая статья про шифрование в Android и атаки на него.

С наступившим!

Всем привет, со всеми прошедшими, наступившими и ближайшими праздниками!

Очень сожалею, что не успел и не осилил написать длинный и красивый пост по итогам года, как все прошло, как было и что запомнилось. Каюсь, конец года был нереально сложным, но очень интересным! Поэтому и немного пришлось канал подзапустить. Но ничего, новый год приносит нам новые силы на новые свершения! И я все-таки добрался до новогоднего поздравления!

С праздниками вас, друзья мои! Хочу пожелать, чтобы в этом году у всех осуществлялись их желания и достигались поставленные цели, и главное, чтобы вы и ваши близкие были здоровы и поменьше болели!

Мне этот 2023 запомнился большим количеством разных активностей, исследований и экспериментов! Отдельно хочу поздравить команду «Стингрей», ребята и девушки, вы самые лучшие, мне безумно повезло работать с вами и создавать этот продукт!

Спасибо и всем, кто читает этот канал и кому небезразлична безопасность мобильных приложений, вместе с вами мы делаем безумно важное дело, повышаем безопасность нашей «мобильной» жизни!

Что сказать, в этом году я жду еще больше драйва, движа, конкурсов, активностей и разных исследований) Постараюсь чаще радовать контентом, не забывать постить интересные инструменты и статьи, постараюсь делать это системно 😅

Так что, удачи всем в этом году, пусть он будет интереснее, позитивнее и продуктивнее, чем все, что было до этого!

С наступившим 2024 годом!

#happynewyear

Pending Intents, что это и зачем?

Крайне полезная статья про механизм Pending Intents в Android, которая очень хорошо структурирована.

Люблю такие материалы, сначала теория, затем разъяснение, для чего этот механизм используется в легитимном плане и далее материал, как это может повлиять на безопасность и как такие вещи можно искать.

Была похожая статья от Oversecured, на которую ссылается в том числе и автор материала, так как что тем, ето хочет глубже погрузиться в эту область рекомендую изучить и ее тоже.

#android #intents

Много полезных видео для реверса

Решил я пересмотреть видео и глянуть, а что там ещё интересного у автора в видео лежит.

А там крайне много интересной информации, начиная от начального уровня (анализ и структура файла Info.plist), заканчивая весьма сложными вещами (на по крайней мере для меня), как пример - Ghydra Scripting.

Так что всем любителям и профессионалам реверса, которым заходит видео-контент, крайне рекомендую.

#YouTube #reverse

Azeria Labs - обучение реверсу

Тут в комментариях подсказали еще один отличный ресурс по реверсу - Azeria Labs.

У них есть приватный контент, куросв и книги за деньги, но в тоже время есть и открытая часть, которая на первый взгляд очень насыщенная.

При этом есть и общая часть и статьи непосредственно относящиеся к iOS, например:

1. HEAP EXPLOIT DEVELOPMENT – CASE STUDY FROM AN IN-THE-WILD IOS 0-DAY

2. HEAP OVERFLOWS AND THE IOS KERNEL HEAP

3. GROOMING THE IOS KERNEL HEAP

Так что будет интересно и людям, кто занимается мобилками и всем, кто занимается реверсом.

#reverse #ios

Анализ Android-трояна GodFather

Чем еще заняться в старый новый год? Конечно же, поизучать разные малвари :)

Пример разбора одного из классических примеров зловреда, сочетающий в себе функции перенаправления смс и звонков для обхода 2фа, записи экрана, оверлеев и прочих заурядных вещей описан в статье.

Что сказать, на месте авторов я бы поизучал безопасность приложений.. Например, ужасная функция защиты от работы на эмуляторе, ключ шифрования 'ABC', зашитый в коде, не очень хорошая обфускация (судя по скринам), как-то не впечатляет :)

И еще одна интересная статья по этому же троянцу от Group, которая описывает немного другие аспекты, есть как технические, так и поведенческие моменты, но все равно очень интересно почитать.

Хоть и не сильно мне нравятся подобные темы, но иногда можно и посмотреть, что скрыто внутри малвари, попадаются иногда очень технически интересные экземпляры и статьи по их разбору :)

Всех с наступающим старым новым годом!

#Android #Malware #godfather

Новая атака на цепочку поставок: Java и Android под ударом!

Буквально на днях компания Oversecured выпустила потрясающую статью про новую атаку на цепочку поставок. В этот раз под ударом оказались Java-пакеты и, конечно, под раздачу попал и Android...

Способ атаки крайне прост и изящен. Для того, чтобы загрузить новую версию или измененную старую в репозиторий, например, MavenCentral необходимо подтвердить, что ты это ты. Как это сделать? Перевернуть имя пакета и на указанном домене разместить dns-запись.

К примеру, пакет com.stingray.mobile превращается в домен mobile.stingray.com. И, добавив несколько полей в TXT-запись мы получаем верифицированный аккаунт, который может загружать новые и обновлять существующие версии.

Но как правило, при смене имени пакета случается так, что про старый домен забывают.. Или вообще домен уже давно разделегирован.

Суть атаки в покупке домена, регистрации себя, как собственника библиотеки и заливанию новой/обновленной версии с зловредной нагрузкой в репозиторий. Вуаля, и все проекты использующие эту зависимость или выкачивающие ее как транзитивную получают к себе бомбу замедленного действия...

Идеальный план и более того, ребята провели исследование всех библиотек в нескольких репозиториях и получили крайне интересные цифры по уязвимым либам:
1. По доменам: 3,710 or 14.18%
2. На основании приватных github-репо: 291 or 3.86%

Крайне интересные цифры.

Снимаю шляпу перед исследователями такого уровня :)

Я думаю, что скоро нас ждет интересное продолжение :)

#oversecured #supplychain #android