​​И снова Snapchat или почему вас забанили? 😁

Я уже писал про это приложение, про реверс для получения уникального токена для взаимодействия с бэком и методам обхода проверок.

И вот ещё две интересные статьи про то, как и что проверяет Snapchat в Android приложении и в iOS версии для определения, что устройство взломано.

Ценность этой статьи в том, что некоторые проверки для меня оказались новыми и я стянул их в свои рекомендации для выявления root/jailbreak 😉

А с другой стороны, планирую добавить несколько хуков, чтобы обходить эти проверки)

В общем, крайне полезно 🤓

#Android #iOS #root #Jailbreak

​​Как заметили в нашем чате (доступен по кнопке "Обсудить"), буквально на днях прошёл Android Security Symposium, как сейчас принято, в онлайн формате 😁

Два дня интересных технических докладов про Android, которые я собираюсь на выходных посмотреть и изучить :) особенно интересено послушать про Memory Tagging for the Kernel, раньше я про такое не знал, но век живи, век учись 🤓

Первый и второй день уже доступны для просмотра! Enjoy!

#Android #webinars #conference

​​Не могу не поделиться шикарной библиотекой для реализации аутентификации в приложении по PIN-коду.

Библиотека вычисляет хэш PIN-кода с помощью функции PBKDF2 и сохраняет его в файле. Файл, в свою очередь зашифрован алгоритмом AES-256 в режиме GCM, а ключи хранятся в AndroidKeystore.

В своих рекомендациях на тренингах и после аудитов я предлагал использовать подобный подход, но теперь есть готовая библиотека, которая реализует всё за вас! 🔥

Разработчик библиотеки ведёт собственный канал @android_guards_today, на который я настоятельно рекомендую подписаться, контент авторский и очень годный! Ещё и чат есть 🤓

#Android #Cryptography #PIN

​​Всё тайное становится явным или как анализировать приложение, защищённое при помощи DexGuard.

На рынке представлены два популярных продукта, которые позволяют реализовывать различные механизмы защиты приложения, это DexGuard и DexProtector. Уверен, что их намного больше, но мне знакомы эти два.

При очень похожем функционале, мне лично больше по душе DexProtector, так как с ними не было случаев сильного повышения цены после года использования, да и документация приятнее.

И не зря, как оказалось 😁
Крайне интересный цикл статей по механизмам работы проверок в DexGuard и, самое главное, о недостатках и способах всё это обойти! 😱

#Android #DexGuard #DexProtector #Encryption #Obfuscation

​​Очень интересно наблюдать, как кто-то анализирует известные приложения и описывает свои находки.

Так и в случае с приложением Nike Run Club - исследователь задался целью выковырять данные из API и преобразовать их в удобный для себя формат. Но, приложение генерировало уникальную строку для авторизации и это нужно было обойти 😁

Хорошая статья про реализацию своей идеи, заодно и навыки Frida прокачать 😉

#Android #NikeRunClub #Revers #Frida

​​А вот и новый выпуск Хакера подоспел, в главной роли - Android!

В выпуске:
- Исследование IPC Android и хукинг нативных библиотек
- Безопасность Android от первой до одиннадцатой версии
- Боевой смартфон. Делаем из устройства с Android «хакерфон» с помощью Termux и Kali

В целом, почитать за чашкой чая вполне можно, тем более материал на русском, что редкость в наше время 🤓

#Android #Xaker #Books

Сложная для моего понимания, но от этого не менее интересная статья про фаззинг Android NFC.

Автор рассказывает, какие подходы н применял и объясняет некоторые вещи, которые могут помочь при написании собственных шаблонов и обвязки для различных фаззеров. Кстати, результатам такого теста стала пачка CVE, которые успешно отработали в Google.

На моей памяти, мы несколько раз использовали фаззинг нативных библиотек, но обычно это были различные обработчики изображений и медиа. Нашли много багов благодаря такому подходу и их успешно пофиксили. Мы использовали тоже классную штуку - AFL (American Fuzzy Loop). Очень удобный и мощный в кривых умелых руках фаззер.

#Android #NFC #Fuzzing #Tools

​​Процессинг изображений, их сжатие, обработка и операции с ними всегда вызывают какую-то странную боль, особенно у программистов 😄

Исключением не стал и Android, достаточное количество уязвимостей и проблем связаны именно с обработкой media (изображений, гифок, видео и т.д.). Очень показательная бага, если вы пропустили - выполнение произвольного кода при обработке изображения.

Но сейчас не о ней, а о цикле статей, касающихся уязвимостей в библиотеке Samsung, отвечающей за процессинг изображений.

Очень подробно и интересно описано. Плюс ко всему автор продолжает описывать свои приключения и выпускает продолжение))

#Android #ImageProcessing #Vulnerability #Research

Нашли тут гайд по практикам безопасного программирования на Kotlin от нашего партнера - Checkmarx!

В целом, достаточно неплохой базовый гайд, разобраны категории из OWASP Mobile Top 10 на примере уязвимого приложения Goatlin. Кстати, на нем можно потренироваться в поиске уязвимостей или проверить разные сканеры.

Можно рекомендовать к прочтению, тем, кто еще плотно не знакомился с Kotlin, ну или устроить на основе этого приложения простой CTF для разработчиков, немного его доработав.

Enjoy!

#Android #Kotlin #Guide

​​Нашёл недавно хороший разбор прохождения уязвимого приложения под iOS - Damn Vulnerable iOS Application v2.

Само приложение хорошо тем, что написано на Swift и даёт возможность попробовать поискать все уязвимости из категории OWASP Mobile Top 10. Причём, как в рантайме, так и по коду.

Автор же в своем обзоре детально расписывает, как именно решить все задачи и пройти все уровни в этом учебном приложении.

Опять же, его можно использовать, как базовый CTF для разработчиков. Но лучше немного допилить, чтобы по этому найду нельзя было один в один пройти))

#iOS #DVIA #Swift #CTF

Присоединяйтесь, поговорим за AppSec :)

В пятницу, 24 июля, будем говорить про SSDLC с Юрием Шабалиным (@Mr_R1p). Обсудим это явление как таковое и кому оно может пригодиться. Поговорим про инструменты и подходы, которые помогут в построении SSDLC и попробуем поразбирать реальные кейсы применения.

Это будет прямой эфир, так что готовьтесь задавать вопросы.

https://youtu.be/EGB8mstJlyA

​​Я не очень люблю писать про разборы очередных зловредных приложений под Android. Как правило, они используют одни и те же техники, которые существуют уже давно, надесь на доверчивость пользователя или его желание во что бы то ни стало посмотреть на котиков.

Обычно, такие зловреды не несут в себе никакой функциональности для пользователя, а всего лишь пытаются получить данные пользователя, украсть смс и прочее. Мой фаворит - это фейковое приложение "Все банки в одном приложении", которое имела внутри себя 1 activity с возможностью выбрать банк для подключения и формочкой для данных карты. В зависимости от выбранного банка менялся фон - зеленый, красный, желтый.. При этом, GooglePlay рекомендовал его мне для установки и он был в топе скачиваний 🤦‍♂️🤦‍♂️

Но есть и исключения из правил, и об одном таком приложении написали коллеги из Eset. Приложение с полным функционалом мессенджера, которым пользовались люди и которое, помимо основного функционала, имело несколько интересных побочных функций :)

Достаточно легкий и в какой-то степени интересный обзор 😄

#Android #Malware #ChatApp

​​Недавно я писал про статью об уязвимостях в библиотеке для обработки изображений в телефонах Samsung.

Сегодня вышла вторая часть про то, как именно исследователь нашёл все эти уязвимости и как именно проводился фаззинг!

Много текста и кода, но это того стоит!

#Android #Samsung #Fuzzing

​​Всегда было безумно интересно, как создавались эксплойты для iOS, ведь для того, чтобы понять, описать и связать воедино все элементы атаки, нужно понимать систему досконально.

И вот, в этой статье описывается, как именно проходит работа над созданием готового эксплойта. Примечательна эта статья как раз своим обучающим подходом. Цель простая - берём публичные, хорошо описанные уязвимости и создаём из них готовый эксплойт. Все шаги по подготовке окружения, описание триггеров для различных процессов, всё это детально прописано.

Безумно интересно и познавательно, хотя я скорее это и не повторю 🙈

#iOS #Exploits #Vulnerability #Learning

​​Интересное ближе, чем может оказаться. Я люблю приложения, это намного удобнее и быстрее, чем открывать сайт, например. Уже не помню, когда последний раз заходил в онлайн банк :)

Но какие скрытые функции могут быть в приложениях, о которых мы не подозреваем? Это в продолжении истории с мессенджером-шпионом.

Сегодня с огромным интересом прочитал статью про анализ приложения для Дронов компании DJI.

Занятно, что автор сопоставляет использованные технологии в приложении с аналогичными в различных малварях. Тут тебе и встроенные обновления, и доступ ко всему, до чего можно дотянуться, и общение с управляющим центром 😁
Ну и конечно, описание, как он обходил шифрование и защиту приложения 🤓

Почитайте, правда очень увлекательно!

#Android #Analysis #DJI

​​Специально для ленивых и для тех, кто все время лезет в гугл, что бы посмотреть правильную команду в консоли (каждый раз так делаю, когда нужно архив распаковать в линуксе 🤦‍♂️).

Утилита для упрощения работы с adb, так же имеет связку с некоторыми модулями metasploit для Android, поставляется в виде bash-скрипта.

Ничего сверхъестественного, но может быть полезна в ряде случаев

#Android #Tools #Metasploit

​​Нашёл занятную утилиту, которая позволяет быстро и достаточно просто получать данные об используемом шифровании (алгоритм, его параметры, ключ и т.д.).

Работает через патчинг приложения и только, если используется стандартный SecurityProvider .

В ряде случаев может помочь быстро получить необходимые данные и поискать где-то ключик 🔑

#Android #Tools #Crypto

​​Третья часть цикла статей про эксплуатацию уязвимостей в обработке изображений на Samsung.

Автор рассказывает, как ему пришла идея, после пачки багов найденных фаззингом написать эксплойт, который бы мог бы работать без взаимодействия с пользователем. Отправляешь MMS сообщение на телефон, жертва получает его, пытается обработать изображение и всё, профит 😎
То есть, сообщение даже не нужно открывать!

На самом деле, с удовольствием слежу за этим циклом статей, написано увлекательно и получается прямо целая "история одного эксплойта" 😁

#Android #Fuzzing #Exploit #Samsung