Сегодня было сдано очень мало отчетов, поэтому хочу немного прояснить смысл конкурса и помочь вам начать копать в правильном направлении.

В приложении бесполезно (почти) искать всякие стандартные уязвимости, к которым большинство привыкло. Основной фокус - реверс. В том числе бинарный. Кроме этого нужно немного быть в курсе различных механизмов работы Android и библиотек для разработки приложений. Поэтому, если вы совсем новичок в исследовании мобильных приложений, то может быть немного сложно. Но это не повод опускать руки. Для новичков там тоже есть несколько уязвимостей, нахождение которых не требует каких-то исключительных скилов. Просто внимательность и понимание модели угроз для мобилок.

Ожидается, что участники глубоко погрузятся в некоторые сценарии работы приложения и найдут в них недочеты, которые, при должном упорстве, можно превратить в critical баги.

Чуть позже будут опубликованы подсказки для тех, кому совсем не приходит в голову никаких мыслей. Также, прошу вас написать какие сложности возникают при анализе этого приложения. Попробую сделать какой-то ликбез по итогу чтобы этих сложностей больше не возникало.

Время еще есть. Reverse must go on ;)

Как стоит подходить к проверкам окружения и сбору метрик приложения

Недавно обсуждали о том а вообще можно ли подходить к проверке безопасность финансовых приложений без сбора метрик в которые входят проверки окружения. И моё мнение что нет - метрики нужны для многого : проверка что пользователь не бот , проверка что у пользователя нормальный девайс , проверка для аналитики...
Этот сбор информации нужен иногда и для безопасности пользователя - например в случае когда вы просите вернуть деньги которые застраховали и приходите и пишите что ваш телефон взломали как думаете куда будет смотреть банк? 🙂

На основе метрик и аналитики строится антифрод мониторинг и другие подобные методы защиты

На PhD начинающим исследователям под iOS посоветовали обратить свое внимание на вот эту библиотеку https://github.com/nmilcoff/IOSSecuritySuite
И казалось бы все здорово , но есть её вариация лучше https://github.com/securing/IOSSecuritySuite
Тут разрабочики поддерживают актуальные проверки и стараются чтобы применимость была побольше.

Конечно не стоит использовать эти проверки в виде как есть - динамический анализ прекрасно их отломает(вангую кто-то уже написал плагин magisk для этого). Желательно чтобы используя описанные в этих проверках вектора - вы модифицировали логику работы функций добавляли логику которая усложняла бы анализ и поверх накидывали обфускаю или упаковщики.

У некоторых мобильных приложений я видел ещё более интересную и "безопасную" реализацию:
Весь код проверок вынесен в отдельную библиотеку и код вызова этих проверкок тоже собран в одну функцию CheckDeviceSecure которая возвращает True или False.
Насколько долговечным и надежным было бы подобное решение - ровно до того момента как кто-то не открыл бы Jadx и не скопировал от туда frida хук поменяв возвращаемое значение на нужное для прохождения проверок.

Не стоит класть все яйца в одну корзину: раскидывайте проверки в разные классы и места кода , дублируйте и модифицируйте. Тут подход должен быть как будто вы специально пишите уцуцуга таск на CTF, чтобы злоумышленник просто задолбался выпиливать и обходить. Ваша задача написать уцуцугу которую вы бы решали несколько месяцев, а ещё желательнее лет.

Нашли фрида скрипт который ломает вашу проверку - сломайте скрипт злоумышленнику модифицируя стандартную функцию. Заставьте человека реверсить и страдать при реверсе. Чем больше страдает злоумышленник тем лучше вам - потому что вероятность что он все бросит и пойдёт ковырять другую прилу выше 🙂

Защищайте канал по которому вы передаёте метрики и результаты проверок.
Шифруйте канал внутри https и всячески припятствуйте исследованию трафика ваших приложений.

Безопасность это пирог с множеством слоёв и на каким из слоёв злоумышленник устанет есть зависит только от вас 🙂

Как AI-ассистенты открывают всему миру вашу почту и календарь

Всем привет!
Сегодня безумно популярна тема различных AI-агентов и в частности персональных AI-помощников, эдаких «Джарвисов» на минималках.

Эти помощники умеют читать и отправлять почту, ставить встречи в календарь и напоминать нам о них. И все это через удобный и привычный Телеграм!

Офигенно удобно, полезно и всячески ускоряет и упрощает нам жизнь! Если бы не одно но..

О том как создать такого ассистента и подключить его к своей почте есть огромное количество материалов, особенно видео на Youtube. Я посмотрел 10 наиболее популярных видео, у которых в сумме набирается около 700 000 просмотров.. И во всех есть один и тот же косяк!

Из-за неправильной настройки телеграм-тригера написать вашему «Джарвису» может кто угодно! И абсолютно также получить данные о письмах, контактах, встречах, написать письмо всем контактам и т.д. Любой человек, кто найдет вашего бота может получать любые данные! А учитывая, что многие сервисы осуществляют сброс пароля через подтверждение на почту, это может быть еще интереснее!!

Одна маленькая, скрытая настройка ставит под очень большой удар всю конфиденциальную информацию, что у нас есть 🎉

Я написал об этом небольшую статью и даже записал коротенькое видео, которое показывает, как это работает!

Надеюсь вам будет интересно узнать поподробнее, как это работает и как сделать вашего «Джарвиса» только вашим :)

До связи!

#aishe4ka #aiassistant #n8n

Не верю я в магическую одну кнопку, а вы?

BrutDroid — Android Security Toolkit that automates tedious emulator setup with one command (emulator, Magisk, Frida, Burp certificates, etc.)
https://github.com/Brut-Security/BrutDroid/

А вот это очень даже рабочая идея, особенно для кастомного SSL Pinning, когда в коде прописываются кастомные методы доя OkHttp, например и без ручного анализа напрямую не отключишь.

Мы тоже для разных проверок так делаем, комбинация анализа smali и динамики, очень действенный метод и, наверное, единственно возможный.

Ещё один вариант автоматизации рутины https://github.com/thecybersandeep/frida-script-gen
Скрипт для автогенерации обхода проверок на root и отключения ssl-pinning

Автор насколько я понял планирует поддерживать эту тулзу - возможно получится что-то удобное

Срочное включение. Там на Y и на Пикабу Реддите говорят всё плохо, дни AOSP сочтены, GrapheneOS умер и RutheniumOS приуныл, даже земля на небесную ось налетела, короче ужас. В связи с этим хочу внести ясность.

Google не убивает AOSP — но просто меняет его в худшую сторону, как обычно

Что говорят Google

«Ходят слухи, что AOSP будет свёрнут. Чтобы было ясно: AOSP никуда не исчезает. Он создавался как платформа для open-source реализаций устройств, чипов и архитектур. Мы продолжаем поддерживать референс-цели — виртуальный Cuttlefish и GSI — для тестирования и разработки.»
— Seang Chau, вице-президент, Android Platform
Источник

Что происходит

— Google больше не публикует device-tree, бинарники и историю коммитов для Pixel.
— Сборка полноценного AOSP под Pixel невозможна без ручной реконструкции.
— Основная разработка Android теперь идёт в закрытой ветке — в AOSP попадает только финальный код с задержкой.

Что говорят GrapheneOS

«Нам сообщили, что AOSP закроют. Первый шаг — удаление Pixel-репозиториев в Android 16. Тогда мы не поверили, но теперь это происходит. По словам источника, официальный Android становится закрытым. Возможно, AOSP продолжится вне Google или проект отделят. Всё ещё может измениться, если Android выведут из-под контроля Google.»

Почему это важно

— Без истории коммитов теряется прозрачность и возможность аудита.
— Разработчики ROM'ов теперь должны вручную воссоздавать device-trees.
— Задержки в выкладке патчей снижают скорость реакции на уязвимости.
— AOSP превращается из основы в производную — без гарантии актуальности.

Резюмируя: AOSP и прошивкостроение пока живо — но проблем явно прибавится.

Внимание, вакансия!!

Всем привет!
Мы ищем к себе в команду опытного специалиста в мобилках!

https://hh.ru/vacancy/121675622

Предстоит много интересной работы, пентестов, аналитики и исследований! В основном Android-приложения предстоит ковырять)

Можно откликаться на hh или писать напрямую мне @Mr_r1p

Очень ждем вас у нас, в наш уютный коллектив :)

Загрузка из AppStore снова работает!

В целом, в заголовке все и сказано :)

Снова работает интеграция с AppStore и снова mdast-cli работает корректно со всеми магазинами приложений и системами дистрибуции!

Так что качайте, устанавливайте спокойно и без проблем!

#ios #appstore #mdastcli

Всем, кто любит квизы

Так получилось, что я и моя семья очень любим квизы и викторины :)

И для того, чтобы играть в них и не зависеть от непостоянства разных ботов, я решил сделать свой небольшой канал, который посвящен квизам)

Всё просто, один вопрос, 4 варианта ответа, режим викторины и через полчасика публикация ответа с пояснением. Получилось очень прикольно, особенно с пояснением, узнаешь много новых вещей)

12 вопросов каждый день, вечером сверяем, кто лучше всех справился :)

Если вам интересно, присоединяйтесь!

Сообщения приходят без звука, так что отвлекать сильно не будет :)

Массовая утечка 16 млрд паролей: криптоопасность

🔥 Внимание всем! Недавно в информационном пространстве появилась тревожная новость: утекли 16 миллиардов паролей, включая данные от таких гигантов, как Apple, Facebook и Google. Этот инцидент вызывает серьезные опасения, особенно для крипто-энтузиастов, где безопасность является ключевым звеном!

🔒 Что это значит? Если вы пользуетесь криптовалютными сервисами, то ваша безопасность напрямую зависит от надежности пароля. Постарайтесь обновить свои данные и не забывайте применять двухфакторную аутентификацию (2FA) для дополнительной защиты.

💡 Поддерживайте бдительность и регулярно обновляйте меры безопасности, чтобы ваши активы были максимально защищены.

Сноски:
[1] 16 млрд – сокращенно от 16 миллиардов.
[2] 2FA (двухфакторная аутентификация) – метод защиты, требующий подтверждения входа через дополнительное устройство или код.
[3] Apple, Facebook, Google – мировые технологические гиганты, предоставляющие широкий спектр интернет-сервисов.

Источник: https://cointelegraph.com/news/16b-passwords-from-apple-facebook-and-google-leaked

#CryptoRadar #КриптоРадар #Криптовалюта #Cryptocurrency #CryptoNews #CryptoDigest #CryptoAnalytics

Массовая утечка паролей

Только ленивый еще не написал про «самую крупную» утечку…

Ну, объективно, никакой конкретики, только общие фразы про свежие данные в продаваемых данных.

как обычно, похоже на очередной хайп и очередную склейку из кучи прошлых дампов и может пары новых)

Мы все умрем, меняйте пароли!

На самом деле, если так подумать, то распиарив эту новость, если хоть часть людей поменяют пароли в основных сервисах, то может это и неплохо на самом деле..

Вот это прям в точку :D

Иногда я жду крупных утечек паролей, чтобы оттуда узнать, какие у меня пароли

esReverse для анализа дампа конкретных функций

Что-то мы все про AI, да про ИИ, пора уже и руками поработать!

И сегодня рассмотрим очень интересный подход для анализа интересующих функций в Android-приложениях с использованием esReverse.

Зачем всё это?
Полноценный эмулятор Android удобен, но он тяжёлый, съедает гигабайты и не подходит (ну или надо с-и-и-и-льно постараться), как только приложение проверяет «железо». Например, когда приложения требуют TrustZone, SIM-карту, Bluetooth или NFC..

Идея: использовать Frida на живом устройстве как «видеокамеру» для кода. Модуль Stalker в Frida фиксирует каждую инструкцию и доступ к памяти, перекидывает их в маленький Python-мост, а тот пишет файлы trace.bin, trace.cache и memhist.sqlite — формат совместим с Time Travel Analysis в esReverse.

Что получаем?
Записываешь ровно нужный участок (например, одну JNI-функцию); trace на тысячу инструкций делается меньше чем за минуту. Затем открываешь файл в esReverse и отматываешь выполнение вперёд-назад, видя регистры и память «кадр за кадром» — как в видеоплеере, только для ассемблера.

Один раз снял — дальше анализируешь офлайн, без постоянных перезапусков приложения.

Вообще, интересный подход, когда дампишь чисто нужную функцию и исследуешь. Я пока не пробовал, но звучит интересно!

По крайней в мере в статье ребята хорошо прям описали принцип работы. Хоть и многое остается непонятным, пока не попробуешь, но читать интересно!

Надеюсь те, кто использует, подскажет, стоит ли оно того?))

Всем отличных выходных!

#frida #reverse

Периодически всплывают вопросы про нашу тематику))

присоединяйтесь)

https://www.tgoop.com/quiztimebraintrain