اندروید | امنیت و هک

سلام بچه ها
روی یه اپ سیستمی سامسونگ یه الگوی خطرناک مشاهده شد و رفتیم برای تست تا exploite کنم
اما متاسفانه security policy android 16جلوم رو گرفت و نشد که بشه یه باگ و گزارش

اما ادامه میدیم تا به باگ برسیم.
کل کار رو براتون یه فایل htmlاش کردم دوست داشتید بخونید و بررسی اش کنید.
اگر هم جایی بنده اشتباه کردم بگید تا شاید درست بشه و بشه گزارش اش کرد.

@androidSec_fa

اون تنظیمات اولش به این صورته که به صورت کلی فعال می‌شه و نیازی نیست که برای هر اپ فعالش کنی و برای اینه که آقا من وقتی پشت گوشی هستم و دارم به گوشی نگاه می‌کنم قفل نشه لطفاً گوشی.

و اینکه صفحه قرمز میشه یعنی پشت گوشی نیستم یا دستمو گرفتم جلو دوربین و موقعی هم که سبز میشه یعنی دارم قشنگ به صفحه دوربین یا موبایل نگاه میکنم.

تصویر خودمو نمی‌تونید ببینید فقط کپچر خود اپلیکیشنی که گذاشتم.

توضیحات ویدیو رو کلیک کن تا بتونی ببینی

📢 آیدی کانال: @androidSec_fa

سلام دوستان ما یه مقدار خوشحال شده بودیم که یه باگی رو سامسونگ تونسته بودیم بزنیم اما متاسفانه سامسونگ در کمال ناباوری بهم گفتش که این یه فیچره که برای کلاینت‌ها گذاشتیم.

باگ چی بود باگ به این صورته که یه اپلیکیشنی هستش به صورت third-party وقتی که روی موبایل نصب میشه می‌تونه بدون اینکه دسترسی دوربین بگیره از طریق یه اپ سیستمی داخل گوشی‌های سامسونگ متوجه بشه که کاربر الان پشت موبایل هست یا نیست.

حالا ویدیوشم پایین براتون می‌ذارم این کلاً یه مدل برمی‌گردوند یعنی یا صفر یا یک.

اگر مثل دارم میگم من به گوشی نگاه می‌کردم یک می‌شد اگر چشم را از گوشی برمی‌داشتم صفر می‌شد و حتی اگر دستمو جلو گوشی می‌ذاشتم یا جلوی گوشی وای نمی‌ایستادم همون مقدار یک رو برمی‌گردوند که یعنی یک نفر پشت موبایل هستش و داره با موبایل کار می‌کنه و حواسش به موبایل هست.

اما متاسفانه به اصطلاح میشه گفت working as intended خورد و جواب نداد.

به قول یکی از دوستان انشالله که توش نکرده باشن😂.

ولی ما ادامه داریم مثل بارون می‌باریم😊 میریم تا برسیم به باک و پوللل.

@androidSec_fa

سلام بچه‌ها گیت هاب کوپایلت اومده یه ابزاری رو ایجاد کرده به نام Taskflow Agent که به محققان امنیتی اجازه میده فرایند پیدا کردن آسیب پذیری رو خودکار کنند.

تو این مقاله که من لینکشم رو هم براتون گذاشتم اومده چگونگی کانفیگ کردنش و پیاده سازیش رو گفته حالا میشه برای بحث اندرویدم خیلی سفارشی درستش کرد و روی اپلیکیشن‌های اندرویدی کار کرد.

روی دو تا اپلیکیشن اندرویدیم گزارشی نوشته یکی ویکی پدیا که از طریق deeplink تونستن بیان chain کنند و به ATO برسند. یکی هم توی اپلیکیشن OsmAnd که از طریق activity که exported=true بوده تونستن برم تنظیمات اپلیکیشن رو تغییر بدن.

علاوه بر اون حدود ۲۴ اپلیکیشن اندرویدی رو نوشتن که تونستن آسیب پذیری توش پیدا کنند به همراه CWE و شدت آسیب پذیریشون.

من لینک مقاله رو گذاشتم راستشو بخواید من خودم از کلاس استفاده می‌کنم و خوب دارم باهاش جلو میرم.

خواستید برید بررسی کنید ازش استفاده کنید.

🔗 لینک مقاله:
https://github.blog/security/how-we-found-24-android-vulnerabilities-using-our-open-source-ai-security-agent/

📢 آیدی کانال:
@androidSec_fa

#Android #Security #AI #GitHub #Vulnerability #AppSec #MobileSecurity #اندروید #امنیت #هوش_مصنوعی #آسیب_پذیری

سلام بچه‌ها این یک مقاله جدیده که Cleafy Labs منتشر کرده که داخلش اومده بدافزار RATHat رو بررسی کرده.

مدلش اینجوریه که دیتای داخل موبایل رو می‌دزده و مثل بقیه بدافزارهای دیگه میاد از دسترسی Accessibility سو استفاده می‌کنه و برای خود اپلیکیشن Wireless Debugging رو فعال می‌کنه.

روش جالبی که اومده بود استفاده کرده بود این بوده که میومده بعد از اینکه Wireless Debugging رو فعال می‌کرده میومده با استفاده از سرویس Go یه کلاینت FRP نصب میکرده که این میومده یه تونل معکوس به سرور مهاجم باز می‌کرده که هر دستوری بخواد رو خودش اجرا کنه.

یه نکته جالب دیگه‌ای هم که داشت اینه که با استفاده از هوش مصنوعی و llmها میومده پیامک‌های ربانی رو در می‌آورده و با استفاده از هوش مصنوعی میومده مقدار دارایی طرف تو بانک رو محاسبه می‌کرده که الان در حال حاضر توی فلان بانک این قربانی چقدر پول دارد و تو پنلم اون بالاتر نمایش داده می‌شده برای دزدیدنش.

و برای لمس‌های خودکارشم از جمنای استفاده می‌کرده که صفحه رو در قالب یک فایل xml در می‌آورده به هوش مصنوعی می‌داده و بهش می‌گفته که بعد الان با توجه به این کاری که می‌خوام کنم کجا کلیک کنم اونم بهش جواب می‌داد و بر اساس جواب هوش مصنوعی کلیک می‌کرده.

حالا لینک مقاله رو هم براتون گذاشتم اگه دوست داشتید می‌تونید برید بررسی کنید و مطالعه کنید.

📄 لینک مقاله کامل:
https://www.cleafy.com/cleafy-labs/from-blackcat-to-panda-workshop-inside-the-evolving-c2-panel-behind-rathat

📢 آیدی کانال: @androidSec_fa

#AndroidSecurity #Malware #RATHat #BankingTrojan #MaaS #C2 #AIAttacks #MobileSecurity #ThreatIntel #CleafyLabs #امنیت_اندروید #بدافزار #تروجان_بانکی

این ریپو یک agent skill هستش که برای عامل‌های هوش مصنوعی مثل کلاد و چیزهای دیگه استفاده می‌شه و برای تحلیل و دستکاری اپ‌های اندرویدی هستش.

مثلاً تبلیغات اپو حذف کنیم یه جایی از اپلیکیشنو تغییر بدی و یا اینکه API اپو در بیاری و یا اینکه مقدار هاردکد شده توی کدهای اندرویدی در بیاری و بعد تغییراتی که دادی مثلاً بیای اپلیکیشنو دوباره بیل کنی و نصب کنی و استفاده کنی.

هم دستور استفاده از این ابزار و هم لینک ریپو رو گذاشتم دوست داشتید می‌تونید برید بررسی کنید.

📦 نصب سریع:

npx skills add newliver666/apk-reverse

🔗 لینک ریپو:
https://github.com/newliver666/apk-reverse

📢 کانال ما: @androidSec_fa

#AndroidSecurity #ReverseEngineering #APK #BugBounty #Frida #MobileSecurity #AndroidHacking #مهندسی_معکوس #امنیت_اندروید

بچه‌ها این یه ریپوئه که اومده یه ابزاری رو معرفی کرده که با rust نوشته شده و برای بررسی اپلیکیشن‌های اندرویدی تو محیط دسکتاپ هستش.

فایل‌های APK، XAPK، APKS و DEX رو باز می‌کنه و کد جاوا رو بازسازی می‌کنه تا بشه کدشون رو خوند و برخلاف jadx نیازی به نصب جاوا یا jvm نیست.

یه سرور داخلی برای بحث mcp هم داره که میشه دستیار هوش مصنوعی بهش متصل کرد و بهتر کار کرد باهاش.

لینکو این پایین براتون گذاشتم دوست داشته باشید می‌تونید برید بررسیش کنید.

🔗 لینک ریپو:
https://github.com/Ch0pin/rdx

📢 کانال تلگرام:
@androidSec_fa

#Android #ReverseEngineering #RDX #APK #DEX #Rust #دیکامپایلر #مهندسی_معکوس #اندروید #امنیت_اندروید

سلام بچه‌ها این یه مقاله جدید از Group-IB هستش که اومده یه بدافزار جدید با نام RemControl رو بررسی کرده و گزارشش رو گذاشته.

در کل این بدافزار شبیه بقیه بدافزارهای دیگه خودش رو به عنوان آی پی تی‌وی‌ها جا می‌زنه و بعد از طریق تبلیغات توی متا و اینستاگرام و جاهای مختلف این کار خودشو قرار میده کاربرو به اونجا هدایت می‌کنه.

توی اون صفحات از طریق فیشینگ که شبیه به گوگل پلی درستش کردن کاربر رو ترغیب می‌کنند که اپلیکیشن رو نصب کنم عد از نصبم میان یه حالت دسترسی وی پی ان می‌گیرن تا اینکه بخوان گوگل پلی پروتکت رو دور بزنن.

توی برنامه‌ام از طریق دسترسی Accessibility میان صفحات رو کنترل می‌کنند و با استفاده از فیشینگ روی صفحات دیگه مثل صفحات بانک مز کاربر رو می‌دزدن و عملیات‌های بانکی انجام میدن و پول دزدی می‌کنند.

رمز موبایل کاربر می‌دزدند و اتفاقی که داخل گوشی کاربر می‌افته رو از طریق تلگرام برای خودشون می‌فرستند که ترافیک عادی به نظر برسه.

یه نکته‌ای که دیگه بوده ین بوده که از طریق پنل به مستندات swagger می‌رسن که اشتباهی روی سرور بالا بوده و با بررسی اون متوجه شدم که برای بالا آوردن این از ai استفاده کردند و اینطور وانمود کردند که انگار دارند یه اپلیکیشن کنترل والدین می‌سازند و ای آی بدون اینکه بدونه برای ساخت این بدافزار و حمله سایبری کمک کرده.

صفحات فیشینگ برای بانک‌های ایتالیا، فرانسه، اسپانیا، لهستان، پرتغال، کانادا و کشورهای خلیج فارس تأیید شده است.

حالا لینک مقاله‌ام براتون گذاشتم اگه دوست داشتید می‌تونید برید مطالعه کنید و بخونید.

راستی یادم داشت می‌رفت این رو هم بگم که مثل اینکه برنامه نویس‌های این بدافزار هم روس زبان بودند.

📎 لینک مقاله کامل:
https://www.group-ib.com/blog/remcontrol-android-banking-trojan/

📌 آیدی کانال: @androidSec_fa

#امنیت_اندروید #بدافزار_بانکی #هوش_مصنوعی #تحلیل_بدافزار #GroupIB #RemControl #امنیت_سایبری #تروجان_بانکی #امنیت_موبایل #فیشینگ

[2,2]
حالا باگ شماره 2 چیه؟

اول یه توضیح بدم اونم اینه که اندروید روی دستگاه های مختلف اجرا میشه. شیائومی، سامسونگ و .... و هر کدوم از اینها سخت افزارهای جداگانه خودشون رو دارن خب سیستمم عامل اندروید برای حرف زدن با هر کدوم از اینها باید یه کد جداگانه بنویسه که غیر ممکنه.

اومده یه چیزی طراحی کرده به نام HAL (Hardware Abstraction Layer) که میشه واسطه بین فریمورک اندروید و سخت افزار شرکت های مختلف. به این صورت که هر تولیدکننده ای HAL خودش رو مینویسه و اندروید فقط با HAL حرف میزنه و HAL هم با سخت افزار.

حالا یه vendor HAL به نام olc2 هست که کارش مدیریت لاگ سیستم هست و از این مسیر اجرا میشه /odm/bin/hw/vendor.oplus.hardware.olc2-V3-service. توی این HAL یه متد هست به نام doShell که یه شل باز میکنه و دستور میگیره. اول میپرسه کی داره با من حرف میزنه و چک میکنه که آیا طرف مقابل root هست یا نه => خب ما با باگ شماره 1 خودمون رو روت کردیم و بعد دستوری که هستش رو اجرا میکنه.

خب حالا این جا یه نکته هست که حتی اگر root , uid 0 هم باشی SELinux نمیذاره هر کاری که دلت بخواد انجام بدی و جلوت رو میگیره ولی با توجه به sepolicy اجازه میده با این HAL ما که روت هستیم حرف بزنیم به قول معروف و اینکه اجرای دستور ما توی دامنه جدید قرار میگیره که CapBnd = 0x1ffffffffffff و تمام امکانات سیستم عامل رو تا ناموس دسترسی داره.

یعنی هر کاری دوست داری بکن دیگه.


امیدوارم خوشتون اومده باشه که اینطوری یه مقاله رو شکافتم. اگر دوست داشته باشید اینجوری براتون بازش کنم بگید تا مقالات بعدی رو خلاصه نکنم و این مدلی کامل بگم.

حالا لینک مقاله هم هست میتونید برید خودتون بررسی کنید.

📄 لینک مقاله کامل:
https://blog.nns.ee/2026/09/24/oneplus-root/

#Android #Security #OnePlus #OPPO #Root #Exploit #OxygenOS #PrivilegeEscalation #AndroidSec #Vulnerability #Infosec #Hacking

📢 @androidSec_fa

[1,2]
سلام بچه ها این یه مقاله است که یه پژوهشگر اومده دوتا باگ از توی مموبایل های Oneplus رو با هم chain کرده و از یه اپ untrusted_app که معمولی و بدون هیچ دسترسی هستش به دسترسی روت برسه.

باگ اول این بوده که یه سرویس داخل oxygenOS هست به نام AtlasService که با روت اجرا میشه و هیچ چک مجوزی در قبال صدا زدنش نداره که اینی که الان من رو صدا زده آیا اپ معمولیه یا اینکه یه اپ سیستمی با یه دسترسی خاص؟

یه کدی داخل این سرویس هست به این صورت:

setEvent(String8 name, String8 value)

این یه event ثبت میکنه که listenerهای مختلف این رو میگیرن و یه کاری انجام میدن که اکثرشون کار بی خطری انجام میدن اما یکی از اونها به نام OplusAtlasLogWriter::handleEvent بررسی میکنه اگر مقدار name برابر با atlas_event_multimedia_audio_dumpsys باشه میره به dumpsysAudioInfo میگه اون مقداری که به عنوان value اومده رو اجرا کن.

بر اساس فایل /system_ext/etc/init/audiodumpinfo.rc سرویس audiodumpinfo با روت اجرا میشه و در دامنه SELinux به اسم dumpstate هستش.

این سرویس ورودی اپ رو میخونه و با / یکی یکی تقسیم میکنه و برای هر پوشه که وجود نداشته باشه system("chmod 777 " + prefix) رو میزنه.

حالا اینجا همم میاد یه command injection میزنه که میتونه چونکه اینجا کامندش داره اجرا میشه با ';' تممومش میکنه و دستور شل خودش رو با روت اجرا میکنه.(حالا دیگه جزئیات این رو نمیگم)

حالا اینجا اپ مهاجم یه دسترسی uid 0 میگیره اما کافی نیست چون dupstate یه دامنه نسبتا محدوده.

📢 @androidSec_fa

یه نکته‌ای هم که داره توی ویدیو میگه یادم رفت بگم اینه که دوراهی اخلاقی واسه باز کردن‌های گوشیا داره مطرح می‌کنه

یکی اینکه همه ما دوست داریم گوشامون امن باشه و کاری که داریم انجام میدیم یا تو گوشی‌هامون هست به صورت کامل امن باشه.

ولی خب یه طرف دیگه هست که وقتی یکی از عزیزانمون رو بربایند یا اتفاق وخیمی برامون بیفته خوب دوست داریم که پلیس بتونه گوشی آدم بده رو باز کنه و به اطلاعات بهتری برسه.

سلام بچه‌ها این یه ویدیوی جدیده که اگه دوست داشتید می‌تونید برید نگاه بندازید من اون خلاصه و فشرده‌ای که ازش برداشت کردمو اینجا براتون قرار میدم.

این ویدیو در رابطه با باز کردن تلفن‌های ضبط شده مجرمین که توسط پلیس انجام می‌شه این ویدیو توسط موبایل هکینگ لب برگزار شده و مهمونش گرسی یک فرد آلبانیه که الان تو اتریش زندگی می‌کنه و کارش اینه که گوشی‌های قفل شده رو برای پرونده‌های جنایی باز می‌کنه و شواهد داخلشون رو بررسی می‌کنه.

ابتدا گرسی توضیح میده الان باز کردن موبایل‌ها خیلی سخت شده امنیت بسیار بیشتر و پیچیده‌تر شده و دیگه با یه آسیب پذیری کار را نمی‌افته و باید به قول معروف chain کنی تا بتونی به داده برسی. و نکته جالبی که داره میگه برخی از اکسپلویت‌های checkm8 دقیقاً روی bootROM گوشی هستش توی آیفون و هرگز پچ نمی‌شن حتی اگه هزاران آپدیت نرم‌افزاری واسه موبایل‌ها بیاد و این یه نعمته برای پلیس.

حالا گرسی یه نکته‌ای هم تاکید می‌کنه که اگه گوشی جدید باشه و پرچمدار باشه به قول معروف و پلیس نتونه اون رو باز کنه امکان داره پروژه تا یه مدتی به بن بست بخوره تا ابزارهایی مثل cellebrite و graykey بتونن آپدیت بدن تا این رو بتونم باز کنن.

و یه خاطره هم تعریف می‌کنه که یک گوشی مثل اینکه بوده وقتی که دستش می‌رسه طرف یه اپی روش نوشته بوده که وقتی usb وصل شد یا حالت airplaymode رفت سریع کل دیتای گوشی رو پاک کنه و جالبیش اینجا بود که از هیچ جایی دستور نمی‌گرفت گوشی تو پک فارادی بوده و خود اپلیکیشن داشته این کار را انجام می‌داده.

یه ابزاری معرفی می‌کنه که تازه نوشته و دوره‌اش رو هم معرفی می‌کنه اگه دوست داشته باشید می‌تونید برید تهیه کنید و تو این زمینه مطالعه داشته باشید و جلو برید.

📺 لینک ویدیو:
https://youtu.be/WVGXiJQPvWk

📢 کانال:
@androidSec_fa

#جرم_شناسی_موبایل #MobileForensics #امنیت_موبایل #iOS #Android #اکسپلویت #Checkm8 #BFU #AFU #DigitalForensics #آموزش_امنیت #هک_قانونی #MobileHackingLab

سلام بچه‌ها این یه مقاله از موبایل هکره که اومده یه ایده‌ای رو مطرح کرده، اونم اینه که اون موبایل قدیمی که تو کشو افتاده رو بردارید به عنوان nfc reader کانفیگش کنید و با یک کابل usb به کامپیوتر متصلش کنید و با یک کارت یا تگ nfc بیاید uid اون رو بگیرید و اون رو توی لیست سفید قرار بدید و هر وقت اومدید کارت nfc رو زدید بیاد یه کاری براتون انجام بده.

حالا کارکرد چه جوریه؟ فکر کنید گوشی به کامپیوتر وصله و شما میای کارت nfc رو می‌زنید. مثلاً میاد لاگین می‌کنه، یوزر و پسوردتون رو می‌زنه، یه سایتی رو باز می‌کنه و برای کارهای اتوماسیونه نه برای بحث امنیت.

این بحث هم ویدیوش هست هم مقاله‌اش هست که من لینک مقاله رو براتون گذاشتم می‌تونید برید مطالعه کنید بخونید اگه دوست داشتید اجراش کنید.

والا امکان اجرای همچین چیزی برای من نیست. چون که گوشی قدیمی ما اصلاً قابلیت nfc رو نداره. این بنده خدا خیلی وضعش خوبه که می‌شینه این تست‌ها رو انجام میده، منم دوست دارم انجام بدم ولی ندارم گوشیش رو که بخوام یه همچین تستی رو روش بیارم بالا.

🔗 لینک مقاله:
https://www.mobile-hacker.com/2026/09/21/turn-a-rooted-android-phone-into-an-nfc-authenticator-and-automation-tool-for-your-pc/

📢 آیدی کانال: @androidSec_fa

#NFC #Android #Root #NetHunter #USB_HID #اتوماسیون #امنیت #هک #MobileHacker #NFC_to_HID #Kali_Linux #Magisk #Android_Security #آموزش #اندروید #روت

سلام بچه‌ها یه مقاله که از Zimperium ارائه داده شده مثل اینکه بازیگرای چینی پشت سر این بدافزار هستند.

بد افزار مثل بقیه بدافزارهای معمولی هستش چیز پیچیده‌ای که استفاده کرده اومده از طریق دسترسی Accessibility میاد میره حالت دولوپر مود رو فعال می‌کنه و بعد هم میره حالت وایرلس دیباگینگ فعال می‌کنه و بعد کد رو می‌خونه و دسترسی شل می‌گیره.

و از طریق این دسترسی به یه سری دسترسی خیلی بالاتری می‌رسه روش کارشونم به صورت فیشینگ یه سری اپلیکیشن‌های معروف رو اومدن صفحه‌شو درست کردن که کاربران صفحه رو باز کنن و اپو دانلود کنن و آلوده بشن.

برای بحث ضد تحلیلم یه چند مرحله انجام دادن مثلاً مانیفستشو دستکاری کردن فایل دکس رو دستکاری کردن و اینجور کارا.

حالا جزئیات مقاله هست می‌تونید برید مطالعه کنید و بخونید.

🔗 لینک مقاله:
https://zimperium.com/blog/rathat-ai-powered-mobile-threat-is-here-for-your-credentials-bank-accounts

📢 کانال ما:
@androidSec_fa

#امنیت_موبایل #بدافزار #اندروید #هوش_مصنوعی #سرقت_اطلاعات #RatHat #AndroidSecurity #MobileThreat #Cybersecurity #Zimperium

سلام بچه‌ها این یه مقاله جدیده که زیمپریوم ارائه داده به معنای واقعی کلمه میشه گفت که وقتی یه RAT میفته دست یه خفتگیر این کارا رو باهاش می‌کنه.

بعد از نصب بد افزار روی موبایل و گرفتن دسترسی مناسب اطلاعات گوشی رو رمز می‌کنه روی سیستم و می‌فرسته سمت سرورهای هکر و بعد صفحه رو سیاه می‌کنه و به این صورت میگه که باید با هکر مذاکره کنه و شروع کنه صحبت کردن و پول فرستادن برای بحث باج و این داستانا.

صداهای ترسناک ایجاد می‌کنه و اینکه عکس‌های شبح و اینا پخش می‌کنه که طرف مجاب بشه بزنه پول رو.

بیشترم توی اندونزی پخش شده حالا لینک مقاله هست می‌تونین مطالعه کنید خودتون.

ولی که این اتفاق براتون افتاد گوشی رو safe mode و تو اون حالت می‌تونید اپلیکیشن رو حذف کنید.

دیتاتونم اگه رفت دیگه رفته دیگه پول مول بهشون ندید.

🔗 لینک مقاله کامل:
https://zimperium.com/blog/mantax-otax-indonesian-mobile-ransomware-with-spyware-integration

📢 آیدی کانال:
@androidSec_fa

#امنیت_موبایل #بدافزار #اندروید #باج_گیری #جاسوس_افزار #MantaxOtax #Zimperium #هشدار_امنیتی #androidSec_fa

سلام بچه‌ها یه مقاله جدید که شرکت امنیتی Group-IB اون رو منتشر کرده و در این مقاله اومده در رابطه با تکنیک جدید جابجایی پول از طریق آلوده کردن گوشی رو توضیح داده.

به این صورت هستش که جنایتکار و تبهکارا وقتی که یک بد افزار روی گوشی نصب می‌کنند اپلیکیشن‌های بانکی جدید متوجه میشن که نصب شده و از طریق یه سری کارها جلوی تراکنش‌های بانکی ناخودآگاه که یه سری اپلیکیشن‌ها دارند رو می‌گیره.

حالا هکرها اومدن چیکار کردن از یه اپلیکیشن اپن سورس به نام Shelter که کار این برنامه به این صورته که میاد یه پروفایل جداگونه روی گوشی ایجاد می‌کنه استفاده کردن. به این صورت که کارهای جابجایی و تراکنش و دزدی پول رو می‌برن روی اون پروفایل جداگونه و اونجا انجام میدن.

روند کار جدیدشون به این صورته که قربانی یه اپلیکیشن نصب می‌کنه که بدافزار اون بدافزار دسترسی Accessibility و "Draw over other apps" رو از کاربر می‌گیره و بعد لیست اپلیکیشن‌های بانکی کاربر رو در میاره و تشخیص میده و بعد وقتی که اپلیکیشن بانکی و کاربر خواست باز کنه یه صفحه جعلی نشون میده تا کاربر رمزش رو بزنه.

وقتی که رمز و این داستان‌ها می‌تونست در بیاره میاد یه Work Profile جدید ایجاد می‌کنه و داخل اون اپ بانکی هدف رو نصب می‌کنه از طریق دسترسی‌هایی که داره و بعد میاد کارای رمز و این داستان‌ها رو می‌زنه و تراکنش می‌زنه و پول رو برای خودش جابجا می‌کنه.

حالا کشورهایی که هدف قرار گرفته‌اند؟
اندونزی، برزیل، کلمبیا، مصر، لائوس، مکزیک، مراکش، فیلیپین، تایلند، ترکیه و یکی از کشورهای حاشیه خلیج فارس.
(فقط در اندونزی حدود ۱,۴۶۹ دستگاه آلوده و خسارتی نزدیک به ۱ میلیون دلار تخمین زده شده است.)

خیلی خوبه دیگه با یه دونه ایده نزدیک به یه میلیون دلار پول مردم زده به جیب.


این یه تیکه آخرش بحث فان بود جدی نگیرید حالا مقاله رو گذاشتم می‌تونید برید مطالعه کنید و خودتون بخونید.

📄 متن کامل مقاله (انگلیسی):
🔗 https://www.group-ib.com/blog/vwork-app-cloning-gigabud-goldfactory/

📢 برای دریافت آخرین اخبار و تحلیل‌های امنیت سایبری، ما را دنبال کنید:
🆔 @androidSec_fa

#امنیت_سایبری #بدافزار_اندروید #بانکداری_موبایل #Gigabud #GoldFactory #GroupIB #Vwork #Shelter #کلاهبرداری_اینترنتی #فیشینگ #AndroidSecurity #ThreatIntelligence #IranCyberSecurity

توضیحات ویدیو رو کلیک کن تا بتونی ببینی

📢 آیدی کانال: @androidSec_fa

سلام بچه‌ها این یه باگ RCE روی اپلیکیشن mexc هستش این برنامه یک پلتفرم ارز دیجیتال هستش. کار کلاً به این صورته که با یه لینک که کاربر روش کلیک کنه و یک بار دیگه که اپلیکیشنو باز کنه RCE کامل در سطح اپلیکیشن به مهاجم میده یه جورایی یعنی 1-click.

این باگ هم با chain کردن چند تا باگ به دست اومده.

اول از همه open redirect روی خود پلتفرم mexc به دست آورده.

بعد هم با بررسی داخل اپلیکیشن موبایل متوجه شده که یک javascript bridge هست که داره یه فایلی رو توی پوشه دانلود ذخیره می‌کنه.

توی اینجا از طریق path traversal تونسته به جای پوشه دانلود بهش بفهمونه که برو توی پوشه کش خود برنامه این فایل رو ذخیره کن و چون خود برنامه داره اجرا می‌کنه دسترسی به اون پوشه رو داشته.

با بررسی اپلیکیشن متوجه میشه که موقع لانچ اولیه میاد فایل .so رو از پوشه کش می‌خونه و اجرا می‌کنه با این chain که وجود داشته میاد فایل مخرب خودشو اونجا جایگذاری می‌کنه و توی structure کد اصلی برنامه کدهای خاص خودش رو می‌نویسه.

و بعد با تستی که انجام میده به RCE کامل داخل اپلیکیشن رمز ارز می‌رسه‌.

خود محقق حدود یک ماه برای رسیدن به این وقت گذاشته و تونسته برسه.

لینک مقاله هست حالا می‌تونید بشینید بررسی کنید و تحلیل کنید‌.

⛓️ زنجیره کامل:
کلیک روی دیپ‌لینک => ریدایرکت به صفحه مهاجم=> فراخوانی پل آسیب‌پذیر => نوشتن ZIP مخرب در code_cach=< بستن و باز کردن اپ => RCE کامل

⏱️ محقق حدود یک ماه روی مهندسی معکوس این زنجیره وقت گذاشته.

📄 متن کامل مقاله:
https://itis911.github.io/writeups/RCE-Mexc-Andriod-App.html

📢 کانال ما:
@androidSec_fa

#امنیت_اندروید #RCE #MEXC #WebView #PathTraversal #SELinux #ReverseEngineering #BugBounty #AndroidSecurity #صرافی #ارز_دیجیتال #هک_اخلاقی #مهندسی_معکوس #JSBridge #DXRisk #MobileSecurity #AppSec

توضیحات ویدیو رو کلیک کن تا بتونی ببینی

📢 آیدی کانال: @androidSec_fa