[پست ۲ از ۳] — دور زدن فیلترها و جاسازی بدافزار

​🔥 کالبدشکافی فنی زنجیره هک سامسونگ گلکسی S24 (بخش دوم)

​در پست قبل دیدیم که چطور هکر از طریق باگ‌های Gaming Hub توانست دسترسی اجرای فرامین (Intent) را بگیرد. حالا پازل وارد مرحله خطرناکی می‌شود.

​📍 گام سوم: سرقت فایل در هوا با Quick Share
هکر با استفاده از ریموت کنترلی که به دست آورده (باگ ۳)، برنامه Quick Share سامسونگ و اکتیویتیِ QrCodeAppLinkActivity آن را صدا می‌زند و آدرس یک کد QR فیک را به برنامه قالب می‌کند.

این اکتیویتی طوری طراحی شده که برای راحتی کاربر، سریعاً و بدون معطلی به دستگاه فرستنده متصل شود. در نتیجه، گوشی قربانی در پس‌زمینه و بدون نیاز به هیچ تایید یا اجازه کاربر، به گوشی مهاجم (که نزدیک اوست) وصل شده و فایل مخرب yay.apk را دانلود می‌کند!

​📍 گام چهارم: فرار از زندان فایل‌ها (Path Traversal)

در حالت عادی، فایل‌ها باید در پوشه امن دانلود ذخیره شوند. اما در پشت صحنه، اطلاعات فایل به صورت متنی (JSON) جابه‌جا می‌شود. مهاجم با ابزار Frida پیام خروجی گوشی خود را دستکاری کرده و مقدار یک فیلد خاص را تغییر می‌دهد:

"IsPrivateShare": true

​باگ چهارم (CVE-2024-49421): در برنامه Quick Share Agent قربانی، تابعی برای فیلتر و پاکسازی مسیر فایل وجود دارد. اما یک شرط عجیب در کد نوشته شده: اگر فرستنده ادعا کند انتقال از نوع "PrivateShare" (اشتراک‌گذاری امن) است، برنامه سامسونگ به طور کامل فیلترهای امنیتی مسیر فایل را غیرفعال می‌کند!

​نتیجه: هکر از کاراکترهای بازگشت به عقب (../) در آدرس فایل استفاده می‌کند و فایل مخرب از پوشه دانلود فرار کرده و در پوشه اختصاصی یک برنامه سیستمی دیگر به نام GPUWatch جاسازی می‌شود!

​👇 در پست بعدی، تیر خلاص و فاز نهایی حمله را ببینید...

​📢 @androidSec_fa

#Android #Security #Samsung #QuickShare #PathTraversal