Война платформ Android и iOS вышла на новый уровень. Теперь вы можете рутануть (джеилбрейкнуть?) iPhone используя рутованный Android смартфон. Это стало возможным благодаря нашумевшей на iOS пространстве штуке под названием checkra1n, которая позволяет рутовать айфоны бесплатно и без смс. Использование android смартфона в этой схеме стало возможным благодаря недавно появившейся поддержке linux-а в checkra1n. Сам процесс выглядит довольно простым:

⬇️ Скачать бинарник с checkra1n и закинуть его на android устройство

🔌 Присоединить айфончик и android смартфону

📲 Включить на айфоне Device Firmware Upgrade режим

💥 Запустить checkra1n командой ./checkra1n -c

🐒 Все =)

#other_platforms, #anroid_root, #vulnerability, #checkra1n

https://www.xda-developers.com/jailbreak-apple-iphone-using-checkra1n-rooted-android-phone/

Неделя выдалась весьма скучной на интересный контент, поэтому остается только читать гугловые отчеты по закрытым в андройде дырам за март. Там, как обычно, есть все: выполнение произвольного кода в контексте привилегированного процесса (в том числе с использованием внешнего USB устройства), получение малварью дополнительных пермишенов, hardware specific баги и конечно наш любимый Media framework.

В общем если вам больше не приходят обновления на вашу ОС, то повод начать что-то с этим делать ;)

#android_security_bulletin, #android_bugs

https://source.android.com/security/bulletin/2020-03-01

⚡️Пока человечество борется сами знаете с чем, компании Google удалось победить Magisk. “Эпоха ушла”, говорит его автор (сотрудник компании Apple кстати :D)

#magisk, #google, #safety_net

https://github.com/topjohnwu/Magisk/commit/612b51d48f9771a65cfab045f931573f42d3a494

Совсем забыл вам напомнить о том, что NeoQUEST-2020 в полном разгаре. Среди прочих заданий, традиционно есть наш любимый реверс android-приложений (задание №2). В этом году ребята заморочились и в APK вы встретите проверки на фриду, root, контрольную сумму и цифровую подпись. Присутствуют антиотладочные техники и кое что еще.

P.S. Кто решит, не спойлерите. Дайте потренироваться другим.

#neoquest, #ctf, #reverse_engineering

https://neoquest.ru/2020/

Хорошая, обзорная статья по современным декомпиляторам java байткода. В статье рассматриваются:

🧠 Fernflower - опенсорсный декомпилятор, на текущий момент разрабатываемый и поддерживаемый компанией JetBrains.

🤪CFR - декомпилятор, написанный, судя по всему, одним человеком, который говорит, что сделал это "for fun".

🧰Procyon - набор инструментов, относящихся к генерации и анализу кода на Java. Среди них есть и декомпилятор.

🤖jadx - компилятор, предназначенный для компиляции байткода для Dalvik, а не для JVM.

Если вы хотите получить более-менее актуальную информацию о том как обстоят дела в сфере декомпиляции байткода, то вам сюда.

#reverse_engineering #bytecode #tools

https://habr.com/en/company/solarsecurity/blog/489844/

Кто там переживал, что служба безопасности не дает пользоваться alpha-версиями библиотек? Теперь все ваши прблемы решены. Jetpack Security получила стаус Beta. Правда список изменений пустой, что еще раз подтверждает то, что альфой вполне можно было пользоваться.

#jetpack_security #google #cryptography

https://developer.android.com/jetpack/androidx/releases/security#1.0.0-beta01

В современном мире стало очень много данных. И очень много людей, которые этими данными интересуются. Поэтому на плечи разработчиков приложений ложится забота о приватности данных пользователей, т.к. пользователи не всегда беспокоятся об этом сами. Но практически всегда приходят и жалуются на утечки ;)

По ссылке вы найдете туториал, который покрывает различные аспекты обеспечения приватности данных в android приложениях:

😎 Работа с разрешениями (permissions) относящимися к приватности
📸 Отключение логирования и снятия скриншотов
🧻 Очистка кэша
👆 Биометрия и шифрование

Люди искушенные в написании безопасных приложений вряд-ли найдут для себя что-то новое, но для желающих разобраться или систематизировать свои знания этот туториал подходит отлично

#4developers, #cryptography, #privacy

https://www.raywenderlich.com/6901838-data-privacy-for-android

Вышла в релиз довольно удобная веб-панелька для работы с java классами и методами в рантайме. Можно хукать методы, смотреть их аргументы и значения, что помогает лучше понять поток выполнения приложения. Построена на базе Frida и требует установки Frida сервера на устройстве.

Пока все работает не так хорошо, как хотелось бы, но задумка отличная.

#reverse_engineering #frida

https://github.com/m0bilesecurity/RMS-Runtime-Mobile-Security

Вы всегда хотели русскоговоряющую шпаргалку по Smali? Теперь она есть. Ставим звездочки, предлагаем правки.

#4developers, #reverse_engineering, #smali

https://habr.com/en/post/495024/

Нашел сайт, куда выкладывают записи конференций по безопасности. Контента очень много и он регулярно обновляется. Проведите ближайший месяц с пользой 🦠

#conference

https://infocon.org/cons/

Многие уже слышали историю про “Социальный мониторинг”. Наткнулся на хабропост где разбираются основные проблемы. Если кто-то еще не вкурсе, то это отличный повод узнать что же произошло.

#reverse_engineering

https://habr.com/en/post/495606/

Самоизоляция продолжается, а вместе с ней нарастает скука. Чтобы как-то вас развлечь, я хочу предложить решить crackme начального уровня. Закаленным в боях реверсерам и ctf-ерам он может показаться скучным, но кто знает, может и для вас найдется над чем подумать.

Задача: у вас есть apk файл crackme1.apk (контрольная сумма: 93baa133485e8d1fb069effd4528c0a4b2acef69), который содержит 5 ключей. Нужно их найти. Проверить правильность ключа можно у бота: @android_guards_crackme_bot

Если история зайдет, то сделаю crackme посложнее. Всем хороших выходных! 😉

#reverse_engineering, #just4fun

Если вы еще не забыли (а я забыл), то в Goolge Pixel 3 и Pixel 3 XL появились отдельные security чипы "Titan M". Вместе с ними появилось такое понятие как StrongBox KeyStore APIs, которое обещает хранить наши ключи "в железе". Наткнулся на старую, но все еще актуальную статью, которая объясняет разницу между тем как ключи хранили "в железе" раньше (23+) и как они хранятся сейчас (28+).

#strongbox, #cryptography, #pixel

https://proandroiddev.com/android-keystore-what-is-the-difference-between-strongbox-and-hardware-backed-keys-4c276ea78fd0

Статья от ребят из Plaid где они рассказывают почему использовать Chrome Custom Tabs гораздо безопаснее чем WebView. А ведь и правда, почему?

🏝 В отличие от WebView, CCT запускает себя (а значит и JavaScript) в своем собественном процессе
🔐 CCT отображает адрес посещаемого сайта и "замочек" безопасного (или нет) соединения

Но ничего не дается бесплатно и проблемы с использованием CCT тоже есть. В статье написано с чем ребята столкнулись и как эти проблемы решали.

#4developers, #webview, #chrome_custom_tabs

https://blog.plaid.com/securing-webviews-with-chrome-custom-tabs/

Найдено 4 ключа и я, как обещал, даю первую подсказку: Мета-данные - очень полезная вещь. Много чего можно из них узнать, например автора. Но не все форматы файлов имеют возможность хранить метаданные.

Вторая подсказка: Разработчики бывают весьма наивны и думают, что хранение токенов в коде приложения это "довольно безопасно". Но есть и такие, кто думает, что они умнее первых и делают то же самое, но уже не в коде приложения. Очень опасное заблуждение.

Я подумал и решил дать подсказку про ключ, который оказался самым сложным для участников. Возможно это поможет продвинуться нашим лидерам.

Подсказка:Некоторые алгоритмы шифрования очень похожи и порой существуют под разными именами. Что мы еще знаем про алгоритмы шифрования? Они не всегда требуют указывать вектор инициализации. Так… Что еще… Ах да, ключ.. Некоторые из них не принимают ключ произвольной длины.

Вслед за взломом айфонов через отправку email сломали Bluetooth на андройде. Найденная уязвимость позволяет получить удаленный шелл на устройстве. По ссылке найдете полный разбор уязвимости с примерами и картинками.

#bluetooth_bug, #reverse_engineering

https://insinuator.net/2020/04/cve-2020-0022-an-android-8-0-9-0-bluetooth-zero-click-rce-bluefrag/

Скучно проводите выходные? Прекратите это делать. Если вы начинающий android reverse engineer, то вам будет полезно посмотреть этот тренинг.

#reverse_engineering

https://www.youtube.com/watch?v=BijZmutY0CQ

Вот и произошло то, чего мы все так долго ждали (ну может не все, ладно…). ProtonMail выложили в открытый доступ исходники своего Android приложения. Они позиционируют себя как очень защищенная почта и их исходники многие хотели по двум причинам:

👮‍♀️ Убедиться, что там все так безопасно как они обещают

📚 Изучить применяемые их командой security-практики.

Теперь все это лежит на github. Идем смотреть =)

#security_best_practice, #protonmail_android

https://github.com/ProtonMail/proton-mail-android