Опубликован инструмент для тестирования Android-приложений на уязвимость

Опубликован инструмент для тестирования Android-приложений на уязвимость

Опубликован инструмент для тестирования Android-приложений на уязвимость

Пользователь GitHub под именем modzero опубликовал инструмент, созданный разработчиком Яном Гильрихом (Jan Girlich). Этот инструмент включает приложения для Android, предназначенные для тестирования и создания эксплойтов, доказывающих наличие уязвимостей (Proof of Concept, PoC) десериализации Java в Android.

Сам инструмент основан на ysoserial, созданном frohoff, однако нацелен на платформу Android. Уязвимости Java десериализации — давно изученная тема, обычно такие бреши приводят к выполнению кода в контексте атакуемого приложения. На Android эта проблема более актуальна из-за того, как обрабатывается обмен данными между приложениями.

В опубликованном репозитории находятся два Android-приложения:

  • Приложение «атакующее» — создает полезную нагрузку и реализует вредоносную составляющую процесса.
  • Уязвимое для связки эксплойтов CommonsCollection демо-приложение.

Для демонстрации работы можно открыть уязвимое демонстрационное приложение, затем переключиться на атакующее приложение и использовать цель «ch.modzero.intent_receiver.deserialize.pwn».

Как использовать:

  1. Открыть в Android Studio и скомпилировать папку атакующего приложения.
  2. Установить полученный apk на телефон или эмулятор, где также должно быть установлено тестируемое на уязвимость приложение.
  3. Убедиться, что ваше потенциально уязвимое приложение запущено.
  4. Указать название намерения (intent) потенциально уязвимого приложения в поле ввода в верхней части.
  5. Нажать кнопку «send» в правом нижнем углу.

Если брешь будет обнаружена, инструмент уведомит пользователя.

Телевизоры LG заподозрили в прослушке хозяев даже с выключенным экраном

Умные телевизоры LG могут записывать звук в режиме ожидания, сканировать домашнюю сеть и собирать данные о соседних устройствах. К таким выводам пришли авторы YouTube-канала Gamers Nexus после анализа работы нескольких серийных OLED-моделей, включая LG G5.

Исследователи изучили сетевой трафик телевизоров и обнаружили, что устройства ищут в локальной сети смартфоны и умные часы, собирают внутренние IP-адреса, названия доступных сетей Wi-Fi и сведения о местоположении.

Больше всего вопросов вызвал встроенный микрофон. По данным эксперимента, телевизоры записывали разборчивый звук даже в режиме ожидания, когда экран был выключен.

Если устройство отключали от интернета, аудиозаписи сохранялись локально, а после восстановления соединения передавались в сеть.

Кроме того, телевизоры использовали технологию автоматического распознавания контента ACR. Она создаёт цифровые отпечатки фильмов, передач и другого видео, которое смотрит пользователь.

Собранная информация, как утверждают исследователи, поступает в рекламное подразделение LG Ad Solutions и может использоваться для таргетированной рекламы.

В webOS также обнаружили уязвимости, потенциально позволяющие удалённо выполнять код. Подробностей об исправлениях пока нет, а LG на момент публикации результатов расследования ситуацию не прокомментировала.

До появления официальных разъяснений эксперты рекомендуют отключить телевизор от интернета и использовать внешнюю приставку.

RSS: Новости на портале Anti-Malware.ru