Análisis de Malware en APKS

Hola tod@s

Android se ha convertido en él plataforma móvil más atacada por el malware, no obstante es el sistema operativo más usado. Por ello, es necesario contar con unas series de herramientas para analizar las APKS que instalamos en nuestros dispositivos móviles, al igual que analizamos las aplicaciones que instalamos en los PC´s.

Veamos algunas herramientas que podemos encontrar para analizar APK:

• DroidBox: es una gran utilidad de análisis dinámico, permite el acceso a las comunicaciones de la aplicación, también cuanta con un mapa que muestra el comportamiento de la APK.
• APKTool: es una utilidad multiplataforma que permite descompilar y volver a compilar las aplicaciones.
• Androguarn: es una utilidad cuyo objetivo es detectar y advertir de comportamientos potencialmente peligrosos como información sensible del dispositivo móvil, el envío de SMS Premium, grabación de audio y video, etc.
• Androguard: desarrollada en Python, permite decompilar y tener acceso a permisos, Receivers, Activities, Content Providers, Services, Package Name, clases, métodos, etc.
• ApkInspector: también desarrollada en Python, su característica principal es que dispone de un interface gráfico a través del cual se pueden visualizar diferentes aspectos de las APKs analizadas como por ejemplo el AndroidManifest.xml.
• APKStudio: es un IDE (entorno de desarrollo integrado) multiplataforma que permite descompilar y compilar APKs
• Dex2Jar: permite convertir un fichero .APK en uno .JAR de manera que se pueda visualizar el código de la aplicación.
• JD-GUI: es una herramienta con interface gráfica que permite interactuar de una manera intuitiva con ficheros con extensión .CLASS.
• JAD: Es una aplicación multiplataforma que permite convertir ficheros .DEX en ficheros .CLASS. 

No seáis malos.

Ataques de inyección de código en aplicaciones móviles basadas en HTML5

Hola a tod@s

Con nuestros Smartphone escaneamos códigos QR, realizamos envíos de mensajes, escuchamos música o vemos videos. En estos pequeños gestos podemos estar expuestos a infectarnos o ser víctimas de robo de información.

Una tecnología emergente HTML5 se ha convertido en nuevo vector de ataque, el desarrollo de aplicaciones basadas en HTML5 ha ido ganando rápidamente popularidad en la industria móvil. Un reciente informe de Gartner dice que para el año 2016, cincuenta por ciento de las aplicaciones móviles utilizará las tecnologías basadas en HTML5.

¿Qué plataformas están afectadas?

Todos los principales sistemas móviles se verán afectados, incluyendo Android, iOS, Blackberry, Windows Phone, etc., porque todos ellos admiten aplicaciones móviles basadas en HTML5.

Un problema notorio de la tecnología basada en HTML5 es que código malicioso puede inyectar fácilmente en el programa y ejecutado. Es por ello que el ataque Cross-Site Scripting (XSS) sigue siendo uno de los ataques más comunes en la Web. Sólo pueden hacer objetivo a ataques XSS en aplicaciones web a través de un solo canal (es decir, Internet), pero con la adopción de la misma tecnología en dispositivos móviles, se ha descubierto que un tipo similar de ataque no puede ser sólo lanzado contra aplicaciones móviles, puede atacar de muchos canales, incluyendo código QR, exploración de Wi-Fi, canciones MP3, videos MP4, Mensajes SMS, etiquetas NFC, lista de contactos, etc.. Tanto como una aplicación basada en HTML5 muestra información obtenida del exterior o de la aplicación, puede ser una víctima potencial.

¿Qué hace una aplicación Vulnerable?

1. En primer lugar, esta aplicación debe basarse en la tecnología basada en HTML5, es decir, su código (o parte de su código) está escrito en JavaScript. Si la aplicación está escrita usando el lenguaje nativo de la plataforma (por ejemplo Java para Andrid) y Object-C para iOS, es inmune a este tipo de ataques.
2. En segundo lugar, si existe un canal para la aplicación recibir datos desde afuera. Los datos pueden ser desde fuera del dispositivo (por ejemplo, análisis de código QR) o desde otra aplicación en el mismo dispositivo (por ejemplo, la lista de contacto).
3. En tercer lugar, la aplicación necesita mostrar la información desde afuera. La elección de las API para mostrar la información es crítica. Algunas API es seguro, pero muchos de ellos no lo son.

¿Cómo funciona el ataque?

Para más información: http://www.cis.syr.edu/~wedu/Research/paper/code_injection_most2014.pdf

No seáis malos.

Juguetes Hacking III

Hola a tod@s

 
Un par de hackers Glenn Wilkinson y Daniel Cuthbert han sido capaz de crear un drone de seguimiento al más puro estilo de la NSA. El proyecto ha sido bautizado como Snoopy este sistema engaña a los teléfonos móviles que tenga activado el WIFI con el fin de obtener nombre de usuarios y contraseñas que se alojan en el.

Vamos a intentar explicarlo para que el mensaje llegue a todos los públicos, los drones detectan y recogen las sondas SSIDs desde dispositivos inalámbricos cercanos y engañan a los teléfonos móviles o tables haciéndose pasar por puntos de acceso legítimos.

Snoopy detecta estas peticiones de servicio y engaña al teléfono pretendiendo ser una red previamente accedida, al lograrlo, el programa obtiene inmediatamente todos los nombres de usuario y contraseñas de las diferentes aplicaciones que intentan ingresar en sus servicios individuales. De esta manera, los individuos tienen información detallada que incluye el historial de navegación, datos de tarjetas de crédito que se hayan ingresado en diferentes sitios y datos de ubicación. Gracias a SSLStrip se puede interceptar password de sitios https. 

Imagen 2: Arquitectura Snoopy

El software del lado del cliente se ejecuta en los drones, estos pueden ser cualquier dispositivo basado en Linux que tenga una interfaz WiFi y conectividad a internet saliente.

Por otro lado, el servidor rellena todas las peticiones de la sonda en una base de datos y utiliza Wigle para determinar coordenadas GPS y Google Maps para determinar direcciones. Esto significa que el 

“bicho” puede guardar imágenes de tu calle o casa.

Para más información visitar la web del proyecto.

http://www.sensepost.com/blog/7557.html

 

No seáis malos.