Tag: android

Kilka dni temu zostało wydane narzędzie Runtime Mobile Security (RMS), wspomagające testy bezpieczeństwa aplikacji mobilnych na Androida. Lista jego funkcjonalności: Możliwość śledzenia wywoływania metod Javy, Możliwość podpinania się pod wykonywane metody Javy, Logowanie argumentów i zwracanych wartości, Wykonywanie własnego kodu JS, Śledzenie nowych klas, załadowanych przez aplikacje. Narzędzie opiera się…

Podatność umożliwia zdalnie wykonanie kod na atakowanym urządzeniu (z uprawnieniami wysoko uprawnionej usługi Bluetooth). Wystarczy tylko, że ofiara ma aktywowany Bluetooth, oraz jesteśmy w jego zasięgu. Podatne są Androidy 8.x, 9.x (być może również wcześniejsze). Na dziesiątce można „tylko” wykonać DoS – zdalnie zrestartować usługę odpowiedzialną za Bluetooth. On Android 8.0…

Coś dobrego dla fanów technicznej lektury, zawierającej jednak wątek sensacyjny. W rozbudowanym wpisie Google omawia swoje podejście do szukania błędów 0-days w Androidzie. Takich wykorzystywanych w realnych działaniach bojowych. No więc zaczyna się od hintu z końca lata 2019 roku, który otrzymała ekipa Google: In late summer 2019, Google’s Threat…

Ceny macie zaprezentowane w tym miejscu. Największa pojedyncza wypłata to aż $1 000 000 i dotyczy podatności klasy RCE (remote code execution) dotykającą chip Titan M, używany w googlowym Pixel 3: This year, with Pixel 3, we’re advancing our investment in secure hardware with Titan M, an enterprise-grade security chip custom built…

Dostęp do aparatu czy kamery wymaga specjalnych uprawnień, prawda? Ale co jeśli zaatakujemy googlową appkę mającą już taki dostęp? (appka ta instalowana jest na Pixelach czy Samsungach, być może też u innych producentów). W każdym razie podatność umożliwiała zupełnie „niewinnej” appce, która posiada tylko uprawnienia do storage na robienie a następnie…

Wg kolegów z X-LAB (Tencent) podatne jest w zasadzie wszystko (głównie rozmaite telefony oparte o Androida) + iPhone-y do 8 włącznie (Apple przeszedł później na inny sposób uwierzytelnienia biometrycznego: FaceID). W ramach LIVE demo na konferencji Geekpwn poprosili kogoś z publiczności o zostawienie odcisku palca na kieliszku oraz podanie swojego telefonu….

Oficjalna narodowa chińska appka (przeszło 100 milionów instalacji) umożliwia tak fascynujące czynności jak czytanie i komentowanie „ciekawych artykułów” czy wykonywanie quizów o chińskim liderze Xi Jinping-u. Relaks relaksem, ale jak donosi BBC używanie appki jest też powiązane z wysokością otrzymywanej pensji, a dziennikarze muszą w niej zdać „test” aby otrzymać odpowiednie…

Niecodzienna historia. Projekt Google 0-day zgłosił podatność w Androidzie z raptem 7-dniowym zachowaniem poufności szczegółów. Po tym czasie zostały ujawnione pełne informacje o podatności. Błąd jest klasy privilege escalation do roota, z możliwością wykorzystania nawet z sandboksa Chrome (czyli jeśli mamy stosowny bug w mobilnym Chrome, po jego wykorzystaniu można…

Podatność została załatana we wrześniu 2019r. w wersji 2.19.244 WhatsAppa na Androida. Błąd jest klasy double-free i można z jego wykorzystaniem uzyskać RCE (remote code execution) na systemie Android. Całość polega na dostarczeniu odpowiednio spreparowanego pliku .gif do ofiary. Po udanym wykorzystaniu buga można uzyskać dostęp do bazy wiadomości ofiary. Aby exploit był…

Mowa o niemieckim produkcie FinSpy (alternatywna nazwa FinFisher): The state spyware FinFisher or FinSpy is developed in Munich and sold to police and secret services in dozens of countries, including the German Federal Police. Producentem oprogramowania jak wspomniano powyżej jest prywatna firma z Monachium. Niedawno zgłoszone zostało podejrzenie przestępstwa, bo…

Takie pytanie zadaje nam wielu czytelników. Zacznijmy od tego czym jest Pegasus – to oprogramowanie szpiegowskie rozwijane przez izraelską firmę NSO group, potrafiące infekować zarówno iPhone-y jak i Androidy (wersja na ten system znana jest też jako Chrysaor). Jak piszą twórcy systemu: (…) provides authorized governments with technology that helps them combat…

Aplikacja CamScanner — Phone PDF Creator, która służyła do generowania wersji skanowanych dokumentów w formacie PDF, okazała się trojanem. Do takich wniosków doszli badacze z Kaspersky (choć możliwe jest, że aplikacja do lipca, czyli po aktualizacji od wydawcy, była w pełni bezpieczna –  dopiero wtedy zaczęła wykazywać złośliwe zachowanie, co…

QualPwn to seria podatności umożliwiających dostęp na chip WiFi w telefonie oraz w pewnych przypadkach również na telefon (dostęp na poziomie Kernela Linux). Kto jest podatny? Właściciele urządzeń z wybranymi chipami Qualcomma, żeby nie było niedomówień – atakujący wskazują jako podatne flagowce Google Pixel 2 oraz 3. We didn’t test…

Ransomware na Androida nie jest częstą sprawą, ale oto mamy nową kampanię rozpowszechniającą się poprzez SMSy oraz linki – często do stron czy appek o charakterze pornograficznym. (…) spreads further via SMS with malicious links, which are sent to all contacts in the victim’s contact list. After the ransomware sends out…

Chodzi o tę podatność – chyba słusznie załataną właśnie przez Google z adnotacją RCE (Remote Code Execution), Critical: The most severe vulnerability in this section could enable a remote attacker using a specially crafted file to execute arbitrary code within the context of a privileged process. Trochę więcej technicznych informacji (w tym…