как проверить телефон на уязвимости

QuadRooter Scanner: проверяем уязвимости смартфона Android

QuadRooter представляет собой набор из 4 уязвимостей, которые наблюдаются в устройствах Android на чипсетах Qualcomm. Брешь безопасности была впервые раскрыта в блоге Check Point 7 августа 2016 года и потенциально может представлять риск для 900 миллионов устройств по всему миру.

Киберпреступники могут эксплуатировать уязвимость с помощью специальных приложений. Для работы приложений не потребуются особенные разрешения, и злоумышленники смогут получить полный контроль над устройством.

При эксплуатации уязвимости QuadRooter могут предоставить киберпреступникам полный контроль над устройствами и неограниченный доступ к персональным и корпоративным данным. В результате злоумышленник может получить расширенные возможности, в частности кейлоггинг, отслеживание местоположения и запись видео и звука.

Исследователи обнародовали короткий список подверженных уязвимости устройств: Google Nexus 5X и 6, новый Moto X, The OnePlus One, 2 и 3, Samsung Galaxy S7 и S7 Edge, Sony Xperia U Ultra, LG G5 и другие смартфоны.

Список является неполным, и на данный момент нет точной информации, является ли конкретное устройство уязвимым по крайне мере к одной из 4 уязвимостей.

QuadRooter Scanner

Тем не менее, эту проблему решает QuadRooter Scanner. Это бесплатное приложение для устройств Android, которое сканирует девайс на предмет подверженности некоторым или всем 4 уязвимостям.

Пользователю остается нажать большую кнопку сканирования после установки приложения для выполнения анализа. Проверка завершается менее, чем за минуту, и в итоге отображается вердикт: является ли устройство уязвимым или нет.

Если были обнаружены риски безопасности, приложение отображает ссылки на конкретные уязвимости с идентификатором CVE.

На данный момент отсутствует 100-процентная защита от данной уязвимости. Однако, пользователи уязвимых устройств могут предпринять меры предосторожности. Будьте внимательны и осторожны при установке приложений из сторонних источников.

На данный момент ожидаются патчи от производителей уязвимых смартфонов. Как показывает практика, решение проблемы может потребовать приличное время. Для некоторых устройств патчи могут так и не выйти, в этом случае нужно будет рассмотреть переход на другое устройство.

Проверьте ваши мобильные устройства с помощью QuadRooter Scanner. Является ли ваш смартфон или планшет уязвимым?

Источник

7 сервисов для поиска уязвимости мобильных приложений

Проверьте, есть ли в системе безопасности вашего мобильного приложения слабые места, и исправьте их, пока они не навредили вашей репутации.

Согласно последним исследованиям NowSecure более чем в 25% мобильных приложений есть хотя бы одна критически опасная уязвимость.

В 59% финансовых приложений для Android есть три уязвимости из списка OWASP Топ-10.

Чем больше используют мобильные телефоны, тем больше появляется мобильных приложений. В магазине приложений Apple App Store доступно более 2 миллионов приложений, а в Google Play Store — более 2,2 миллионов.

Существует множество видов уязвимости, к наиболее критичным из них относятся:

В статье используются следующие сокращения:

1. Ostorlab

Ostorlab позволят проверить приложение на Android или iOS и получить подробный отчет о результатах проверки. Загрузите файл вашего приложения в формате APK или IPA и спустя несколько минут отчет о безопасности будет готов.

Максимальный размер файла для загрузки на проверку 60 Mb. Тем не менее, если размер вашего приложения превышает 60Mb, то можно связаться со специалистами Ostorlab, чтобы разместить файл через запрос API.

В основе лежат такие программы с открытым исходным кодом как Androguard и Radare2. Советую бесплатно проверить ваше мобильное приложение при помощи Ostorlab.

2. Appvigil

Найдите все пробелы в системе безопасности вашего мобильного приложения с помощью Appvigil и получите подробный отчет об уязвимости за считанные минуты.

С Appvigil вы получите не только описание возможных угроз, но и рекомендации по устранению уязвимости для быстрого решения проблемы. Никакие программы устанавливать не надо, поскольку все обрабатывается в облаке Appvigil.

После того, как вы загрузите файлы APK или IPA производится статический и динамический анализ приложения (Android/iOS), в том числе и на наличие уязвимости из списка OWASP Топ-10.

3. Quixxi

Quixxi предназначен для получения мобильной аналитики, защиты мобильных приложений и восстановления потенциальных доходов. Если вам нужно просто проверить приложение на наличие уязвимости, то загрузите файл приложения Android или iOS сюда.

Для проверки потребуется несколько минут. После завершения проверки у вас будет краткий отчет об уязвимости. Если же вам нужен полный отчет, то нужно зарегистрироваться на сайте. Это бесплатно.

4. AndroTotal

Как можно догадаться по названию, AndroTotal пригоден только для работы с приложениями на Android. AndroTotal проверяет файл APK на наличие вирусов и вредоносного кода, сверяя результаты следующих антивирусных программ:

5. Akana

Akana — это интерактивный инструмент для анализа приложений для Android. Akana проверяет приложение на наличие вредоносного кода и отображает сведения о результатах.

Проверка бесплатная, так что попробуйте и посмотрите, нет ли в вашем Android приложении вредоносного кода.

6. NVISO

Nviso APKSCAN — это еще один удобный сетевой инструмент для проверки приложения на наличие вредоносного кода. Результаты могут быть готовы не сразу, это зависит от вашего места в очереди. Можете оставить свою электронную почту и получить уведомление, когда отчет будет готов.

Я проверил макет своего приложения с помощью Nviso и увидел, что проверяется следующее:

7. SandDroid

SandDroid проводит статический и динамический анализ и формирует полный отчет. Можно загрузить файл APK или zip-файл размером не более 50 Mb.

SandDroid разработан исследовательской группой Botnet и Сианьского транспортного университета. Проверяется следующее:

Надеюсь, инструменты для проверки уязвимости помогут вам проверить безопасность мобильного приложения и устранить найденные проблемы.

Если у вас свой сайт, то возможно вас заинтересует возможность автоматической проверки сайта на наличие уязвимостей.

Надеюсь, что Вам также будет интересна возможность поиска виртуальных серверов и виртуального хостинга на Хостинг Кафе.

Источник

Уязвимости смартфонов

Привет, Хабр! Меня зовут Ярослав Сташевский, я менеджер по информационной безопасности «ИТ-ГРАД». Сегодня я хотел бы поднять тему, которая касается каждого, — уязвимости смартфонов. Люди привыкли доверять своим мобильным устройствам очень чувствительную информацию. Это касается и файлов, хранимых на устройстве, и того, что передается беспроводным путем. Согласитесь, вы сами вряд ли часто задумываетесь о том, что кто-то может целенаправленно навредить вашему смартфону или похитить данные. Создается ложное ощущение собственной безопасности, основанное как на доверии к технологиям, так и на убеждении “а кто меня будет ломать, кому я так сильно нужен?”.

Этой небольшой заметкой я хочу напомнить всем, что способов атаковать мобильный телефон существует предостаточно и многие из них достаточно просты в реализации. В частности, мне хотелось бы проверить, насколько реально безопасной является двойная аутентификация (ввод пароля на сайте + код из SMS/звонка).

Спойлер: взламывать я буду свой собственный смартфон.

В первую очередь меня заинтересовали достаточно свежие атаки: так называемая SS7, simjacker, ее «брат» WIBAttack, а также варианты атак на телефоны конкретных вендоров (Huawei, Samsung и т.д.).

Для общего развития пройдемся по упомянутым выше атакам и эксплуатируемым ими уязвимостям:

Мой выбор пал на атаку, суть которой заключается в подготовке и отправке на телефон жертвы специального сервисного сообщения с вредоносной нагрузкой. Такие сообщения обычно отправляют операторы сотовой связи, например, для обновления ПО сим-карты, передачи настроек сети на телефон и отправки специальных всплывающих уведомлений пользователю (Flash SMS).

Разумеется, сфабриковать такое сообщение с помощью штатных SMS-мессенджеров Android нельзя, и нам понадобится специальное ПО. Наиболее интересными мне показались следующие приложения:

HushSMS — простое android-приложение, которое, тем не менее, обладает всем необходимым функционалом для атаки.

/ Интерфейс HushSMS

NowSMS — более продвинутая утилита. Она использует мобильный телефон в качестве модема и обладает впечатляющим функционалом формирования сервисных сообщений.

Используя протокол OMA CP, я сформировал специальное сообщение, которое смогло обойти защиту моего Huawei и не было проверено. Путем проб и ошибок мне удалось подобрать оптимальный вариант аутентификации и добиться результата: с помощью «сервисного» сообщения я изменил настройки точки доступа своего телефона. Уязвимость подтверждена.

В реальной жизни это означает, что потенциальный злоумышленник сможет, например, перенаправить трафик с моего устройства на подконтрольный прокси-сервер. Или изменить схожим образом другие настройки телефона и получить контроль над звонками и SMS. Как вы понимаете, в этой ситуации никакая двойная аутентификация меня не спасет.

Ниже я приведу несколько скриншотов в качестве иллюстрации проведенной атаки.

Тесты Flash SMS. Удивительно, но это можно использовать для сокрытия номера отправителя.

Что же из этого следует?

Все мы прекрасно знаем правила информационной безопасности и стараемся их соблюдать. Однако, когда речь заходит о наших мобильных устройствах, мы зачастую не замечаем или не понимаем опасность. Как вы видите, злоумышленник может с легкостью скомпрометировать ваше мобильное устройство и долгое время получать важную информацию о вас и о вашей компании.

Источник

Три способа разоблачить мобильного шпиона

Три способа найти приложения для слежки на вашем смартфоне, если они там есть.

Когда заходит речь о шпионских приложениях, может показаться, что это что-то из другой реальности — той, в которой играют по-крупному: политики, серьезного бизнеса и так далее. Но в реальности совсем не обязательно быть Джеффом Безосом, чтобы кому-то понадобилось за вами следить. Работодателю может быть очень интересно, что вы делаете вне офиса, а второй половинке — где и с кем вы бываете.

Подозреваете, что за вами кто-то может шпионить через смартфон? Рассказываем, как можно это проверить.

Как найти мобильного шпиона самостоятельно

Мобильные шпионы стараются действовать незаметно для пользователя, и все же большинство так или иначе проявляет себя. Пакет мобильного Интернета кончается раньше положенного, а аккумулятор садится быстрее обычного? Это повод насторожиться и проверить, какие приложения особенно активно используют ресурсы телефона. Нужные вам настройки на разных устройствах могут называться по-разному, но обычно это что-то про «мобильный трафик» (или, скажем, «использование данных») и «батарею» (или «аккумулятор») соответственно.

Внезапно включается Wi-Fi, мобильный Интернет или геолокация, хотя вы точно помните, что все это выключали? Опять-таки, посмотрите, какие программы потребляют трафик, а еще — пользуются доступом к вашему местоположению. Про проверку выданных разрешений в Android у нас есть отдельный пост. О разрешениях в iOS можно почитать на сайте Apple.

Как найти мобильного шпиона с помощью Kaspersky Internet Security для Android

Лень копаться в настройках и искать шпиона самостоятельно? Владельцам устройств с Android поможет мобильное защитное решение. Например, Kaspersky Internet Security для Android вычислит вражеского агента, даже если у вас бесплатная версия.

Из-за спорного юридического статуса некоторых мобильных шпионских приложений (stalkerware) многие защитные программы называют их not-a-virus, но все равно о них предупреждают, так что внимательно читайте сообщения от антивируса.

Правда, у этого метода есть один недостаток: некоторые приложения для слежки оповещают своих хозяев о том, что на устройстве появился антивирус. Если вы опасаетесь, что за вами следит, скажем, ревнивый супруг, возможно, ему не стоит знать о ваших подозрениях. Чтобы помочь пользователям вычислить шпиона, не выдав себя, мы создали TinyCheck — незаметно работающую систему обнаружения шпионских приложений, которой к тому же все равно, Android у вас или iOS.

Как найти мобильного шпиона с помощью TinyCheck

Что такое TinyCheck? Это программное решение, которое мы изначально разработали в помощь жертвам домашнего насилия, но потом поняли, что в современном мире оно может пригодиться кому угодно. Правда, в нынешней версии оно требует определенных технических познаний и готовности возиться с железками.

Дело в том, что TinyCheck устанавливают не на смартфон, а на отдельное устройство, например на микрокомпьютер Raspberry Pi, — именно поэтому шпионское приложение на телефоне не сможет его заметить. Это отдельное устройство нужно настроить так, чтобы оно выступало в роли посредника между роутером и подключенным к Wi-Fi гаджетом.

После этого весь ваш интернет-трафик будет проходить через TinyCheck, и тот сможет анализировать его в реальном времени. Если ваш смартфон отправляет много данных, скажем, на известные серверы шпионских приложений, то TinyCheck это заметит и предупредит вас. Вот как это выглядит на практике:

Подробные технические требования и инструкцию по настройке TinyCheck можно найти на странице решения на GitHub.

Как незаметно проверить телефон без глубоких познаний в IT?

Если название Raspberry Pi вам ни о чем не говорит, а то, что вам показывает по этому запросу Google, скорее отпугивает, вы можете попросить настроить TinyCheck знакомого айтишника. Лучше именно знакомого, которому вы доверяете на все 100%. Обращаться за помощью в сервисные центры не стоит — кто его знает, что соберут тамошние кулибины. И уж тем более не стоит просить об одолжении кого-то, кто может иметь отношение к слежке: с большой вероятностью он просто добавит шпионское приложение в «белый список», и TinyCheck не будет его обнаруживать.

Как спастись от слежки

Вы тем или иным способом обнаружили на смартфоне шпионскую программу? Не спешите ее удалять — тот, кто ее установил, это быстро заметит, и удаление шпиона может привести к эскалации конфликта. К тому же вам могут понадобиться улики, а если вы удалите программу — никаких улик не останется.

Разумно будет сперва озаботиться защитными мерами. Например, если за вами следит партнер, склонный к агрессивным действиям, прежде чем что-то делать со шпионским приложением, обратитесь в центр помощи жертвам домашнего насилия (где такие центры искать — рассказано здесь).

А в некоторых случаях проще вообще поменять смартфон и позаботиться о том, чтобы на новое устройство приложения для слежки не попали:

Больше информации о шпионских приложениях и о том, как с ними бороться, можно найти на сайте организации Coalition Against Stalkerware, занимающейся противодействием бытовой слежке.

Источник

Проверь свой Android на уязвимости

Введение в Assembler

За последнее время в разных версиях Android найдено значительное количество уязвимостей, включая пресловутый Heartbleed. По разным причинам, многие пользователи до сих пор не установили патчи для устранения этих опасных багов. Это можно понять: производители часто «забывают» о поддержке старого оборудования, направляя все силы на выпуск новых моделей.

Чтобы проверить наличие уязвимостей в устройствах, работающих на старых версиях Android, компания Bluebox выпустила приложение Bluebox Security Scanner, бесплатно доступное в Google Play. Недавно вышла новая версия 1.9.

Bluebox Security Scanner в данный момент определяет наличие четырёх уязвимостей: 8219321, 9695860, 10145349 и 13678484. Первые три касаются процесса верификации цифровых сертификатов для устанавливаемых приложений (баг Masterkey). Сканер проверит наличие установленных приложений, которые эксплуатируют указанный баг.

Самая опасная — уязвимость 13678484 (FakeID). Она допускает установку приложения с любым цифровым сертификатом, так что вредоносное приложение может выдать себя за другую программу от доверенного разработчика.

К сожалению, Bluebox не может автоматически скачать и установить патчи, если на устройстве обнаружены уязвимости. Выпуском патчей занимается производитель устройства. По данным Google, на руках пользователей во всём мире сейчас находится около 6300 разных моделей Android-устройств. Для каждого из них нужны собственные патчи.

Источник