Enciphers: iOS Application Security

Этот курс предлагает современное учебное лабораторное пособие, которое обеспечивает практическую отработку реальных сценариев различных атак. Обновленное содержание курса гарантирует, что вы изучите новейшие методы и будете оставаться впереди в постоянно развивающейся области безопасности iOS. Благодаря интерактивным занятиям вы сможете глубоко усвоить материал.
Вы изучите все аспекты безопасности iOS что делает курс по-настоящему уникальным.

#cours

Просто оставлю это здесь :)

спасибо @macsecurity

Enciphers: iOS Application Security

Библиотека Cobalt Strike

Модификация ядра Android для анализа приложений

Мой опыт пересборки Android-ядра был когда-то давно, когда мне нужно было включить поддержку iptables доя перенаправления трафика в дальнейшем на эмуляторе. Веселое прикоючение на 20 минут, войти и выйти 😉 Особенно, когда делаешь это первый раз)

Но вот такая статья мне бы точно тогда пригодилась!
Автор обещает целый цикл статей, будем следить за ним! По описанию, планирует рассмотреть более продвинутые методы отладки и кастомизации ядра для детального анализа приложений.

Ну а в первой статье он предоставляет пошаговое руководство по сборке и модификации ядра Android, а также по его тестированию в виртуальной среде. Ну и конечно много полезной информации о внутреннем устройстве ядра и прочих хитростей!

Enjoy!

Я частенько говорю о том, что Samsung слишком много себе позволяют когда лезут в разные части Android и переписывают их на свой лад. Но беда в том, что лезут они не только в Android, но и в более глубинные слои. Что из этого выходит? Уязвимости конечно.

Ребята из Quarkslab сделали отличный доклад по эксплуатации уязвимостей в цепочке загрузки Samsung Galaxy A225F. Точка старта - феерическая. Кастомный JPEG парсер, который ребята из Samsung вкрячили в Little Kernel. Конечно же этот парсер содержал уязвимость (или бэкдор? 🌚), которая позволяла выполнять произвольный код. Чем и воспользовались исследователи.

Очень интересный, технический доклад. Рекомендую!

потрясающе!

и в дополнение от @DIJIR0:

Небольшой снипет как хукать функции jni в фриде, не гугля индекс каждой функции

Исследование JNI через Frida

Ну и да, к слову о предыдущем посте, многие вещи специально реализуют в нативе, чтобы усложнить анализ.

И для тех, кто хотел бы глубже погрузиться в этот чудесный мир, есть статья, где автор делится советами по детальному анализу поведения нативных методов, с акцентом на использование указателей функций внутри структуры JNIEnv.
Он объясняет, как нативные методы, написанные на C/C++, взаимодействуют с Java-кодом через JNI, а также как с помощью Frida можно получить доступ к структуре JNIEnv и что с его помощью можно сделать.

Звучит страшно, но статья правда хорошая, хоть и небольшая. Осталось только на практике ее как-то применить))

Разработка под мобилки это просто? Или же нет?

На самом деле весьма и весьма хороший вопрос. насколько просто сейчас разрабатывать современные приложения под мобильные ОС?

Раньше, как мне кажется, все было сильно проще, вот тебе Java, вот тебе Objective-C, вот теперь мобилка, которая отображает данные с сервера.. 😈
Но сейчас, анализируя современные приложения ты понимаешь, насколько всего за какой-то десяток лет ушла мобильная разработка. Свои фреймворки, технологии, подходы, локальные вычисления, продвинутая логика, абсолютно все, что можно придумать уже есть в мобилках. А еще и огромное количество устройств надо поддерживать, учитывать нюансы разных ОС и их версий и разных форм-факторов (как телефоны с раскрывающимся экраном)..

Я на самом деле поражаюсь, как оставаться в стриме современных технологий. И как один из способов, это, конечно различные ТГ-каналы, которые публикуют новости, какие-то заметки из будней разработки и помогают хотябы не терять нить) А иногда и по безопасности попадаются статьи в таких каналах и тогда приходит понимание, что все это не зря)))

Один из таких каналов, на которые подписан - @dolgo_polo_dev
Как раз последние посты про наш любый SSL Pinning, mTLS и скрытие контента на превью на примере PornHub:
- mTLS / SSL Pinning на пальцах
- Как PornHub бережет твою репутацию

Так что, надеюсь, вам тоже понравится))

Jadx with AI

А тем временем AI все плотнее входят в нашу жизнь :)

Вот, теперь и плагинчик для Jadx подъехал! Очень круто!

https://github.com/zinja-coder/jadx-ai-mcp
#jadx #mcp #ai

Запуск iOS в qemu

Еще одна попытка запуска iOS в эмуляции через qemu. При этом, все очень классно описано, все шаги и подводные камни, с которыми столкнулись исследователи. И даже вроде запускается!

Все прошлые репозитории и попытки запустить сколь-нибудь рабочее и предсказуемое поведение у меня ни к чему не привели. Может быть этот вариант будет более рабочим, но все равно верится слабо)

И пока что там только iOS 14. Но надеемся, что это будет отправной точкой для следующих свершений!

🔎 Вебинар "Подготовка к сертификации РБПО"

В 2024 году ФСТЭК России запустила новый подход к сертификации продуктов – теперь для ПО средств защиты допускается вместо отдельных сертификации новых версий ПО сертифицировать конвейер разработки этого ПО, что позволяет ускорить процесс выпуска релизов в эксплуатацию.

15 апреля в 14.00 мск расскажем, как организовать процесс безопасной разработки программных продуктов в соответствии с требованиями ГОСТ 56939–2024. 📑

Что обсудим?
▶️Обязательно ли прохождение сертификации РБПО?
▶️Зачем проводить сертификацию процессов безопасной разработки ПО?
▶️ГОСТ 56939-2024: как проводится подготовка к сертификации?
▶️Опыт СберТеха: как компания эволюционно пришла к такому решению, как готовились, с какими вызовами столкнулись в процессе прохождения сертификации.

Спикеры:
- Аскерова Альбина, руководитель направления по взаимодействию с регуляторами, Swordfish Security
- Алексей Щербаков, начальник центра кибербезопасности платформы, СберТех

🎁 Подарок всем участникам — чек-лист по сертификации процессов РБПО!

👉 Регистрируйтесь по ссылке и готовьте ваши вопросы!

Будет полезно
- CISO
- CIO
- Сomplience-специалистам
- DevSecOps-специалистам

🔵 Дайджест следующих вебинаров серии безопасной разработки приложений для FinTech.

#ВебинарыSFS

Регуляторика в ИБ

На самом деле, я скажу, что сам достаточно сильно погрузился в регуляторику. Правда, пытаюсь притянуть туда мобильные приложения, но все равно достаточно плотно сижу с разными регламентами и доками.

И вот такие вот семинары/вебинары очень помогают!

Так что спешу вас пригласить!

Полезные материалы по безопасности мобильных приложений
Попросили сформировать минимальный набор ресурсов, которые я бы порекомендовал к ознакомлению, если вам интересна безопасность мобильных приложений.
Понятно что этот список охватывает только самые базовые моменты, но ресурсов должно быть достаточно для понимания того куда двигаться дальше.

БАЗА:
(В этом разделе основные ресурсы с которыми вы будете сталкиваться на работе + вектора атак для понимания от кого мы защищаемся)
- OWASP Mobile Top 10
- MASVS/MASWE/MASTG
- Сценарии атак на МП

Курсы и циклы статей:
(Статьи и курсы которые я бы мог рекомендовать для совсем начинающих или тех кто дне понимает с чего начать)
- Инструменты анализа безопасности Android
- Не плохие бесплатные курсы по безопасности МП
- Cборник с заметками, apk тасками и книгами

Книги:
(Для тех кому нравится читать)
- Android глазами хакера
- Хакинг на Android
- Android Security Internals

Каналы и блоги:
(Люди за которыми стоит следить для повышения погружения)
- Блог Сергея Тошина о безопасности мобилок
- Канал сообщества Android Guards
- Блог Юрия Шабалина
- (Не)Уникальный опыт
- iOS Helper

Возможно со временем что-то дополню :)

на и раз пошел такой разговор, еще подборочка для начинающих)

Приятно, когда твои материалы используют!

Спасибо!

Кстати, надо бы обновить awesome репозиторий, займусь на неделе)
:)

📱 Подборка материалов по мобильной безопасности.

• Здесь собраны материалы, которые могут быть полезны с практической точки зрения. Из них можно узнать о способах атак на приложения, прочитать об уязвимостях, изучить, как работают механизмы операционной системы и т.д.:

• iOS Security Awesome:
➡Инструменты анализа;
➡Инструменты защиты;
➡Уязвимые приложения;
➡Видео;
➡Статьи.

• Android Security Awesome:
➡Инструменты анализа;
➡Общие;
➡Динамический анализ;
➡Онлайн анализаторы;
➡Инструменты защиты;
➡Уязвимые приложения;
➡CTF;
➡Прохождение CTF;
➡Видео;
➡Подкасты;
➡Статьи.

#ИБ

🌐 Вебинар "Интеграция статического анализа и DevSecOps: PVS-Studio и AppSec.Hub в действии"

Расскажем, как повысить безопасность вашего кода с помощью современных инструментов.

AppSec.Hub — платформа DevSecOps от AppSec Solutions, которая автоматизирует внедрение инструментов безопасности и управление процессами безопасной разработки, и PVS-Studio — мощный статический анализатор, выявляющий ошибки и уязвимости в коде.

На вебинаре эксперты продемонстрируют возможности продуктов и покажут, как интегрировать PVS-Studio в AppSec.Hub для создания эффективного конвейера DevSecOps.

Узнайте, как сократить время на поиск уязвимостей и улучшить качество вашего ПО!

🗓16 апреля 12:00

Ссылка на регистрацию 🔗

#AppSec_Вебинары

И снова анонс!

Мне очень нравятся ребята из PVC, их продукт и главное их маскот :D

И я очень рад, что у нас будет совместный с ними вебинар, куда вас всех и приглашаю)

Опубликована программа AppsConf

Итак, друзья, прошла вчера конференция Код Безопасности, смотрим вперед)

Следующая по плану у нас конференция для мобильщиков - AppsConf!
У нее уже опубликована программа, я туда к сожалению не попал, потому что продолбал все сроки по заявке 😁

Но, я планирую обязательно пойти туда и послушать доклады, потому что правда очень много интересного, а руку нужно держать "на пульсе" и смотреть, что нового и интересного есть в мире мобильной разработки!

Так что жду вас тоже на мероприятии! И да, скоро тоже разыграем билет одному из подписчиков, ждите новостей и конкурса 😎

Жизненный цикл Activity в Android

Ну а пока iOS-приложения не скачиваются, можно поизучать детальнее Android ;)

И у ребят из k8s как раз есть отличная статья про Activity Lifecycle. Какие есть состояния, какая логика перехода между ними, какие атаки есть на Activity и т.д.

Очень полезный материал, который поможет лучше узнать, как работают приложения внутри, а без этого понимания очень сложно их ломать и что-то придумывать :)

Хороших всем выходных!

#Android #activity

Загрузка приложений из AppStore больше не работает!

А пока мы спокойно отдыхаем на выходных, Apple изменила свой API и теперь ни один инструмент по загрузке приложений из AppStore больше не работает. Сломаны ipatool, ipatool-py, наша интеграция и всё, что удалось найти :) Спасибо Apple за чудесные новости!

В репозитории ipatool энтузиасты пытаются найти решение, но пока все тщетно. Есть вроде способ с kbsync на айфоне (но придется его пересобрать) или с патчингом iTunes на Windows, но пока нет подверждения, что они еще работают.

Так что ждем, исследуем, пробуем и надеемся что загрузка приложений снова станет доступной 😠

Итоги розыгрыша на конференцию Территория Безопасности

Итак, великим рандомайзером из всех участников был выбран @aleks_8l8!

Поздравляю тебя!

Приходи к нам на стенд обязательно, подарим немного мерча)

Спасибо всем, кто участвовал!

Я немного задержался, простите :)

Сегодня днем разыграем)

Google прикрывает лавочку AOSP?

Поступок Google в марте 2025-го шокировал: вся разработка Android уходит за закрытые двери. Больше никаких открытых коммитов в AOSP (Android Open Source Project) в реальном времени — теперь только готовый код после релиза. Зачем это Гуглу, что это значит для нас и как теперь жить?

AOSP: Открытость на паузе

AOSP — это сердце Android, открытый код, который любой может взять и крутить. Samsung делает One UI, Xiaomi — MIUI, а гики пилят LineageOS. Google рулит проектом, но раньше часть работы велась публично через AOSP Gerrit — там можно было подсмотреть, что готовится в новой версии. Теперь — всё. С 31 марта 2025-го разработка уходит в секретные внутренние ветки, доступные только партнёрам с лицензией GMS (Google Mobile Services). Код в AOSP выложат только после финального релиза — типа Android 16 или патчей.

Зачем?

Google говорит: так проще. Публичная ветка отставала от внутренней — сравни AOSP и бету Android 16: функции и API вечно запаздывали. Синхронизация веток ханимала время, патчи конфликтовали (вспомни настройку экранной лупы — гемор ещё тот). Теперь всё в одном месте, без лишней возни. Но есть нюанс: открытость AOSP была фишкой Android 16+ лет. Это шаг назад?

Как это работает

Google всегда держал две ветки: публичную AOSP и внутреннюю для своих и OEM’ов (Samsung, Qualcomm и ко). Код всё ещё выложат под Apache 2.0, но не в процессе, а постфактум. Для юзеров и девелоперов — ноль изменений. Pixel’ы и Galaxy обновятся как обычно, Play Store не тронут. Но для следящих за коммитами в поисаках интересного (типа упоминания Pixel 10), и контрибьюторов — ад. Отслеживать прогресс разработки станет сложнее.

Плюсы и минусы

Google обещает ускорение разработки — меньше багов, быстрее релизы. OEM’ы с GMS-доступом тоже в шоколаде: они и так видят черновики. Но кастомщики вроде LineageOS или GrapheneOS в пролёте — им ждать финального кода, а не смотреть исходники. Меньше спойлеров о новых фишках (прощай, ранний слив через Gerrit). И главное: внешние патчи в AOSP могут устареть, пока Google пилит своё втихую.

Что дальше?

Android не становится закрытым — код всё ещё открыт после релиза. Но процесс теперь больше похож на iOS: разработка в бункере, а не на виду. Для бизнеса и юзеров — пофиг, для энтузиастов — удар. Google хочет упростить себе жизнь, но теряет дух открытости, который тянул Android вверх. В 2025-м это уже не "Linux для телефонов", а продукт под замком.
Делаем ставки, что будет дальше и ждем реакции разработчиков отечественных форков AOSP

Источник

Встретимся на вебинаре!

Все, кому интересна тема анализа OpenSource, приходите, не пожалеете)

Уже завтра!

🔎 Бесплатный онлайн-интенсив: как разрабатывать безопасные приложения для Fintech

Присоединяйтесь к серии вебинаров от экспертов Swordfish Security, Ассоциации ФинТех и сообщества FinDevSecOps! Разберем реальные кейсы и передовые методики безопасной разработки приложений в финансовом секторе.

Первый вебинар: "Открытый код, скрытые проблемы" - 27 марта в 14.00!

Что обсудим?

▶️Векторы атак на приложения в финансовом секторе в 2024 году
▶️Отличия между инструментами для анализа безопасности Open Source - компонентов
▶️Как избежать распространенных ошибок при внедрении практик управления открытым исходным кодом (OSA) и анализа компонентов (SCA)?
▶️Какие существуют алгоритмы внедрении практик и что необходимо принимать во внимание?

Спикеры:
- Вера Багно, AppSec-инженер, Swordfish Security
- Татьяна Билык, лидер FDSO, директор проектов АФТ
- Карапет Манасян, идеолог и сооснователь FDSO, CPO MOEX

🎁 Подарок каждому участнику - гайд по практикам OSA и SCA!

Будет полезно:
- CISO
- Разработчикам приложений
- DevSecOps-специалистам
- AppSec инженерам

👉 Регистрируйтесь по ссылке и готовьте ваши вопросы!

🔵 Дайджест следующих вебинаров серии.

#ВебинарыSFS

Розыгрыш билета на конференцию Территория Безопасности!

Всем привет!
Уже скоро пройдет конференция, которая мне очень понравилась в прошлом году, на которой я обязательно буду в этом и хотел бы пригласить и вас)

И конечно, как обещал, розыгрыш одной проходки на конференцию!

Условия конкурса:
1. В комментарии к этому посту оставляем комментарий с тэгом #ТБ
2. Форвардим этот пост или любой другой из канала знакомым/друзьям

В целом и все)
В среду среди отметившихся проведу розыгрыш через рандомайзер и отдам билет)

Очень жду вас, друзья) И увидимся обязательно на ТБ)

#конкурс #билеты #халява #территорияБезопасности

Плагин для Magisk - перехват трафика Flutter-приложений

Всем привет!

Недавно мне написал @mike_fpv с крутой историей про то, что они сделали! А именно, удобный плагинчик для перехвата трафика Flutter-приложений. Все мы знаем, что флаттер игнорирует системные настройки проксирования и нужно либо патчить приложение reFlutter-ом, либо ручками настраивать iptables (там где они есть).

История создания плагина от автора:
Хочу поделится информацией о своем плагине, который мне очень помогает в регулярной работе с перхватом траффика флаттер приложений. C коллегой, настраивали перехват флаттер трафика на одном из устройств и я с удивлением обнаружил, что оказывается ProxyDroid вообще выпилили из Google Store. Суть в том, что для флаттера не достаточно только прописать прокси в настройках вай-фай, но так же нужно менять маршрутизацию на самом устройстве, и раньше для этого служил ProxyDroid, но на SamsungS24 + Android 14 я обнаружил, что он только делает вид что работает, но по факту ничего не делает. Помучившись с изменением iptables вручную через коммандную строку, я написал свой плагин для Магиска. Его суть довольно простая - отслеживать изменение конфигурации для файфая и автоматически патчить iptables на нужные параметры. В итоге я пользуюсь им сам уже более 2х месяцев и только положительные впечатления, когда переключаюсь на разные компы и разные прокси, переключение происходит максимально бесшовно. Уверен кому то тоже пригодится, особенно, когда ProxyDroid стал недоступен.

Ну и собственно ссылка на сам плагин:
https://github.com/czuryk/IPTUpdaterPlugin/

Вот побольше бы таких людей, кто делает вещи, которые нам очень помогают. Спасибо большое @mike_fpv!

#Flutter #Android #Traffic

Изучая документацию jadx наткнулся на упоминание, что его можно подключить как библиотеку в свое Java приложение. И эта идея настолько понравилась, что в итоге вылилась в небольшой комбайн, который удобно использовать для первоначальной обработки JAR/WAR/APK приложений при анализе защищенности.

https://github.com/BlackFan/BFScan

BFScan анализирует строковые константы в Java-классах и ресурсах приложения для поиска строк, похожих на URL, пути или захардкоженные секреты.
А также формирует сырые HTTP запросы и OpenAPI спецификацию на основе конфигов, аннотаций методов и классов. При этом поддерживаются как клиентские библиотеки (например, Retrofit), используемые в APK для взаимодействия с бэкендом, так и серверные технологии, такие как Spring-аннотации. Что значительно облегчает тестирование API, когда тело HTTP запроса необходимо сформировать из десятка вложенных классов.

Рассмотрим пример работы утилиты с классом, использующим Spring-аннотации.

@RestController
@RequestMapping("/api")
public class UserController {

@PostMapping("createUser")
public String create(@RequestParam Optional someParamName, @RequestBody User user) {
return "response";
}

В случае, если обрабатываемое приложение использует поддерживаемую библиотеку, утилита сгенерирует файл, содержащий все HTTP запросы, поддерживаемые приложением.
POST /api/createUser?someParamName=value HTTP/1.1
Host: localhost
Connection: close
Content-Type: application/json

{
"name": "name",
"age": 1
}

Приложение удобно использовать как для клиентских приложений, когда вы анализируете API мобильного приложения. Так и в случае, если вы получили скомпилированный JAR/WAR от серверного приложения, для поиска в нем захардкоженных секретов или дальнейшего анализа API эндпоинтов, которое оно обрабатывает.

Если приложение обфусцировано, что часто бывает с APK, утилита проанализирует все аннотации и, если они похожи на типичное объявление API эндпоинтов, построит HTTP запросы на основе них. В случае, если данная функциональность сработала неправильно, используя jadx вы можно легко сформировать mapping-файлы для переименования обфусцированных классов и корректного формирования HTTP-запросов.

Секретики

Яблочники по всему миру, сами того не подозревая, хранят свои банковские сведения в открытом доступе.

По данным Cybernews, более 156 тысяч приложений в App Store от Apple содержат в своих исходных кодах свыше 815 тысяч секретных сведений, включая платёжные системы, API, а также ключи к облачному хранилищу.

Исследователи обнаружили более 406 ТБ данных просто из-за того, что из 83 тысяч уязвимых конечных точек хранилищ 836 не требуют аутентификации.

Сотни конфиденциальных ключей могли быть использованы хакерами для компрометации личных данных пользователей, осуществления платежей и возвратов. Представители Cybernews обратились к Apple за комментариями, поэтому исход ситуации ещё только предстоит выяснить.

А пока напомним, что в 90% случаев мониторинг обновления приложений у корпорации занимает всего 24 часа. При этом самый крутой и известный бренд смартфонов не проверяет присутствие зашитых секретов в приложениях.

Где-то тихо улыбаются ведрофонеры 🤪

НеКасперский

Секреты-секретики!

Очень классная статья про исследование iOS-приложений в Appstore и их тем секретам, что они хранят внутри себя!

Со своей стороны могу только подтвердить этот факт, мы неоднократно писали об этом. И про то как эти секреты обнаружить и проверить, и про то, как проверять и искать конкретно секреты от Firebase.

И часто на самом деле, iOS-приложения более подвержены этому риску, не знаю уж почему. Но если в Android применяют шифрование при хранении в local-storage, то в iOS чаще нет. Это же касается и секретов в коде.

Так что пожалуйста, проверяйте свои приложения и выпиливайте оттуда секреты. Ну или правильно настраивайте внешние сервисы!

Какой первый вопрос должен быть в чате по мобильной безопасности?

Само собой главный вопрос, который всех интересует: “Как снять SSL Pinning?” Ну или на крайний случай, «Как обойти проверку на root”?

По сети сейчас гуляет репозиторий с фрида скриптом, который позволяет снимать пиннинг и обходить проверки на рута, так сказать два в одном!

Я долго до него добирался, так как ожидал увидеть что-то обыденное и давно известное. Но репозиторий приятно удивил! На самом деле, очень неплохая подборка способов обхода пиннинга, рута и детектов фриды.

Конечно, в особо замороченных приложениях это не спасет, но скрипт написан качественно и более того, его пока еще поддерживают.

Так что, как отправная точка, более чем!

#frida #root #sslpinning

Курсы по мобилкам от 8ksec.io

Всем привет!

Я постил несколько статей из блока компании 8ksec, они были очень даже неплохие. И тут обнаружил, что у них есть курсы по анализу мобилок.

Судя по описанию неплохо, но вопрос, может кто их проходил или знает как оно там? Поделитесь опытом :)

Вторая часть статьи про фаззинг нативных компонентов Android

Когда-то давно мы находили прикольную багу в автоматическом распознавании счета 1С и заполнения соответствующих полей в приложении. Для распознавания библиотека делала снимок с камеры, складывала его на sd-карту, считывала это изображение и после проводила OCR. Само собой, мы написали небольшой скрипт, который бы ждал появления файла с определенным названием в директории и подменял его на другой. И все данные по переводу оказывались данными злоумышленника 😈

Потом в этой же библиотеке мы при помощи AFL нашли достаточно большое количество крашей)

Но это все ручной анализ, а вот в статье ребята рассказывают про более системный подход, представляя его, как подробное руководство по процессу фаззинга нативных компонентов Android, начиная с анализа Java-слоя и заканчивая созданием харнесса для нативных функций.

Надеюсь, вам понравится!

#Android #native #fuzzing

Если стандартные способы распаковки apk не работают

Недавно нашел очень интересный инструмент apkInspector, который может помочь в случаях, когда не работает apktool или другие похожие тулы.

Авторы написали очень классную статью, зачем и для чего они сделали подобный инструмент. На самом деле для случаев, когда используются методы защиты от статического анализа, например, нестандартные методы сжатия или измененную структуру AndroidManifest.xml.

Так, если в проектах попадется приложение, которое не получится поисследовать стандартными инмтрументами, попробуйте этот тул, вполне возможно это вам поможет :)

ИИ-Шизофреник, насколько это реально?

Все мы знаем, что известные ИИ модельки достаточно часто галлюцинируют и могут выдавать фантазию за действительность. Но насколько это распространенный случай и главное, можно ли намеренно "испортить" чью-то модель, заставляя ее думать, что 2+2=5?

На самом деле можно и очень очень многое зависит от данных, на которых модель обучалась и обучается ли она в процессе своей работы на ответах пользователям.

И как раз очень скоро будет вебинар как раз на эту тему «ИИ-шизофрения: Или все дело в исходных данных».
Основные темы:
- Влияние качества данных на эффективность ИИ.
- Типичные ошибки и искажения в данных.
- Методы предотвращения ошибок и повышения надежности ИИ-систем.

Я очень надеюсь на него попасть или хотя бы посмотреть в записи)

Если в эмуляторе нужно вставить картинку для отображения в камере

Маленькие заметки на полях, вдруг кому-то покажется актуальным. Как добавить изображение в дефолтную камеру в эмуляторе. Ну например, если нужно считать QR-код, а из файла нет такой возможности этого сделать, только через камеру.

Есть небольшая хитрость, а именно кастомные постеры прямо внутри камеры. Как это сделать на примере QR кода:

1. Находим и открываем любым удобным текстовым редактором файл внутри директории с Android SDK
nano /emulator/resources/Toren1BD.posters

2. Вносим в конец файла следующие строки:
poster custom
size 1 1
position 0.1 -0.1 -1.9
rotation 0 0 0
default qr.png
Этот блок позволит вам поставить изображение qr.png в центр экрана

3. Копируем файл с изображением в директорию относительно расположения AndroidSDK -
cp qr.png emulator/resources/qr.png

4. Перезапускаем эмулятор (но это не точно, может и так сработать)

4. ...

5. Profit! Открываем камеру и видим наше изображение в центре экрана!

Надеюсь этот маленький гайд когда-то сэкономит кому-то время и это было не зря)

#Android #Emulator #Camera #QR

Для начинающих в iOS

Все мы когда-то начинали свой путь и все проходили различные уязвимые приложения, чтобы понять, как это вообще, анализировать мобильные приложения, какие проблемы бывают и какие инструменты использовать.

Для iOS наиболее популярными приложениями являются DVIAv2 и iGoat.

И вот небольшой гайд по решению задач в приложении iGoat. Чем он может быть полезен? Как минимум тем, что дает базовое представление об используемых инструментах, техниках и проблемах для iOS-приложений. Повторив то, чтоинаписано в статье можно как минимум часть нужного и полезного софта поставить к себе и более того, попробовать им воспользоваться.

Ну а повторение этих действий на своих приложениях может привести к очень интересным находкам :)

#iOS #challenge #ctf #iGoat

☁️Офлайн-встречи мобильных разработчиков уже в эти выходные!

😉Привет! На связи Coffee&Code — международное сообщество мобильных разработчиков.

😎Приглашаем вас на бесплатные встречи мобильных разработчиков в формате дружеской беседы. Будем обсуждать разработку, делиться опытом, задавать вопросы и просто приятно проводить время в кругу единомышленников.

🤪Пообщаемся на технические темы, обсудим интересные события из мобильной разработки, разберем вопросы с собеседований и поделимся опытом!

🤖 Android | 📱 Mobile | 🍏 iOS

📍СПИСОК ГОРОДОВ

💃Также мы выкладываем интересные технические/полезные видосики в наш YouTube канал и записываем Подкаст! Ждем тебя на встречах!

Кофе и код, что может быть лучше?

Всем привет!
Ребята из дружественного канала делают очень классные и крутые подкасты, видосы и другой контент по мобильной разработке, а главное регулярно проводят оффлайн-встречи.

Присоединяйтесь!)

iOS-пентест без Jailbreak

Все мы знаем сложности в современном мире, где для того, чтобы удобно проанализировать приложение на iOS нужно устройство с Jailbreak. Но что делать, если в скупках и на авито уже закончились iPhone X, а приложение требует iOS 17+?

Ответ с подробными шагами по установке окружения есть в интересной статье. Авторы подробно рассказывают, как проводить полноценный анализ iOS-приложений на современных устройствах без джейлбрейка. Как скачать приложение с AppStore (с использованием Apple Configurator), как снять защиту FairPlay (твик Iridium), как подготовить сертификаты и переподписать приложение с дебаг-режимом и наконец подключиться к нему при помощи Objection и получить полный доступ к песочнице, хукам и т.д.

Очень интересная статья, для себя отметил несколько новых инструментов и техник.

Изучаем и пользуемся!

#iOS #Jailbreak #Pentest

Потрясный подкаст с Дмитрием Лукьяненько

Очень интересный подкаст вышел с единственным исследователем в СНГ, который обладает HackerOne MVH (Most Valuable Hacker) Belt!

И очень круто послушать, как он прошел такой путь от разработчика Android к багхантингу! Очень интересный путь и очень интересный подкаст, спасибо Дмитрий!

Много лет назад, когда я начинал свой путь в security, первой ступенькой в mobile security для меня стали доклады Дмитрия Лукьяненко. На тот момент он работал Android разработчиком и в свободное время занимался багхантингом.

Спустя столько лет я был очень рад встретиться с ним, поговорить о его пути, мотивации и результатах, которых он добился. Быть лучшим исследователем для многих крупных компаний — это заслуга, достойная огромного уважения!

Спасибо, что нашел время и поделился своим опытом!
Подписывайтесь на канал, ставьте лайки, оставляйте комментарии под выпуском 🫶

Дизассемблер для iOS и MacOS приложений

Дизассемблер/декомпилятор предназначенный специально для приложений iOS. На самом деле, представляет из себя надстройку над Ghidra с несколькими улучшениями для более удобной работы с iOS-приложениями.

По сути, основные фичи:

- Прямая поддержка IPA файлов
- Автоматическое декодирования ресурсов iOS
- Помогает не тратить время на декомпиляцию кода библотек
- Реконструирует классы Swift
- Встроенный LLM

В целом, может с ним чуть проще будет, чем с «голой» Гидрой, но мой интерес может представлять разве что встроенная LLM-ка (и то посмотреть надо что делает).

Если кому поможет в работе, будет здорово) а может кто уже использует и поделится мнением)

Чуть больше 2 лет назад узнал тут, что в США есть список запрещённых букв, с которых не может начинаться трёхбуквенное название аэропорта. Одна из них — Q. Почему? Потому что с Q начинаются некоторые из служебных сообщений при телеграфировании (да-да, том настукивании точка точка тире точка).

Сегодня из Википедии узнал, что один из кодов QNB означает:
— (запрос) QNB = «Сколько кнопок на вашем радио?»
— (ответ) «QNB 100/5»

...100/5 означает, что кнопок 100, но отправитель знает, что делают лишь 5 из них. Интересно как после этого происходило дальнейшее общение))

Ну и чтоб два раза не вставать, ещё одно весёлое: QLF, «Ты посылаешь левой ногой? Попробуй посылать левой ногой!» — юмористически-уничижительный комментарий о качестве отправленного человеком сообщения. Буду теперь в комментах иногда писать QLF, вот 😀

Есть 100 кнопок, но знаю что делают только 5..

Не могу перестать смеяться)) 😂

Кто и как использует AI в работе?

А вообще вот вопрос у меня назрел. Я достаточно часто и много использую самые разные AI-инструменты в работе.

Начиная от расшифровки видео, транскрибацию, замена гуглению, помощь в презентациях, видео, картинках, текстах, разных PoC, написанию скриптов, систематизацию информации и т.д.

А чем и для чего пользуетесь вы? как инструменты помогают (или не помогают)?

Интересно вообще как и для чего и в каком режиме используете? Может кто что интересное присоветует)

Я чуть позже тоже напишу еще, как и чем я пользуюсь, может кому и интересно будет :)

AI-инструменты для помощи в реверсе

Занятное видео, в котором рассказывается о роли AI-ассистентов, которые могут помочь нам при реверсе различных приложений.

Само собой, многие из нас уже используют подобные инструменты, но из видео я узнал о прикольном плагине r2ai, который предоставляет нативный интерфейс из командной строки для radare2.

И официальная статья NowSecure про этот плагин.

В целом сложно переоценить помощь подобных инструментов, но вопреки расхожему мнению это всего лишь помощник, который может действительно ускорить процесс и помочь, но точно не сделать его полностью, не доросли еще модельки до этого :)

Техническое описание уязвимости CVE-2025-24200

А вот и подоспело очень хорошее исследование описанной ранее проблемы с доступом по USB в последних версиях iOS.

В статье подробно расписано, как исследователи находили измененные части прошивки в security-патче от Apple по сравнению с предыдущей версией.

Даже если вам не очень интересно про эту уязвимость, советую почитать ради описанного относительно простого способа сравнить несколько версий прошивок.

Ну а тем кому небезинтересен iOS, внутри ждут подробности, как можно провернуть эту атаку (в теории), так как полностью раскрутить цепочку до конца так и не вышли)

Приятного чтения!

Конференция по мобильной разработке AppsConf

Знаю, что среди подписчиков достаточно большое количество разработчиков, поэтому хотел бы подсветить одну из очень хороших, на мой взгляд конференций по мобилкам - AppsConf.

Ну и на самом деле, тем, кто занимается безопасностью мобилок тоже крайне важно быть в курсе того, как развивается разработка, тренды и т.д. Ведь как анализировать приложения, если не знаешь, как именно они работают?)

Я обязательно подам доклад на конфу, так что вполне возможно, мы с вами там встретимся (если конечно доклад примут). CFP до 23-го февраля, так что еще успею из отпуска оформить заявку))

Ну а если нет, придется платить за билет :(

Так что, в любом случае, до встречи на конференции!!

P.S. И кстати, организаторы обещали мне проходку, поэтому скоро ждем конкурс!

Без пароля

Apple закрыла уязвимость, позволявшую доставать даннные из заблокированных iPhone.

Режим USB Restricted Mode блокирует передачу данных через порт, если гаджет пролежал в заблокированном состоянии больше часа. По словам Apple, брешь использовалась в «сложных точечных атаках». Эксперты из Citizen Lab же считают, что эксплойт мог серьёзно помочь создателям шпионского ПО вроде GrayKey и Cellebrite, ведь при успехе порт внезапно снова начинал передавать данные без пароля.

Логическая ошибка в системе авторизации приводила к тому, что устройство снимало ограничение порта, даже если никто не разблокировал экран. Apple выпустила экстренный патч в iOS 18.3.1 и iPadOS 18.3.1, прикрыв лазейку.

Технические подробности компания не обнародовала, однако отметила редкую сложность эксплойта и указала, что его использовали лишь в узком круге целевых взломов.

НеКасперский

и снова в комментариях Apple фраза «использовалось в точечных таргетированных атаках».

И так на каждую закрытую серьезную проблему) Может так оно и есть, конечно, но видеть это каждый раз уже немного улыбает)

Совместная работа Frida-trace и Frida

На самом деле я не так часто работаю с frida-trace, как хотелось бы, но всегда поражал этот инструмент своими возможностями и способами применения.

Но вот статья, которая показывает, как использовать оба инструмента совместно. Для начала, используем frida-trace для определения функций, которые вызываются при определенном действии, через Ghidra анализируем, что там происходит и далее через уже саму Frida меняем логику работы приложения.

В статье описывается модификация игр, но мы же понимаем, что этот подход можно переложить на совершенно другие приложения)

Надеюсь, этот подробный пример послужит вам отличным введением и помощью при использовании frida-trace)

🔥 Добро пожаловать в «ИБ-шечную» – телеграм-папку для тех, кто живёт и дышит информационной безопасностью! 🔥

Ты работаешь в сфере ИБ? Или просто хочешь разбираться в кибербезопасности, защите данных и хакерских атаках?
Тогда «ИБ-шечная» – это твоя обязательная подписка!

📌 В папке тебя ждут:
✅ Экспертные разборы корпоративной ИБ и безопасного конфигурирования систем
✅ Глубокая аналитика и OSINT – следим за трендами, исследуем риски
✅ Обучающие материалы и инструкции – от новичков до гуру кибербеза
✅ Законы и регуляции – персональные данные, 152-ФЗ, GDPR без воды
✅ Новости, события, кейсы, лайфхаки – всё, что важно в мире ИБ
✅ Этичный хакинг – изучаем техники защиты и атаки на практике

🎯 9 топовых каналов в одной папке – бери максимум из инфосферы!

📎 Ссылка на папку

💡 Залетай в «ИБ-шечную» и держи руку на пульсе безопасности!

Добрый вечер!

Высылаю пост и ссылку на папку!

🔥 Добро пожаловать в «ИБ-шечную» – телеграм-папку для тех, кто живёт и дышит информационной безопасностью! 🔥

Ты работаешь в сфере ИБ? Или просто хочешь разбираться в кибербезопасности, защите данных и хакерских атаках?
Тогда «ИБ-шечная» – это твоя обязательная подписка!

📌 В папке тебя ждут:
✅ Экспертные разборы корпоративной ИБ и безопасного конфигурирования систем
✅ Глубокая аналитика и OSINT – следим за трендами, исследуем риски
✅ Обучающие материалы и инструкции – от новичков до гуру кибербеза
✅ Законы и регуляции – персональные данные, 152-ФЗ, GDPR без воды
✅ Новости, события, кейсы, лайфхаки – всё, что важно в мире ИБ
✅ Этичный хакинг – изучаем техники защиты и атаки на практике

🎯 9 топовых каналов в одной папке – бери максимум из инфосферы!

📎 Ссылка на папку

💡 Залетай в «ИБ-шечную» и держи руку на пульсе безопасности!


Пришлите, пожалуйста, скрин отложки!

Подборка ИБ-каналов

Меня тут пригласили поучаствовать в подборке ТГ-каналов)

Так что, если будет интересна тематика, не стесняйтесь, добавляйтесь)

TruffelHog на страже ваших секретов

С удивлением для себя обнаружил, что популярный инструмент для поиска секретов TruffleHog научился искать секреты в Android-приложениях «из коробки». То есть раньше нужно было обязательно предварительно декомпилировать приложение, например при помощи jadx и потом натравливать инструмент на получившиеся исходники.

Теперь же, на вход можно сразу отдать apk и инструмент сам все сделает. У такого подхода есть как плюсы, так и минусы на самом деле. Плюс в скорости работы, заявляется ускорение до 9 раз. Минус же в том, что поиск идет только в dex-файлах и ресурсах. Если файлик с секретами лежит где-то рядом, скорее всего его пропустят.

Но все равно это крайне интересная новость и может помочь тем, кто уже использует этот инструмент.

Ну и в любом случае приятно, что в е больше внимания уделяется мобилкам :D

🗓 03.04.2025 состоится форум «ТЕРРИТОРИЯ БЕЗОПАСНОСТИ 2025: все pro ИБ» - новаторское мероприятие, состоящее из ЧЕТЫРЕХ конференций и ВЫСТАВКИ отечественного ИБ-хозяйства.

📍 Hyatt Regency Moscow Petrovsky Park

❕ ЧЕТЫРЕ ЖАРКИЕ КОНФЕРЕНЦИИ 2025 ГОДА:
▫️PRO облака
▫️PRO безопасность подрядчиков
▫️PRO анализ защищенности
▫️PRO бизнес

⭐️ НАШ ЗВЕЗДНЫЙ СОСТАВ СПИКЕРОВ: https://www.comnews-conferences.ru/ru/conference/tb2025#experts

ПОДРОБНЕЕ О МЕРОПРИЯТИИ: www.terrabez-conf.ru

РЕГИСТРАЦИЯ: https://www.comnews-conferences.ru/ru/conference/tb2025/registration
* Участие руководителей ИБ-департаментов компаний-заказчиков БЕСПЛАТНОЕ!

Конференция Территория Безопасности

Удивительно, но в прошлом году мне очень понравилась конференция, как по атмосфере, так и по контенту.
Поэтому, когда ребята пришли в этом году, не могу их не поддержать)

Самое запоминающееся это объявление докладов/сессий. По площадке ходил красиво одетый конферансье (не побоюсь этого слова), звенел в ручной звоночек и зычным голосом объявлял следующий доклад или сессию. Это было очень прикольно и необычно))

В общем, если кто планирует, встретимся там)

OWApp-Benchmarking-Suite для своих APK

Нашел интересный инструмент – OWApp-Benchmarking-Suite. Это фреймворк для анализа мобильных приложений с помощью статического анализа (SAST). По сути, он берет уязвимые APK из проекта OWApp, прогоняет их через различные OpenSource анализаторы и выдает отчет. Внутри используются инструменты MobSF,SEBASTiAN,Trueseeing,APKHunt.

Проект заточен именно под те apk, что есть в бенчмарке, но можно нго не ного подтюнить, чтобы он принимал на вход любые.

Как это сделать?

1.Редактируем скрипты
- В download_script.py вместо загрузки OWApp-файлов прописываем путь к своим APK.

2.В running_script.py убеждаемся, что SAST-инструменты работают с нашим приложением.

3. Запускаем анализ
После внесения правок запускаем running_script.py, и фреймворк проведет анализ, выдав отчет о найденных уязвимостях.

Стоит ли заморачиваться?
На мой взгляд, неплохая обвязка, если хочется есть кактус использовать опенсорс :)

но лучше использовать более продвинутые инструменты ;)

Hardering Guide для iOS

Продолжая тему про iOS…

Отличная подборка для тех, кто хочет знать какие функцию есть в iOS, которые могут нарушить нашу приватность.

Более того, каждая строка в данном списке сопровождается описанием настроек и маппингом на ATT&CK TTPs.

Ну а если вы по другую сторону баррикад, то знаете, что можно собирать и что эти данные вам потенциально дадут :)

Это прекрасно)

мне кажется многим приложениям не хватает такого функционала)))

Анализ Xamarin приложений.

Думали, что Xamarin мертв? Я тоже так думал, но недавно пришло на анализ сразу несколько приложений, написанных на этом фреймворке.

Нашел весьма интересную статью, которая поможет вам понять, что приложение написано на Xamarin, даст базовые понятия, как с ним работать и какие инструменты для статического анализа можно применять. Очень хорошо для старта расписано, особенно, если никогда не сталкивался с подобными приложениями!

Enjoy 😉

#android #xamarin

А вот и первый фикс Zero Day в iOS

Начинаем новый год с прекрасных новостей от Apple, которые выпустили Security Update для многих девайсов, содержащий в себе исправление уязвимости, которой «возможно, активно использовались» (с) злоумышленники, как говорится “in the wild” практически для всех устройств с ОС старше версии 17.2 😈

Как обычно, имя исследователя, кто сообщил о проблеме, Apple не упоминает (а жаль). Бага была в сервисе Core Media и позволяла повысить привилегии и получить доступ к данным. Это к слову тем, кто верит, что песочница системы защитит ваши пин-коды в открытом виде (нет).

Ну что, год начался неплохо, надеемся на стабильный Jailbreak для новых девайсов, а то Х уже заканчиваются на Авито :D

#iOS #Zeroday

Интересное поведение Keychain

Кстати, вы никогда не замечали очень интересное поведение некоторых приложений? Пользуешься им, радуешься, потом удаляешь. А через некоторое время устанавливаешь его снвп и о чудо, почему-то все данные остались и тебя просят просто ввести пин-код, вместо процедуры полной аутентификации.

А происходит это потому что при удалении приложения очищается только файловая система, а элементы внутри Keychain остаются неизменными*.

И если во время первого запуска приложение самостоятельно не очищает данные в Keychain, то они подтянутся в установленное приложение*.

Несколько раз встречал подобные приложения, достаточно интересный эффект неожиданности производит демонстрация подобного поведения.

Но такой кейс пока не удалось проверить, если приложение удалено и остались элементы в Keychain, можно ли как-то получить к ним доступ? Например, собрать приложение с таким де идентификатором? Или каким-то похожим способом? Если будет время, проверим, конечно, ну а пока что при пентестах смотрите, что произойдет с приложением при переустановке, это бывает полезно.

*Основано на личном опыте, может не соответствовать действительности и официальной документации Apple, но это так.

Отчет по локальному бэкапу iOS

Весьма занятный скрипт, который позволяет получить отчет по содержимому локального бэкапа iOS устройства.

Выглядит симпотично, умеет вытаскивать различную информацию вроде WhatsUp переписок, адресной книги, кукизов, смс и так далее.

Не факт, конечно, что это сильно поможет при анализе содержимого бэкапа именно приложения, но мы же знаем, что скрипт всегда можно немного расширить)))

На мой взгляд интересная штука, особенно когда тебе говорят, что пароль в открытом виде в бэкапе это норм и так и было задумано :D

Я, кстати понимаю, что в Android можно рулить настройками того, что попадет в бэкап, да и вообще его отключить. А вот можно ли доя приложения на iOS сделать аналогично? Можно при создании файла указать, что он не попадет в бэкап, но на каждый файл неудобно и можно забыть. А вот опции, чтобы вообще исключить все данные приложения из бэкапа, такого я не нашел. Может вы знаете?

#iOS #backup

И снова здравствуйте!

Всех с окончанием праздников и началом нового рабочего года (да, я в курсе, что уже месяц почти работаем, но лучше поздно, чем никогда).

И с сегодня начинаем разбирать кучу материала, что у меня накопилось за прошлые месяцы и праздники)

Ну и начнем мы с iOS :)