Archive for Android

Oneplus. Envío de datos estadísticos. Solución.

Hace muy pocos días se publicaba en numerosos medios que un investigador, Christopher Moore, analizando mediante un proxy (ZAP) la conexiones de su teléfono vio algo que no le convencía. El terminal era del fabricante ONEPLUS. Terminales bastante extendidos y de características premium a coste razonable.

Una de las peticiones de su teléfono contenia parámetros un tanto extraños. Concretamente, estaba codificado en base64, y enviaba dichos parámetros a una URL del fabricante por lo que publicó un artículo demostrándolo. Tengo la “suerte” de tener un terminal de este tipo, un ONEPLUS 3T, y la verdad que es un terminal excelente. Como quería verificar esto, hice las mismas pruebas pero desde burpsuite y efectivamente, tal y como describe Christopher envía parámetros tales como el IMEI, señal del teléfono, cuando está encendida la pantalla, cuando apagada y demás detalles que huelen bastante mal.

A grandes males, grandes remedios. Busquemos la solución.

Read more

OWASP Mobile Security Project

Introducción

OWASP (Open Web Application Security Project) nos provee de una serie de recursos basados sobre todo en guías y herramientas para que nuestros proyectos web sean lo más seguros posibles, tanto desde el punto de vista de desarrollo seguro como de la evaluación de la seguridad de éstos.

Para los desarrolladores ofrece una gran cantidad de recursos para ayudar a llevar a cabo un ciclo de vida de desarrollo de software seguro (S-SDLC, Secure Software Development Life Cycle).

Para los auditores de seguridad ofrece una gran cantidad de recursos como guías y herramientas para evaluar la seguridad de las aplicaciones móviles.

OWASP Objetivos

OWASP Mobile Security Project

Pues bien, tanto los desarrolladores de aplicaciones móviles como los auditores de éstas, pueden aprovecharse también de recursos de este tipo para poder alcanzar el objetivo de la máxima seguridad posible. Para ello OWASP nos propone su Mobile Security Project.

owasp-msp-logo

La imagen anterior es el logotipo oficial del proyecto OWASP Mobile Security Project.

OWASP ProcesosAl igual que en las aplicaciones web, para conseguir el nivel máximo de seguridad posible es imprescindible que todos los factores se alineen; personas, procesos y tecnología.

Recursos OWASP Mobile Security Project

A continuación nombraremos algunos de los recursos disponibles en este proyecto.

Top 10 Mobile Risks: Tal y como podemos encontrar con el Top 10 de riesgos en aplicaciones web, también tenemos este recurso disponible en el proyecto MSP.

Developer Cheat Sheet: Una “chuleta” con consejos para el desarrollador para evitar errores que puedan dar lugar a vulnerabilidades en su aplicación.

App Security Testing Cheat Sheet: Una “chuleta” para el auditor con información interesante para llevar a cabo la evaluación de la seguridad de la aplicación.

Secure Mobile Development: Recurso para el desarrollador que le ayudará durante el ciclo de desarrollo de software seguro (S-SDLC).

Security Tesing Guide: Similar a la Testing Guide para aplicaciones web, también podemos encontrar una guía de test para ayudar al auditor durante sus tareas de evaluación de los controles de seguridad de la aplicación.

Tools: OWASP nos propone un arsenal de herramientas que nos ayudarán tanto para el desarrollo seguro así como para testear los distintos controles de seguridad. Disponibles para las diferentes plataformas (Android, iOS o Windows Phone).

Top 10 Mobile Controls: Definidos conjuntamente por la ENISA y OWASP, nos indica el top 10 de los controles de seguridad a evaluar.

owasp-msp-resources

En próximos artículos en el blog hablaremos de los distintos recursos que acabamos de comentar. Como siempre, esperamos que sean de vuestros interés y esperamos vuestro feedback.

¡Saludos!

@miguel_arroyo76

 

 

Cazando Pokemon

Creo que no es necesario presentar ni aclarar que significa, actualmente, “cazar Pokemon” pero por si acaso voy a explicarlo brevemente para despistados.

Pokemon GO es una aplicación que se ha vuelto viral, utilizada para “cazar” pokemons utilizando un mapa de situación del lugar dónde te encuentres, con el estilo típico de pokemon pero totalmente ajustado a la realidad. Además utiliza la cámara para que cuando tengas un pokemon cerca, esta sirva para saber en que lugar de tu emplazamiento está.

La APP es gratuita en su descarga(importante) y cualquiera puede registrarse y patearse su ciudad en busca de los pokemon. No obstante, y ya os habréis dado cuenta, la app es gratis a costa de cierta información.

Para justificar nuestro parecer, en hacking-etico.com hemos hecho un breve análisis estático de esta APK (no de la app fake que está pululando por ahí que tiene sorpresa)para ver de qué tira esta afamada aplicación y a modo solamente educativo.

pok Read more

Auditando Aplicaciones en Android

Vamos a ver algunos ejemplos de controles que se llevan a cabo en un Pentesting de Aplicaciones en Android. Lo más importante en un proceso de auditoría será el hacer uso de una metodología, de tal forma que podamos llevar a cabo una serie de pasos de manera ordenada.

Os propongo que hagamos uso de la metodología OWASP, concretamente en su apartado de OWASP Mobile Security Project podemos encontrarnos con muchos recursos: herramientas, guía de desarrollo seguro, plantilla de controles, guía de testing de Apps… Centrándonos en esta última podemos dividir nuestra auditoría en tres partes: recopilar información, análisis estático y análisis dinámico. Read more

Spyware en Android

En el día de hoy os traigo un artículo generado a raíz de una pequeña investigación que realicé al móvil android chino (chino, re-chino, vamos que ni la marca es pronunciable) de un familiar el cual, al utilizarlo yo mismo para realizar una llamada (hay que ahorrar xD), noté, por intuición más bien, que algo en el teléfono no andaba bien.

Llevo usando android hace bastante tiempo, “tuneando” ROMs en mis terminales, haciendole mods y otros “enrreos” así como en el último año, he estado más centrado en probar herramientas de pentesting de Android aunque no haya publicado ni expuesto nada sobre esto.

Bueno pues tras pelearme unos instantes con él detecté que ¡estaba roteado! A partir de ahí os podéis imaginar un poco que posibilidades se puede abrir en el caso de ser infectado por algún malware.

Por lo pronto detecté que, al desbloquearlo, siempre salía una pantallita con un anuncio. Oh Shit! Siempre. Desinstalé alguna APP de estas famosillas de programas de la TV y algún Widgets del tiempo un poco cutre pero el problema seguía. El teléfono mostraba publicidad.

androchina_logo

Read more