Malware-apk

Lien Github: https://github.com/ivan-sincek/malware-apk

Introduction

malware-apk est une application android spécifiquement développée par un ingénieur en cybersécurité pour les ingénieurs en cybersécurité. Elle contient à l'heure actuelle plusieurs fonctionnalités utiles pour tout pentester ou bug bounty hunter pour effectuer à la fois de la reconaissance et de l'exploitation de vulnérabiltés Android.

Elle se propose comme une application PoC permettant par défaut d'exploiter une liste de vulnérabilités nécessitant une "application attaquante" ce qui permet de gagner du temps de développement pour gagner du temps sur ce qui compte le plus.

Fonctionnalités

Actuellement, l'application peut être utilisée dans le cadre de reconnaissance mais aussi d'exploitation de vulnérabilités telles que des injections d'intents, des task hijacking, des tapjacking etc.

Reconnaissance

En terme de reconnaissance, l'application peut aider son utilisateur à:

Lister / Lire / Créer / Supprimer des répértoires et fichiers du filesystème (nécessite de rooter l'appareil pour les fichiers/répertoires privés
Effectuer des commandes systèmes localement ou à distance (nécessite de rooter l'appareil pour certaines commandes)
Lister les activités protégées ou exportées ou uniquement les URIs / deeplinks
Lister les content providers protégés ou exportés ou uniquements les URIs
Lister les broadcast receivers protégés ou exportés ou uniquement les URIs
Lister les services protégés ou exportés ou uniquement les URIs
Lister les informations générales de l'application (résumé du contenu, permissions et manifest)

Exploitation

En terme d'exploitation, l'application peut aider son utilisateur à:

Injecter des intents: notamment pour exploiter des composants exportés, des deeplinks vulnérables etc.
Surveiller des broadcasts, des notifications etc
Effectuer des requêtes web pour exploiter des deeplinks vulnérables
Vérifier la présence de task hijacking (nécessite de rebuild l'APK avec le task affinity correspondant à l'application cible)
Vérifier la présence de tapjacking
Vérifier la possibilité d'abuser du service d'accessibilité pour extraire des informations sensibles
Dump le presse papier pour vérifier si une application est en capacité d'exfiltrer des données sensibles par ce vecteur.
Sauvegarder et téléverser des états d'interface utilisateurs.