Продолжая свои занятия по пентесту мобильных приложений — и, конечно, проводя мобильные пентесты на работе — довольно часто сталкиваешься с различными приложениями, написанными на самых разных языках программирования. Например, встречаются приложения на Java, Kotlin, Flutter, Xamarin, Swift… и ещё на куче других технологий.

До этого момента я работал только с приложениями на Java и Flutter, но планирую изучить и остальные. К чему я всё это веду? Вопрос простой: в чём разница между декомпиляцией Java-приложения и Flutter-приложения? Ответ прост: нельзя просто открыть Flutter-приложение в JADX и на этом закончить :(

Скорее всего, вы найдёте там всего пару файлов с классами, которые будут не настолько полезными, как хотелось бы. Например, вот приложение, с которым я сейчас бьюсь:

https://inferi.club/post/intercepting-flutter-traffic

👉@thehaking

На прошлой неделе стало известно, что Samsung запретила пользователям разблокировать загрузчик на новых устройствах Galaxy с One UI 8 (на базе Android 15). Это ограничение вызвало негативную реакцию среди пользователей, особенно тех, кто предпочитает кастомные прошивки и рут-доступ.

Теперь стало понятно, что причина кроется не в политике Samsung, а в новом законодательстве Европейского союза, которое вступает в силу в 2025 году. Этот закон требует, чтобы все устройства с доступом к личным данным соответствовали строгим стандартам безопасности. Одним из этих требований является невозможность разблокировки загрузчика, поскольку это может позволить установку стороннего ПО и потенциально нарушить безопасность данных.

Закон направлен на защиту пользователей от взломов, утечек данных и установки вредоносного ПО. Производители, включая Samsung, теперь вынуждены блокировать загрузчик, чтобы соответствовать новым стандартам и продолжать продавать устройства в странах ЕС.

Это значит, что все новые модели Galaxy, включая будущие флагманы, не будут поддерживать разблокировку загрузчика в Европе. При этом в других регионах, где такие законы не действуют, возможность разблокировки может сохраниться.

Пока неясно, можно ли будет обойти это ограничение, например, через смену региона устройства. Однако с учётом юридических рисков, компании могут внедрить аппаратные ограничения, чтобы полностью исключить возможность разблокировки.

Таким образом, если вы живёте в ЕС и цените свободу модификации своих устройств, вам стоит учесть эти изменения при покупке следующего смартфона.

👉@thehaking

Tracebit обнаружили скрытую атаку на Gemini CLI, при которой из-за токсичной комбинации неправильной валидации, внедрения подсказок (prompt injection) и вводящего в заблуждение UX просмотр недоверенного кода может приводить к тихому выполнению вредоносных команд.

Обзор:
25 июня Google выпустила Gemini CLI — AI-агент, помогающий разработчикам исследовать и писать код с помощью Google Gemini прямо из командной строки.

27 июня Tracebit сообщили в Google VDP об уязвимости, которая позволяла Gemini CLI в стандартной конфигурации тихо выполнять произвольный вредоносный код на машине пользователя при работе с недоверенным кодом. Ключевой момент — это можно было сделать так, что жертва не заметит атаку.

Эта уязвимость была классифицирована Google VDP как P1 / S1 и исправлена в версии v0.1.14, выпущенной 25 июля. Дата раскрытия уязвимости согласована на 28 июля.

https://tracebit.com/blog/code-exec-deception-gemini-ai-cli-hijack

👉@thehaking

- Фишинг:
- Китовый фишинг (Whale Phishing) — нацелен на высокопоставленных лиц
- Целевая атака (Spear Attack) — направлена на конкретных пользователей
- Фарминг (Pharming) — перенаправление пользователей на поддельные сайты

- SQL-инъекции:
- Атака, связанная с внедрением вредоносного кода в запросы к базе данных

- Межсайтовый скриптинг (XSS):
- Использование уязвимостей веб-приложений для внедрения вредоносного кода

- Атака «человек посередине» (Man-in-the-Middle):
- Перехват и изменение данных между двумя сторонами
- Включает:
- Перехват сессии (Session Hijacking)
- Спуфинг IP (IP Spoofing)
- Атака воспроизведения (Replay)

- DDoS:
- Направлена на перегрузку серверов или сетей, чтобы сделать их недоступными

- Атаки на пароли:
- Подбирают пароли методом перебора (Brute Force Guessing) или используют словари (Dictionary Attack)

- Атака на устройства:
- Автоматическое заражение устройства при посещении вредоносного сайта

- Ransomware:
- Заражение системы вредоносным ПО, которое блокирует доступ к данным и требует выкуп

- Атака прослушивания (Eavesdropping):
- Перехват данных, передаваемых по сети

- Атаки, управляемые ИИ (AI-Powered Attacks):
- Используют ИИ для автоматизации и усложнения атак

👉@thehaking