RE:MAZE

Сколько стоит репак Android-приложения через ИИ-агента Вот нам вроде очевидно: нейронки уже сейчас наводят шуму в реверсе, и тем более в безопасности мобилок. Поднимите руку кто до сих пор их не использует в работе - то-то же. Но наша работа - не только разбираться в технических аспектах, но и уметь доносить до бизнеса риски и обосновывать необходимость защищаться. Поэтому мы с командой попытались перевести очевидные для нас вещи на язык денег, чтобы люди, далекие от реверса, смогли осознать серьезность проблемы. https://ptsecurity.com/research/analytics/modifying-android-apps-with-llm-2026-cost-estimate/#id3 Технически новое вы вряд ли что-то тут найдете, но возможно найдете аргументы для общения с коллегами и руководством.

Официальный GUI для Frida Вы знали что у Frida появился официальный графический интерфейс - Luma? Что умеет: • работа с сессиями: запоминает где вы остановились даже если приложение скрашилось или вы решили вернуться к проекту через неделю • frida-trace со встроенным редактором • возможность сохранять запуски и пошагово воспроизводить их с CFG view • доступ к js-объектам через правый клик: hex dump, disassembly view, xrefs, etc • встроенный codeshare • встроенные инструменты сборки: npm, frida-compile, frida-pm

Эмулятор iPhone Если пропустили движ по vphone этой зимы-весны, то ловите репу с гайдом. Отставить упаднические настроения по теме iOS-реверса!

A Technical Deep Dive into CVE-2024-23380: Exploiting GPU Memory Corruption to Android Root Большой обзор CVE-2024-23380: получение root на Android. Содержание статьи на 1 экран уже говорит само за себя: вас ждет увлекательное путешествие в дебри memory corruption.

CVE-2026-0047: Missing Permission Check in ActivityManagerService Разбор уязвимости и патча + PoC. Суть уязвимости - кража UI любого приложения от имени установленного приложения без лишних разрешений и действий пользователя.

Exploiting PendingIntent Provenance Confusion to Spoof Android SDK Authentication Рисеч, посвященный атакам через PendingIntent, когда приложение использует партнерское SDK для коммуникации с другими приложениями на устройстве. Детальный обзор как самой технологии, так и модели атакующего.

Декомпилятор для Hermes bytecode Дождались! Теперь нельзя спрятаться за тем фактом, что никто не умеет декомпилировать и реверсить Hermes bytecode. Ребята написали декомпилятор и выложили в открытый доступ. Ожидаем больше находок там где раньше никто и не думал копать.

Анализ приложения Белого Дома Попались статьи с анализом Android и iOS приложения Белого Дома. Скажу сразу, что статьи сильно политизированы и выводы в ней притянуты за уши. Это тот случай, когда желание выставить кого-то в невыгодном свете перевешивает взвешанный экспертный взгляд. Да и по всей видимости все это приправлено нейрослопом, если вчитываться в находки. Но ценность из таких материалов тоже можно извлечь • если вы понимаете слабость подобных статей, вы все еще ценны как эксперт • даже в куче мусора есть прикольные находки, а это всегда приятно

Жизненный цикл Activity в Android Кажется что 90% уязвимостей в Android-приложениях - всегда в компонентах типа Activity. Либо непосредственно в них, либо они используются как точка входа. Если знать, как устроен их жизненный цикл, можно лучше находить уязвимости. Для реверса в целом будет полезно. Читать.

Сегодня в 11:00 мск примем участие в эфире AM Live про мобильные приложения. Подключайтесь 📱 Ютуб: https://youtube.com/live/gysv1kfN8vY?feature=share Рутуб: https://rutube.ru/video/e96502bcb5b6a0b3657dee7f29a65759/ Вк: https://vkvideo.ru/video-21732035_456242043?list=ln-YGrBOuhzqnDctJWHoT Сайт: https://go.amlive.ru/0e56p

iDump: замена frida-ios-dump без Python (но с блекджеком и обходами) Если кому-то нужно было когда-нибудь сдампить приложение с iOS трубки, то первое, что приходит на ум - классический frida-ios-dump. Но с Frida 17+ он сломался и, судя по всему, уже не починится. И вот появился iDump - переосмысление того же подхода, но без всей той боли с pip, зависимостями, правильное версией Python и тд Автор этого шикарного тула - широко известный в узких кругах @OxFi5t, спасибо ему за это! Написан на Go с использованием frida-go, и главная идея это автономность. Один самодостаточный бинарь, который уже содержит в себе Frida-агент. Скопировал в PATH и работает. Техника та же, что у оригинала: инжектим агент, патчим cryptid, вытаскиваем расшифрованные сегменты Mach-O, собираем валидный IPA. Только без лишних телодвижений 🤓 Из приятного: - поддержка батч-дампинга (можно сразу несколько приложений или вообще `--dump-all`) - фильтрация по bundle ID - пропуск системных приложений Apple Передача файлов идёт через Frida messages напрямую — SSH не нужен (хотя SSH/SFTP режим тоже есть, если USB-трансфер медленный). Отдельно порадовал флаг --dodge - встроенный bypass для приложений, которые детектят Frida и падают до того, как агент успевает что-то сделать. Есть базовый вариант (хукает libc-символы: ptrace, sysctl и тд) и --dodge=advanced для особо упоротых приложений, которые делают raw syscalls и сканируют память на Frida-сигнатуры. Ну и возможность передать свой bypass-скрипт через --early, если встроенные не справляются. Так что тут можно еще и идеи по обходу джейлбрейка/фриды подсмотреть 😉 Очень рекомендую попробовать. Как по мне, давно нужна была нормальная замена 🔥 #iOS #Frida #ReverseEngineering #Tools #iDump

Обходим античит в Pokemon GO https://www.youtube.com/watch?v=2En96Cg9BFw

macOS XPC Helpers: реверс протокола XPC в *OS всегда привлекали offensive-исследователей. И автор этой статьи не исколючение. Что разобрал: • как искать существующие сервисы XPC • проверяем принимают ли они соединения • пишем клиент и взаимодействуем

Деобфускация в Android через DalvikFLIRT + LLM FLIRT - Fast Library Identification and Recognition Technology - подход в реверсе, при котором мы определяем функции не по их названию, а по содержимому - по паттернам кода. Подход популярен в анализе бинарников, но его можно применить и к Dalvik-байткоду. А если прикрутить к этому еще и LLM-агента, то получится вот эта статья.

A Glimpse into DexProtector Разбор сильной коммерческой защиты - это всегда захватывающее путешествие. Руки известного рисечера Romain Thomas на этот раз дошли до знаменитого DexProtector. Как он устроен внутри (и как его ломать) он рассказал в этом посте.

Декомпиляция через AI Идея приходила в голову не только мне, но и нашим коллегам, которые не остановились на том чтобы просто подумать, а сделали инструмент для декомпиляции и показали его работу на примере swift. Тема очень перспективная, ведь она открывает путь к возможности получить декомпилятор, например, для hermes bytecode, сделать декомпилятор для flutter-приложений. А значит полагаться на то, что никто не умеет реверсить кросс-платформу уже точно не стоит. Защищаться придется всем.

POV: вы реверсите мобильное приложение, но на нем стоит протектор. Сколько пройдет времени прежде чем вы откажетесь от этой идеи?

Разбор LPE в Android - CVE-2024-23380 Как получить рута от имени обычного приложения? Например, воспользоваться GPU memory corruption через уязвимость CVE-2024-23380. А чтобы было ясно, что к чему, авторы поделились техническими деталями.

Как ломать RASP в Android Автор этой статьи пошагово показывает процесс отлома RASP в Android-приложении. В качестве примера он использует r2pay, который присутствует в MAS Crackmes. Из инструментов - Frida и Radare2. Много скринов, подробных инструкций, примеры кода. Добротный обучающий материал.

WASM как обфускация в Android Последнее время набирает популярность использования WASM для обфускации в мобильных приложениях. WASM - WebAssembly - это бинарный формат для запуска в браузерах. Не так много материалов о том, как его анализировать. И конечно, такая особенность хорошо ложится на цели обфускации. В свежем рисече исследователи разобрали эту технику на примере малвари.