close
  • Ar chevron_right

    “ShareIt” Android app with over a billion downloads is a security nightmare

    news.movim.eu / ArsTechnica · Tuesday, 16 February - 19:36 · 1 minute

You can

Enlarge / You can't argue with that green "safe" shield. (credit: ShareIt )

Trend Micro says it has found "several" security flaws in the popular Android app ShareIt . ShareIt has been downloaded over a billion times from the Play Store, and, according to App Annie, was one of the 10 most globally downloaded apps in 2019. The app was originally developed by Lenovo (it has since spun off into its own company) and for a time was pre-installed on Lenovo phones.

The report says ShareIt's vulnerabilities can "be abused to leak a user's sensitive data and execute arbitrary code with ShareIt permissions." ShareIt's permissions, as a local file-sharing app, are pretty extensive. According to the Play Store permissions readout, ShareIt requests access to the entire user storage and all media, the camera and microphone, and location. It can delete apps, run at startup, create accounts and set passwords, and do a whole lot more. It also has full network access. Trend Micro says compromising the app can lead to remote code execution. The security firm says it shared these vulnerabilities with ShareIt three months ago, but the company has yet to issue patches.

ShareIt's incredible success of a billion Android downloads and 1.8 billion users worldwide (there are also iOS, Windows, and Mac apps) has led to what looks like an incredible amount of app bloat. The app was considered one of the best for local file sharing, but today the Play Store listing shows an app that offers "Infinite Online Videos," "Tens of millions of high-quality songs," "GIFs, Wallpapers & Stickers," a "popular" media section that looks like a social network, a game store, a retail movie download section, COVID-19 check-in activity and case statistics, and what looks like its own form of currency. ShareIt's website (which, just like the app, does not default to HTTPS) says the service is "now a leading content platform" and popular in Southeast Asia, South Asia, the Middle East, Africa, and Russia.

Read 6 remaining paragraphs | Comments

index?i=k5D7EZ2lKlQ:kQ0-niEGGH4:V_sGLiPBpWUindex?i=k5D7EZ2lKlQ:kQ0-niEGGH4:F7zBnMyn0Loindex?d=qj6IDK7rITsindex?d=yIl2AUoC8zA
  • Ko chevron_right

    Comment décompiler une application Android (APK) et la recompiler ensuite

    news.movim.eu / Korben · Sunday, 24 January - 08:00 · 5 minutes

Le week-end dernier, j’ai bidouillé un peu sur mon smartphone Android. C’était merveilleux. Je l’ai rooté d’abord, car je voulais extraire une base de données d’une application, et également installer dessus des applications que j’aurai décompilées puis recompilées.

Je me suis dit que ce serait intéressant de vous faire un petit tuto reverse engineering d’application Android pour rigoler. C’est pas la première fois que je décompile un APK, mais c’était la première fois que je recompilais un truc modifié, donc si vous avez des précisions à apporter, d’autres outils ou des conseils, n’hésitez pas.

Récupérer l’APK

Pour récupérer l’APK, vous avez plusieurs possibilités. Vous pouvez passer APKGK pour récupérer l’APK qui vous intéresse, mais c’est une copie sur un site tiers, donc c’est pas forcément à jour.

Autrement, voici une méthode pour récupérer l’APK directement sur le smartphone. Votre téléphone doit être en mode développeur avec le debugging USB activé.

Vous devez également avoir le SDK Android sur votre ordinateur pour profiter des utilitaires, notamment ADB. Connectez votre smartphone Android à votre ordinateur en USB.

Ouvrez un terminal et entrez la commande suivante :

./adb devices

Vous verrez alors votre smartphone Android qui est bien connecté à votre ordinateur.

Ensuite, vous pouvez lister les applications installées sur votre smartphone à l’aide de la commande :

./adb shell pm list packages

On va isoler l’application qui nous intéresse. Pour ma part, ce sera TousAntiCovid , dans le cadre de leur programme de Bug Bounty . Attention, la décompilation de logiciels est encadrée par la loi et vous trouverez plus d’infos ici . Techniquement, je n’ai pas altéré l’application en question, je l’ai juste décompilé puis recompilé pour valider le process technique. J’ai pris celle-ci pour l’exemple et ce tuto fonctionnera avec n’importe quelle application.

Pour filtrer un peu ça, utilisons un grep et mettons le mot clé de l’application que nous cherchons :

./adb shell pm list packages | grep covid

On a donc le nom du package et ce qu’on aimerait, c’est le chemin pour récupérer l’APK. Pour cela, entrez la commande :

./adb shell pm path fr.gouv.android.stopcovid

Et vous aurez alors la liste des packages APK avec leur chemin d’accès.

Maintenant pour récupérer l’APK, rien de plus simple, il suffit de faire un petit adb pull.

./adb pull /data/app/fr.gouv.android.stopcovid-we-r7EfghHIaaEHoiugrwg==/base.apk

Bravo, vous venez de récupérer le .APK sur votre ordinateur !

Décompiler l’APK et lire le code

Maintenant on va regarder ce qu’il y a dedans.

Pour cela, il faut utiliser l’outil Apktool qui permet de désassembler l’APK et ses ressources, mais aussi de recompiler tout ça. Ici je décompile donc le fichier base.apk avec le paramètre « d ».

./apktool d base.apk

Voilà, vous aurez le code, notamment des fichiers smali, qui est un équivalent lisible par un humain du code bas niveau Dalvik.

J’en conviens, ce n’est pas très user friendly donc je vous propose un logiciel complémentaire nommé JadX qui dispose d’une interface graphique et qui « traduit » le code smali en code java lisible par un informaticien lambda.

Une fois installé, lancez jadx-gui puis ouvrez l’APK. Vous aurez alors une jolie vue plongeante dans le code en java et son équivalent smali. Cela n’extrait pas directement le code comme apktool, mais permet de voir ce qu’il y a dans l’APK. Les 2 outils sont complémentaires.

Vous pouvez aussi faire des recherches sur certaines chaînes de caractères présentes dans le code :

Modifier le code

Par contre, vous ne pouvez pas modifier directement le code via Jadx. Utilisez simplement un éditeur texte ou votre éditeur de code préféré pour éditer les fichiers. Il faudra écrire votre code directement au format smali.

Vous pourrez aussi modifier les ressources (images, chaines de caractères…etc).

Recompiler l’application

Une fois les fichiers modifiés, vous pouvez recompiler l’app à l’aide de la commande apktool, comme ceci :

./apktool b DOSSIER-DES-SOURCES

Et vous obtiendrez un APK. Mais attendez, ce n’est pas fini. Cet APK il va falloir le signer pour qu’Android accepte de l’installer.

Signer l’APK

Pour auto-signer un APK , vous devez d’abord créer une clé RSA sur votre ordinateur.

keytool -genkey -v -keystore my-release-key.keystore -alias alias_name -keyalg RSA -keysize 2048 -validity 10000

Puis signer l’APK en utilisant cette clé :

jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore my-release-key.keystore VOTRE-APPLICATION.apk alias_name

Il existe aussi un outil qui fait le job qui s’appelle apksigner .

Mettre l’application dans le smartphone

Ensuite, y’a plus qu’à transférer l’application sur le smartphone pour l’installer. Là vous avez plusieurs méthodes. Donc le transfert bête et méchant par mail, Dropbox ou ce que vous voulez.

Mais pour faire ça propre, vous pouvez également utiliser adb :

./adb push APPLICATION.apk /sdcard/

Ou pour l’installer directement depuis l’ordinateur sans la transférer, faites un :

./adb install APPLICATION.apk

Et voilà ! Vous aurez ainsi votre application Android modifiée directement installée sur votre smartphone et y’a plus qu’à jouer avec.

Il se peut que selon la surcouche Android que vous avez, certaines sécurités soient en place. C’est le cas avec MIUI de Xiaomi qui scanne et contrôle la sécurité de la moindre application qu’on souhaite installer. Donc si ça ne s’installe pas directement, pensez à gratter un peu dans les options pour retirer les sécurités tout en ayant conscience que cela peut vous exposer à d’éventuels malwares ou cybercriminels. Donc, pensez à tout réactiver ensuite.


PROMO Fire TV Stick 4K Ultr

-20 € sur la plus puissante des versions du stick d’Amazon

Profitez d’une qualité d’image brillante avec l’accès aux formats 4K Ultra HD, Dolby Vision, HDR et HDR10+. Découvrez un son immersif avec le support pour son Dolby Atmos sur certains titres Prime Video.
Regardez vos programmes préférés sur Prime Video, Netflix, YouTube, Molotov, ARTE, France 24, Disney+, Apple TV et plus encore (des abonnements séparés peuvent être requis).
Accédez à des milliers d’applications et de Skills Alexa, ainsi qu’à des millions de sites Web.

Fire TV stick 4K à 39,99 €


KorbensBlog-UpgradeYourMind?d=yIl2AUoC8zAKorbensBlog-UpgradeYourMind?i=wNSgaOcaYbA:JM-wWrlXUjY:D7DqB2pKExkKorbensBlog-UpgradeYourMind?i=wNSgaOcaYbA:JM-wWrlXUjY:GG6oivYVkFsKorbensBlog-UpgradeYourMind?d=qj6IDK7rITsKorbensBlog-UpgradeYourMind?i=wNSgaOcaYbA:JM-wWrlXUjY:gIN9vFwOqvQKorbensBlog-UpgradeYourMind?d=7Q72WNTAKBA
  • Ko chevron_right

    The system has been destroyed (Xiaomi brické)

    news.movim.eu / Korben · Saturday, 23 January - 08:00 · 1 minute

Alors non, je ne vais pas vous faire un article sur le système capitaliste à la dérive, mais plutôt vous expliquer comment récupérer un smartphone Xiaomi ( voici le mien ) que vous auriez malencontreusement flashé et sur lequel apparaît cette erreur qui fait frémir :

The system has been destroyed – Press power button to shutdown

Avant tout : PAS DE PANIQUE. Il est récupérable. Logiquement, s’il est dans cet état là, c’est que vous l’avez débloqué ( unlock ) et essayé de le rooter.

Voici donc comment sauver l’affaire. Tout d’abord, vous aurez besoin d’un ordinateur Windows et de la ROM MIUI de votre smartphone Xiaomi. Prenez le temps de bien la choisir sans vous tromper . Décompressez le zip de la ROM.

Ensuite, téléchargez l’outil MiFlash ( miroir ici ) puis lancez-le. Démarrez votre smartphone en mode Fastboot en maintenant enfoncé le bouton Volume Bas + Power.

Une fois que vous verrez la petite mascotte avec son chapeau communiste, connectez le smartphone à l’ordinateur puis cliquez sur le bouton « Refresh » (1). Vous verrez votre appareil apparaître dans la liste de MiFlash.

Ensuite, cliquez sur le bouton « Select » (2). Et choisissez le chemin d’accès vers le dossier contenant les fichiers de la ROM décompressés.

Ensuite, si vous voulez un smartphone débloqué ou bloqué, cochez le bon bouton radio en bas (3).

Puis en 4… mince, j’ai oublié le 4.

RIP le 4.

Bref, en (5) cliquez sur le bouton Flash et patientez longtemps jusqu’à ce que le résultat soit « Success » en vert.

Si ça se termine avec une erreur qui parle de checkpoint comme celle-ci…

…ce n’est pas forcement dramatique.

Vous pouvez tenter de redémarrer votre smartphone normalement et voir si ça passe. Si ça ne passe pas, il faudra recommencer le flashing.

Le smartphone redémarrera et vous aurez alors à nouveau accès à celui-ci.

Bravo à vous !


Nintendo Switch Edition Anniversaire Super Mario

PROMO: 309,99 € soit 10% de réduction

1 paire de manettes Joy-Con rouge et bleu + 1 support Joy-Con
1 station d’accueil Nintendo Switch + 1 câble HDMI
1 adaptateur secteur + 1 paire de dragonnes Joy-Con + 1 pochette de transport assortie

Précommandes ouvertes

En Savoir +


KorbensBlog-UpgradeYourMind?d=yIl2AUoC8zAKorbensBlog-UpgradeYourMind?i=FsCs7MJG8do:Xe1XtqO-Q9E:D7DqB2pKExkKorbensBlog-UpgradeYourMind?i=FsCs7MJG8do:Xe1XtqO-Q9E:GG6oivYVkFsKorbensBlog-UpgradeYourMind?d=qj6IDK7rITsKorbensBlog-UpgradeYourMind?i=FsCs7MJG8do:Xe1XtqO-Q9E:gIN9vFwOqvQKorbensBlog-UpgradeYourMind?d=7Q72WNTAKBA
  • Ko chevron_right

    Look to Speak – Parlez avec vos yeux

    news.movim.eu / Korben · Friday, 15 January - 08:00 · 1 minute

Si pour une raison ou une autre, vous ne pouvez pas parler, Android peut venir à votre secours, notamment grâce à l’application Look To Speak.

Look To Speak est un répertoire de phrases que vous pouvez définir puis choisir à l’aide de vos yeux. Vous les bougez à gauche, à droite, ou en haut et au bout d’un moment, l’application prononcera à voix haute ce que vous voulez lui dire.

Pratique par exemple si vous êtes intubé comme c’est la mode en ce moment et que vous ne pouvez pas parler.

Puis ça musclera vos yeux, (e)MDR !


NordVPN ! [Bon plan] -68%

blog

-68% 3,3€/mois durant 2 ans

Protection en un clic, fonctionnalité Kill Switch, masquage de votre adresse IP, prise en charge des partages de fichiers en p2p, protection contre les malwares et les pubs, streaming sans interruption, test de fuite DNS et même possibilité de coupler l’outil avec l’anonymat de The Onion Router … sont quelques-unes des autres options disponibles.

À noter que cet été l’outil a passé avec succès l’audit d’une société indépendante (PricewaterhouseCoopers) concernant leur politique de non-conservation de registre d’activité, validant que NordVPN ne conservait pas l’activité de ses utilisateurs sur le web.

De plus une licence NordVPN vous permet de protéger jusqu’à 6 appareils et cela, quelle que soit la plateforme sur laquelle ces derniers tournent (android où iOS, Windows, Linux ou macOS, android TV).

Profiter de la promo


KorbensBlog-UpgradeYourMind?d=yIl2AUoC8zAKorbensBlog-UpgradeYourMind?i=2jd6bqAQbgs:ATnbPJSEkok:D7DqB2pKExkKorbensBlog-UpgradeYourMind?i=2jd6bqAQbgs:ATnbPJSEkok:GG6oivYVkFsKorbensBlog-UpgradeYourMind?d=qj6IDK7rITsKorbensBlog-UpgradeYourMind?i=2jd6bqAQbgs:ATnbPJSEkok:gIN9vFwOqvQKorbensBlog-UpgradeYourMind?d=7Q72WNTAKBA
  • Nu chevron_right

    Google annonce un patch qui supprime 46 failles graves et critiques dans Android

    news.movim.eu / Numerama · Tuesday, 8 December - 14:40

La fin d'année s'achève, pas les patch notes de Google pour Android. Celui de décembre vient d'être publié et recense 46 vulnérabilités dans l'OS. [Lire la suite]

Voitures, vélos, scooters... : la mobilité de demain se lit sur Vroom ! https://www.numerama.com/vroom/vroom//

L'article Google annonce un patch qui supprime 46 failles graves et critiques dans Android est apparu en premier sur Numerama .

  • Jo chevron_right

    Google supprime des applis pour enfants pas assez protectrices de leur vie privée

    news.movim.eu / JournalDuGeek · Monday, 26 October, 2020 - 11:45 · 1 minute

Crédits : Princess Salon

Google a confirmé il y a quelques jours la suppression de trois applications pour enfants de son Play Store. Pourtant très populaires, avec près de 20 millions de téléchargements cumulés, Princess Salon, Number Coloring et Cats & Cosplay sont accusés par l’IDAC (International Digital Accountability Council) de ne pas respecter la politique du géant du web concernant la collecte et le traitement des données personnelles . Concrètement, le problème ne vient pas directement des applications, mais plutôt des kits de développement utilisés par les développeurs pour concevoir ces dernières. Les trois logiciels utilisaient en effet des frameworks basés sur des versions d’Appoldeal, Unity et Umeng capables de récupérer les identifiants Android et publicitaires de l’utilisateur.

En collectant et en envoyant les identifiants publicitaires des jeunes utilisateurs des applications en question, et en les couplant à d’autres données sensibles, telles que l’identifiant Android par exemple, les applications pointées du doigt par l’IDAC ne permettaient pas à Google de garantir la protection de la vie privée prônée par l’entreprise américaine. Plus grave encore, cette combinaison de données privées permettait de pister les utilisateurs au-delà de l’application. Cette situation est particulièrement problématique pour des programmes destinés à un jeune public, qui souvent n’est pas averti des risques. Si l’IDAC n’est pas encore en mesure de déterminer l’ampleur de cette faille, ni combien de données ont déjà fuité, Google a malgré tout préféré prendre les devants, en supprimant directement les logiciels problématiques. Le géant du web a d’ailleurs indiqué qu’il n’hésiterait pas à prendre des mesures similaires pour l’ensemble des applications ne respectant pas ses conditions d’utilisation . À noter cependant que les versions iOS de Cats & Cosplay, Princess Salon et Number Coloring ne semblent pas concernées.

Google supprime des applis pour enfants pas assez protectrices de leur vie privée