Мобильная безопасность
Статья Android Zero-Click RCE уязвимость CVE-2026-0073: от Wi-Fi до shell через ADB daemon
CVE-2026-0073 (CVSS 8.8): одна строка в adbd_tls_verify_cert — и EC-сертификат вместо RSA возвращает ненулевой EVP_PKEY_cmp(), который Android 14/15/16 трактует как успех. Zero-click, без промпта, uid=2000 shell за минуты.Атака стартует с mDNS-сканирования сервиса _adb-tls-connect._tcp в adjacent-сети. Клиент предъявляет EC P-256 сертификат вместо ожидаемого RSA — EVP_PKEY_cmp() возвращает -1 (несовместимые типы), код в auth.cpp читает «не ноль» как AUTH_SUCCESS. Далее стандартное ADB-фреймирование внутри TLS-туннеля и интерактивный shell. CWE-303, без единого клика жертвы.
Диалог авторизации появляется только при USB — wireless ADB после TLS молчит. SOC не увидит ничего.Статья Безопасность бесплатных VPN для Android: утечки трафика и трекинг в 281 приложении
MVPNalyzer протестировал 281 бесплатный Android-VPN: 29 сливают трафик мимо туннеля, 24 — DNS открытым текстом, 5 тянут конфиг по HTTP — атакующий в той же Wi-Fi подменяет VPN-сервер и забирает весь трафик.Исследование NDSS 2026 (University of Michigan / IIT Delhi) показало: 61 приложение шлёт данные plain text (T1048.003), 169 не маскируют VPN-трафик от DPI, 246 контактируют с трекерами. Суммарное число установок уязвимых приложений — 2,4 млрд. Пять приложений реализуют T1557 Adversary-in-the-Middle через HTTP-конфиг без единой строки эксплойта.
Значок замка в статус-баре не означает туннель — 4 приложения шифруют интерфейс, но гонят трафик открытым текстом.Статья Обнаружение мобильного шпионского ПО в корпоративной среде: от слепых зон MDM до network-based detection
Intune рапортовал «compliant» — пока iPhone финдиректора три недели сливал записи микрофона на C2 через HTTPS. Pegasus-класс имплантов не отражается как приложение, не триггерит jailbreak-detection и проходит все compliance-проверки.MDM-решения — Intune, Jamf Pro, Workspace ONE — проектировались для управления конфигурацией, а не детекции компрометации. Kernel-level имплант с T1573 (Encrypted Channel) и certificate pinning невидим для MDM полностью. MTD-вендоры Lookout и Zimperium закрывают массовый stalkerware, но против свежей эксплойт-цепочки Pegasus работают с отставанием.
SOC видит зелёную галочку Intune — имплант работает ниже уровня, который MDM вообще способен наблюдать.Статья Шпионское ПО для iPhone: как коммерческие инструменты слежки стали оружием киберпреступников
Pegasus, Predator, DevilsTongue — инструменты уровня спецслужб утекли на теневой рынок. Zero-click цепочка от iMessage до полного контроля iPhone теперь доступна без контракта с NSO Group — достаточно бюджета на хороший автомобиль.Форензика sysdiagnose-дампов через MVT выдаёт IOC-паттерны Pegasus и Predator там, где пять лет назад их никто не ждал: корпоративный шпионаж, stalkerware, экономические конфликты. FORCEDENTRY (CVE-2021-30860) атаковал iMessage через JBIG2-stream, BLASTPASS шёл через PassKit/ImageIO — каждый закрытый вектор NSO заменяла новым.
Kill chain укладывается в MITRE T1189 → T1203 → T1068 → T1056.001/T1113/T1123 → T1041.
SOC смотрит на Windows Event Log — Pegasus работает в iOS sandbox молча, не оставляя следов на периметре.Статья Zero-click эксплойт: kill chain Pegasus и Predator — от iMessage до полной компрометации устройства
NSO Group роняла IMTranscoderAgent через 27 PSD-файлов под видом .gif — жертва не открыла ни одного вложения. FORCEDENTRY (CVE-2021-30860, CVSS 7.8, CWE-190) обошёл BlastDoor через JBIG2-декодер CoreGraphics и дал полный RCE без единого клика.Kill chain: iMessage автопарсит вложения до показа уведомления — 748-байтовые PSD готовят heap layout, PDF с JBIG2-потоком триггерит integer overflow. Далее sandbox escape → T1005 Collection → T1041 Exfiltration по зашифрованному C2-каналу.
Forensic-артефакт CASCADEFAIL фиксируется в DataUsage.sqlite.
BlastDoor был правильным ответом — NSO Group просто переписала эксплойт под его внутренности.Статья Защита смартфона от слежки: GrapheneOS, Lockdown Mode и мобильный харденинг для высокорисковых пользователей
CVE-2021-30860 (FORCEDENTRY) — zero-click через iMessage: жертва не нажала ничего, Pegasus уже внутри. GrapheneOS и Lockdown Mode — не паранойя, а инженерный ответ на Cellebrite, Predator и QuaDream.NSO Group, Intellexa, QuaDream — задокументированные вендоры с прайс-листами. FORCEDENTRY эксплуатировал integer overflow в CoreGraphics через JBIG2-PDF, замаскированные под .gif в iMessage. Работало на полностью обновлённых iPhone без единого клика пользователя.
GrapheneOS отвечает hardened_malloc против heap corruption, MTE на Pixel 8+, Duress PIN с уничтожением ключей в Titan M2 и USB-silence в BFU-состоянии.
MDM проверяет версию ОС — Cellebrite вытащит keychain и удалённые сообщения при физическом изъятии.Статья Stalkerware обнаружение на Android: технические отличия от коммерческого spyware и индикаторы компрометации
Три APK без иконок в launcher, wake lock каждые 15 минут и HTTP к shared-хостингу — stalkerware на Android оставляет грубые артефакты. Pegasus не оставляет ничего: ни DeviceAdmin, ни записей в pm list packages.Stalkerware цепляется за DeviceAdminReceiver и Accessibility Services — проверяется через adb shell dumpsys device_policy и adb shell settings get secure enabled_accessibility_services. В logcat виден RECORD_AUDIO, аномальные wake lock'и, HTTPS к дешёвым хостингам. MITRE T1036, T1056.001, T1113 — весь набор без единого kernel-эксплойта.
SOC ищет сложные TTPs — stalkerware детектируется через adb за 3 минуты, но его не ищут.Статья Безопасность подключённых автомобилей: пентест мобильного приложения от реверса APK до удалённых команд
APK мобильного приложения MyAudi или NissanConnect — это вход в тот же backend, что управляет замками и двигателем. IDOR по VIN-номеру, захардкоженный client_secret в Retrofit-классе, deprecated /v1/ без rate limiting — и fleet-wide unlock реален.jadx декомпилирует APK за минуты: grep по https:// вскрывает карту OEM API, assets/ отдаёт конфигурационные JSON с APN-credentials. OAuth client_secret прямо в коде (T1552.001) позволяет генерировать токены в обход UI. Frida + objection ломают certificate pinning — кастомный хук на OkHttp CertificatePinner открывает трафик в Burp.
Три реалистичных сценария из публичных исследований Curry et al.
SOC смотрит на CAN-шину и IVI — атака идёт через Google Play APK и живой /v1/ endpoint без авторизации.Статья Пентест мобильных приложений: полное руководство по методологии, инструментам и защите Android и iOS
Серверы под контролем компании — устройство пользователя нет. Скачал APK, разобрал через jadx, нашёл захардкоженный API-ключ в strings.xml, подключил Frida — и серверная логика стала прозрачной. Это фундаментальное отличие мобильного пентеста от всего остального.Навигационный хаб по 14 материалам: OWASP MASVS 1.5 и 2.0, Android (декомпиляция APK, deeplink, WebView, Binder IPC, root-detection bypass), iOS (jailbreak, SSL pinning bypass, реверс бинарников, обход биометрии), настройка лаборатории, supply chain атаки через SDK.
Trade-off таблица восьми инструментов: Frida, objection, Burp Suite, MobSF, jadx, apktool, Drozer, class-dump — с реальными ограничениями каждого. Decision tree выбора вектора по типу приложения (нативное/Flutter/гибридное) и модели угроз заказчика.
Реальные уязвимости всё чаще прячутся не в хранилище, а в бизнес-логике — гонки состояний, цепочки из трёх безобидных API-вызовов. Автоматика этого не видит.Статья Лаборатория для мобильного пентеста: от эмулятора до перехвата трафика за один вечер
Три часа на финтех-аудите ушли не на поиск IDOR, а на борьбу со стендом: Android 14 монтировал /system read-only, сертификат Burp не попадал в системное хранилище, Frida-сервер падал из-за несовпадения архитектуры с AVD.Рабочий стек выглядит так: rootAVD интегрирует Magisk в образ эмулятора через `rootAVD.bat ListAllAVDs` (только cmd.exe, не PowerShell), сертификат Burp кладётся в `/system/etc/security/cacerts/` через Magisk-модуль, Frida-сервер версии строго под API эмулятора стартует через `adb push` и `adb shell chmod 755`.
Genymotion даёт root из коробки и экономит 20 минут, но ARM-трансляция без допнастройки ломает половину APK.
Эмулятор проваливает Play Integrity даже с Magisk — приложение молча блокирует запуск до первого экрана.🚀 Первый раз на Codeby?
Гайд для новичков: что делать в первые 15 минут, ключевые разделы, правила
Начать здесь →
🧭 Навигатор · ИБ 2026
Не знаешь, какой трек твой?
5 направлений ИБ, реальные зарплаты и точка входа для каждого — в одном треде.
JuniorSenior+
100K → 600K+ ₽ /мес
Категории
💼 Вакансии и заказы в ИБ
Pentest, SOC, DevSecOps, bug bounty — работа и проекты от проверенных компаний
Карьера в ИБ →
Команда онлайн
-
ROPPentester