Antonio Torralba Garcia

Tony, actualmente ingeniero de software en GitHub, ha seguido una trayectoria profesional mixta entre el desarrollo de software y la seguridad informática. Empezó su carrera como desarrollador de productos de firma digital y autenticación, y tras eso pasó a ser analista de seguridad especializado en la seguridad de aplicaciones, centrándose en revisiones de código y auditorías de caja negra. Ahora se dedica a crear y mejorar queries de CodeQL para encontrar vulnerabilidades a gran escala en proyectos Open Source.

To the Upside Down and Back: Destapando CVEs en aplicaciones Android desde dos mundos

Oct 26, 2022

El trabajo a presentar en esta charla consiste en dos partes. En la primera, se elabora una query de CodeQL para modelar un patrón de código vulnerable que, a través de un mal uso de los Intents de Android, permite a aplicaciones maliciosas actuar en nombre de la aplicación vulnerable, usándola como proxy para realizar una escalada de privilegios en el dispositivo. Se muestra cómo la ejecución de esta query a gran escala en diversos proyectos de código abierto destapa vulnerabilidades en aplicaciones Android populares, que son reportadas y corregidas por los desarrolladores. Un ejemplo de CVE asignado a partir de este trabajo es el CVE-2021-41256. En la segunda parte, se muestra cómo se puede traspasar esta idea al mundo del análisis dinámico y las aplicaciones de código cerrado. Mediante el uso de Frida, se analizan aplicaciones de Google Play a escala con el mismo objetivo.