SwiftKey ohne Malware

[Justi]

Hallo,

bin hier neu, hab zwar oft mitgelesen aber nun kam ich mit Google nicht weiter.

Bin eigentlich angehender Ingenieur, jedoch hatte ich als Studium Generale Fach App programming ausgewählt. Dafür soll jedoch am Ende jeder ein Referat zu einem bestimmten Thema halten, dazu braucht man zum Problem einen Lösungsvorschlag und was, was alle ausprobieren können, sprich das Problem am eigenen Handy erfahren.

Nun hatte ich Android und seine Sicherheit bekommen, da es 3 davon gab, standen 3 Themen zur Auswahl, da mir bei "Keylogger" die SwiftKey App einfiel nahm ich das.

Mein Problem ist allerdings, dass die App ja die Textschlüssel an einen Server sendet, das kann ich natürlich nicht jeden installieren lassen.
Der Prof. gab mir den Tipp statt es zu senden es einfach in einer Textdatei speichern zu lassen, dafür müsste man nicht viel ändern.

Da ich noch am Anfang stehe komme ich nicht drauf, egal wie oft ich im Kreis renne...

Wie kann man denn die App abändern damit er statt an nen Server zu senden, eine Datei erstellt? Oder tut das die App sowieso schon, da die Buchstaben ja bestimmt nicht alle einzeln gesendet werden oder?

Vielen Dank vorab

Achja, weiss nicht ob jeder die App kennt, aber hier mal der Link: http://www.android-app-development.i...using-apktool/

[dr3nz4r]

Die "buchstaben" werden als Zeichenketter (string) gesendet.. es ist nachher nur eine "verschlüsselte" zeichenfolge, welche an den server, und danach an den Empfänger gesendet wird. Du könntest die App .apk natürlich jetzt decompilen, und eine funktion einfüügen, dass eine Textdatei mit eben jenem String erstellt wird. Dies stelle ich mir aufgrund der Tatsache, dass Apps grundsätzlich obfuscated werden eher schwirig vor. Stattdessen würde ich überlegen, eine art Plugin zu schreiben für SwiftKey, also eine eigene App, welche diese Pakete abfängt (wie WireShark) und abspeichert.

[DMW007]

Bei Keyloggern werden die Ausgaben in der Regel gebuffert, also gewartet bis man eine gewisse Datenmenge gesammelt hat und dann erst gesendet. Je nachdem wie die Daten gesendet werden ddost man sonst möglicherweise ungewollt den eigenen Zielserver. Muss nicht zwingend auf dem Dateisystem zwischengespeichert werden. Wenn z.B. eine TCP-Verbindung genutzt wird, kann man den Buffer auch kleiner dimensionieren und ihm im RAM halten. Kommt halt immer drauf an, wie das umgesetzt wurde.
Ist die App denn OpenSource? Wenn ja musst du nur die Stelle im Quellcode finden, wo die Daten an den Server gesendet werden. Das entfernst du und schreibst sie stattdessen in eine Textdatei. Auch wenn sie nicht OS ist kannst du trotzdem relativ einfach dekompilieren, da Java Bytecode erzeugt. Somit bekommst du also (zumindest großteils) wieder Java-Code und musst dich nicht mit Assembler rumschlagen. Wenn die App obfuscated wurde, wird das ganze (vor allem mit zunehmendem Umfang) etwas schwieriger, da dir die Logik genommen wird.

EDIT: Ach das ist eine Tastatur. In dem Fall ist das mit dem Server natürlich quatsch, du musst gucken wo du die Tasteneingaben abfangen kannst. Hab deinen Link mal überflogen, der Autor des Blogs hat doch 99% der Arbeit schon für dich gemacht?

[Justi]

puuh, bin wie gesagt da noch komplett am Anfang, die App so umzuschreiben schaffe ich nicht so schnell.
Dachte es ist mit ganz schnell gemacht.

Denke nicht dass die OpenSouce ist, immerhin wäre die originale App ja kostenpflichtig. Allerdings konnte man den Artikel damals überall lesen, meist mit Link zur App.

Gibt es denn noch alternative Apps die zeigen wie einfach das zu sammeln ist? Darf halt nur das Handy nicht verlassen, am besten eben eine Textdatei.

[DMW007]

Hast du denn überhaupt Java-Kenntnisse? Ohne zumindest einigermaßen Java zu können, macht es wenig Sinn damit anzufangen Android-Apps zu manipulieren. Bei Referaten muss die Vorgehensweise schließlich auch plausibel erklärt werden, ggf. gibts anschließend auch noch ein Kolloquium oder was vergleichbares. Das kann man eigentlich nur dann wirklich gut, wenn man sich mit dem Thema intensiv auseinandergesetzt hat.
Prinzipiell kannst du das Beispiel aus dem Blog-Eintrag schon nehmen. Die Frage wäre aber auch, ob das noch aktuell ist. Der Eintrag ist ein 3/4 Jahr alt, Software entwickelt sich weiter. Eventuell musst du da also selbst Hand anlegen, wenn sich was elementares verändert hat. Du kannst aber genau so gut jede andere Tastatur-App nehmen. Zum selbst auseinandernehmen würde ich es mit einer neueren, weniger bekannten App ausprobieren. Da ist die Chance höher, eine zu finden die nicht obfuscatet wurde. Erleichtert dir das reversen am Anfang enorm, weil du eben die Logik hast.
Hast du dir denn eine Android-Developmentumgebung eingerichtet? Paar Grundlegende Dinge wie eine AndroidVM zum testen solltest du schon haben. Wie man Apps decompiliert und manipuliert würde ich mir auch mal anschauen, denn darum gehts ja im wesentlichen: http://u-hacks.net/tutorials-181/how...ryption-18428/