Spade es el sueño de cualquier script kiddie que quiera comprometer un dispositivo Android en pocos minutos, pero también una oportunidad para cualquiera que tenga propósitos didácticos y quiera revisar el código en Python y ver como bindear un apk embebiendo un backdoor con un payload de Android de Metasploit. Los únicos requisitos son tener instalado Metasploit y las librerías lib32stdc++6, lib32ncurses5 y lib32z1.

Si quieres verlo un funcionamiento sólo tienes que clonar el repositorio y ejecutar el script principal pasándole como parámetro cualquier APK que queramos "infectar". Puedes descargar cualquier apk para probar por ejemplo desde apk4fun.com:

git clone https://github.com/suraj-root/spade.git
cd spade/
./spade.py net.zedge.android-5.8.0-www.APK4Fun.com.apk
 

Como veis simplemente hemos seleccionado el payload para una sesión inversa con meterpreter mediante HTTP (opción 1), la IP y el puerto de la máquina del atacante. Cuando la víctima instale y ejecute el apk malicioso automáticamente obtendremos una shell en el dispositivo. Os dejo también el vídeo con la PoC: