AMDH

تقوية أجهزة أندرويد المحمولة مكتوبة بلغة بايثون 3.

إصدار أندرويد، PObY-A (الخصوصية مملوكة لك - أندرويد)، مع فحص البرامج الضارة وإعدادات المسح الضوئي متاح على متجر Play ويمكن العثور على الكود المصدري هنا

الدوافع

تم إنشاء AMDH للمساعدة في أتمتة فحص التطبيقات المثبتة على أجهزة أندرويد، واكتشاف بعض البرامج الضارة المعروفة، وأيضًا لحماية الخصوصية.

الميزات

• فحص إعدادات النظام وتقويتها بناءً على بعض فحوصات معيار CIS (مركز أمن الإنترنت) لأجهزة أندرويد ووثائق إعدادات فرع أندرويد الرئيسي (الإعدادات العامة و الإعدادات الآمنة)
• سرد عمليات المستخدم الحالية وإنهاء العمليات المحددة
• تحليل التطبيقات المثبتة حالياً على الجهاز:
  • سرد الأذونات الخطيرة وإلغاؤها
  • المقارنة مع الأذونات التي تستخدمها البرامج الضارة
  • إنشاء تقرير بصيغة JSON
• سرد التطبيقات:
  • إلغاء تثبيت/تعطيل التطبيق
  • إلغاء مستقبلات الإدارة
• تفريغ حزم APK للتطبيقات المثبتة
• التحقق من وجود تحديثات معلقة للنظام
• استخراج حزم APK المضغوطة إن وجدت
• تحليل ثابت لاكتشاف البرامج الضارة. البرامج الضارة المكتشفة حالياً:
  • ActionSpy
  • WolfRat
  • Anubis
• التقاط لقطة لحالة الهاتف الحالية إلى ملف JSON:
  • التطبيقات:
    • APK
    • وقت التثبيت الأول
    • وقت آخر تحديث
    • الأذونات الحالية
    • هل التطبيق مسؤول جهاز
  • الرسائل القصيرة: رسائل SMS الحالية
  • جهات الاتصال: قائمة جهات الاتصال الحالية
  • نسخ احتياطي للتطبيقات التي لديها نسخ احتياطي مفعل
• مقارنة اللقطات مع حالة الهاتف الحالية
  • التطبيقات
  • الإعدادات
• استعادة اللقطة
  • التطبيقات
  • جهات الاتصال
• إدارة أجهزة متعددة في وقت واحد (مقارنة اللقطات والاستعادة غير مدعومة بعد)
  • لكل جهاز يتم إنشاء مؤشر ترابط جديد
• تقرير HTML

المتطلبات

• بايثون 3
• تركيب Android Debug Bridge (ADB)
• androguard
• pwntools

التثبيت

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

الاستخدام

ملاحظة: بالنسبة لنظام ويندوز، يجب عليك تحديد مسار ADB أو تعديل المتغير "adb_windows_path" في "config/main.py".

تحذير: عند استخدام الوسيطة -l مع تفعيل التطبيق '-t e'، سيتم عرض تطبيقات النظام. إلغاء تثبيت تطبيقات النظام قد يكسر نظام أندرويد الخاص بك. يوصى باستخدام 'disable' بدلاً من 'uninstall' لتطبيقات النظام.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

تقوية أجهزة أندرويد المحمولة

وسائط اختيارية:
  -h, --help            عرض رسالة المساعدة هذه والخروج
  -d DEVICES, --devices DEVICES
                        قائمة بالأجهزة مفصولة بفواصل أو "ALL" لجميع الأجهزة المتصلة
  -sS                   فحص إعدادات النظام
  -sA                   فحص التطبيقات المثبتة
  -H                    تقوية إعدادات النظام /!\ سيتم تعطيل خيارات المطور و ADB /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        المسار إلى ثنائي ADB
  -t {e,d,3,s}          نوع التطبيقات:
                                e: التطبيقات المفعلة
                                d: التطبيقات المعطلة
                                3: تطبيقات الطرف الثالث
                                s: تطبيقات النظام
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        تفريغ حزم APK من الجهاز إلى مجلد APKS_DUMP_FOLDER
  -rar                  إزالة مستقبلات الإدارة: إزالة جميع مستقبلات الإدارة إذا لم يكن التطبيق من تطبيقات النظام
                        خيار فحص التطبيقات "-sA" مطلوب
  -R                    لكل تطبيق، إلغاء جميع الأذونات الخطيرة
                        خيار فحص التطبيقات "-sA" مطلوب
  -l                    سرد التطبيقات المرقمة لتعطيلها أو إلغاء تثبيتها أو تحليلها
  -P                    سرد عمليات المستخدم الحالية
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        التقاط لقطة للحالة الحالية للهاتف إلى ملف JSON ونسخ التطبيقات احتياطياً في SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        مقارنة SNAPSHOT_REPORT مع حالة الهاتف الحالية
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        استعادة SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        مجلد الإخراج للتقارير والسجلات. الافتراضي: out

التوثيق والمساعدة

الاختبارات وإصدار CIS

• تم الاختبار على أندرويد 7.1.1 و 8 و 9 و 10
• إصدار CIS: 1.3.0

اكتشاف البرامج الضارة

مقارنة الأذونات الممنوحة مع الأذونات الموصوفة في الملف malware_perms.json. يحتوي الملف على ثلاث عقد:

• malware_only: الأذونات التي تستخدمها البرامج الضارة فقط
• all: الأذونات التي تستخدمها البرامج الضارة والتطبيقات المشروعة
• combinations: مجموعات الأذونات التي تستخدمها البرامج الضارة في الغالب

أذونات البرامج الضارة فقط

أذونات البرامج الضارة فقط هي تلك المستخدمة فقط من قبل البرامج الضارة. البرامج الضارة التي تم تحليلها هي من المستودعات:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

تم استخدام الأمر "aapt" لتفريغ الأذونات. الجزء الثاني كان تفريغ أذونات التطبيقات المشروعة (حوالي 400 تطبيق). أذونات البرامج الضارة فقط هي الأذونات التي تستخدمها البرامج الضارة ولا تظهر أبدًا في التطبيقات المشروعة التي تم تحليلها.

جميع الأذونات

جميع الأذونات تستخدم من قبل كل من البرامج الضارة والتطبيقات المشروعة. القيم هي النسبة المئوية لمدى استخدام البرامج الضارة لهذه الأذونات مقارنة بالتطبيقات المشروعة.

التحليل الثابت

• البحث عن الأذونات الخطيرة لحزم APK المضغوطة وتفريغها وسردها باستخدام androguard
• تفريغ المكتبات وفحص دوال البرامج الضارة الأصلية المعروفة باستخدام pwntools

اللقطة

يمكن أن تساعد اللقطة في مراقبة حالة النظام ونسخ بيانات الهاتف احتياطياً:

• التطبيقات وأذوناتها
• إعدادات النظام
• جهات الاتصال
• الرسائل النصية القصيرة

المشكلات المعروفة

• الأمر "pm revoke" يُرجع رمز نجاح الخروج ولكنه لا يلغي الأذونات لبعض البرامج الضارة.
• قد يفشل نسخ الرسائل القصيرة احتياطياً على بعض الأجهزة لأن غلاف ADB لا يملك الإذن للوصول إلى قاعدة بيانات الرسائل القصيرة. في حالة حدوث ذلك، يرجى إنشاء مشكلة.

أمثلة

المسح الضوئي

• مسح التطبيقات

(amdh)$ python amdh.py -d SERIAL1,SERIAL2,SERIAL3 -sA -o reports