🫙 kavanoz 🫙

kavanoz (جرة بالتركية) هي أداة لفك تغليف البرمجيات الخبيثة المصرفية الشائعة لنظام أندرويد بشكل ثابت (static). هل سبق أن أردت الحصول على الحمولة من برمجية خبيثة مغلّفة دون تشغيل محاكي أندرويد؟ ولا أنا كذلك :) لكن هذه أداة على أي حال.

👀 التثبيت

pip install kavanoz

لتثبيتها من المصدر، استنسخ المستودع وقم بتثبيت قابل للتعديل باستخدام -e. وهذا يعني أنه إذا عدّلت أو أضفت إضافات جديدة إلى المشروع، فسيتم استخدامها دون إعادة التثبيت.

git clone https://github.com/eybisi/kavanoz.git
cd kavanoz
pip install -e .

⚡ الاستخدام

من سطر الأوامر

kavanoz /tmp/filepath

يمكنك استخدام المعامل -vvv لطباعة سجلات مفصّلة (مفيد لتصحيح أخطاء الإضافات).

كمكتبة بايثون

from kavanoz.core import Kavanoz
from kavanoz import utils

utils.set_log("DEBUG")
k = Kavanoz(apk_path="tests/test_apk/coper.apk")
for plugin_result in k.get_plugin_results():
    if plugin_result["status"] == "success":
        print("Unpacked")
        print(plugin_result)
        break

🐍 السكربتات:

• rc4.py ملف أصول مشفّر بـ RC4 عام. يغطي السكربت إصدارات متعددة.
• old_rc4.py ملف أصول مشفّر بـ RC4 عام آخر.
• subapp.py فك تشفير ملف بمفتاح مشتق من متغير ProtectKey في ملف Manifest
• multidex.py محمل شبيه بـ Multidex مع ملف معبأ مفكوك الضغط (ضغط zlib).
• coper.py استخراج مفتاح RC4 من مكتبة أصلية باستخدام المحاكاة (AndroidNativeEmu)
• moqhao.py محاكاة لفك تغليف moqhau.
• sesdex.py
• simple_aes.py
• simple_xor.py
• simple_xor2.py
• simple_xor_zlib.py
• subapp.py فك تشفير الأصل باستخدام اسم الحزمة

⚙️ التطوير

تأكد من تثبيت kavanoz كحزمة قابلة للتعديل (editable) باستخدام -e. لإضافة إضافات جديدة، فقط أنشئ ملفًا جديدًا في مجلد loader. وسّع كلاس Unpacker من ملف unpack_plugin.py. عرّف دالة start_decrypt مع التنفيذ الخاص بك.

def start_decrypt(self, apk_object: APK, dexes: "list[DEX]"):

أضف الدالة التالية للسماح بالخروج المبكر من الإضافة.

def lazy_check(self,apk_object:APK, dexes: "list[DEX]"):

إذا نجح الاستخراج، عيّن self.decrypted_payload_path إلى مسار الملف المستخرج. يمكنك استخدام الدوال المساعدة من كلاس unpacker:

• get_array_data
• get_smali
• find_method(class_name,method_name,descriptor="")
• check_and_write_file(file_data) : تتحقق مما إذا كان الملف يحتوي على ترويسات dex وzip وzlib وتكتب dex مفكوك التغليف بالاسم: "external-{m[:8]}.dex"

تأكد من تشغيل python -m unittest قبل فتح طلب سحب (PR). للحصول على ملفات apk الاختبارية، استخدم الأمر git lfs pull.

📖 نصائح

• self.dexes تحتوي على كائنات dex. يمكنك الحصول على الكلاس باستخدام dex.get_class(smali_annotation_of_class).
• يمكنك استخدام دالة get_smali وإعطائها كائن الدالة الهدف للحصول على تمثيل smali للدالة الهدف. ثم طبّق بعض التعبيرات النمطية (regex) لاستخراج البيانات من smali. هناك الكثير من التعبيرات النمطية المعرّفة في ملف smali_regexes.py للرجوع إليها.
• في معظم الأحيان يستخدم المغلفون ملفًا من مجلد assets. يمكنك الحصول على الملفات باستخدام self.apk_object.get_files().
• في معظم الأحيان يستخدم المغلفون كلاس Application لبدء تسلسل فك التغليف. استخدم application = self.apk_object.get_attribute_value("application", "name") للحصول على كلاس التطبيق المعرّف في ملف manifest.

شكرًا:

apkdetect.com لتوفيرهم عينات فريدة للعمل عليها.