AMDH

Android Mobile Device Hardening, geschrieben mit Python3.

Die Android-Version, PObY-A (Privacy Owned by You - Android), mit Malware- und Einstellungs-Scans ist im Play Store verfügbar und der Quellcode kann HIER gefunden werden.

Motivationen

AMDH wurde entwickelt, um das Scannen installierter Anwendungen auf Android-Geräten zu automatisieren, einige bekannte Malware zu erkennen und auch die Privatsphäre zu schützen.

Funktionen

• Systemeinstellungen basierend auf CIS (Center of Internet Security) Benchmark-Checks für Android-Geräte und der Einstellungsdokumentation des Android-Master-Branches überprüfen und härten (Globale Einstellungen und Sichere Einstellungen)
• Aktuelle Benutzerprozesse auflisten und ausgewählte beenden
• Derzeit installierte Anwendungen auf dem Gerät analysieren:
  • Gefährliche Berechtigungen auflisten und widerrufen
  • Mit von Malware verwendeten Berechtigungen vergleichen
  • Bericht im JSON-Format erstellen
• Anwendungen auflisten:
  • App deinstallieren/deaktivieren
  • Admin-Empfänger widerrufen
• APKs installierter Anwendungen dumpen
• Prüfen, ob das System ausstehende Updates hat
• Gepackte APKs extrahieren, falls vorhanden
• Statische Analyse zur Malware-Erkennung. Derzeit erkannte Malware:
  • ActionSpy
  • WolfRat
  • Anubis
• Momentaufnahme des aktuellen Telefonzustands in eine JSON-Datei:
  • Anwendungen:
    • APK
    • Erster Installationszeitpunkt
    • Letzter Aktualisierungszeitpunkt
    • Aktuelle Berechtigungen
    • Ist die App Geräte-Admin
  • SMS: aktuelle SMS-Nachrichten
  • Kontakte: aktuelle Kontaktliste
  • Backup von Anwendungen, die Backup aktiviert haben
• Vergleich von Momentaufnahmen mit dem aktuellen Telefonzustand
  • Anwendungen
  • Einstellungen
• Momentaufnahme wiederherstellen
  • Anwendungen
  • Kontakte
• Mehrere Geräte gleichzeitig verwalten (Momentaufnahmen-Vergleich und -Wiederherstellung werden noch nicht unterstützt)
  • Für jedes Gerät wird ein neuer Thread erstellt
• HTML-Bericht

Voraussetzungen

• Python3
• Android Debug Bridge (ADB) installiert
• androguard
• pwntools

Installation

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Verwendung

Hinweis: Unter Windows müssen Sie den ADB-Pfad angeben oder die Variable "adb_windows_path" in "config/main.py" bearbeiten.

Warnung: Bei Verwendung des Arguments -l mit aktivierter Anwendung '-t e' werden System-Apps aufgelistet. Das Deinstallieren von System-Apps kann Ihr Android-System beschädigen. Für System-Apps wird die Verwendung von 'disable' anstelle von 'uninstall' empfohlen.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optionale Argumente:
  -h, --help            zeigt diese Hilfemeldung und beendet das Programm
  -d DEVICES, --devices DEVICES
                        Liste der Geräte, durch Komma getrennt, oder "ALL" für alle verbundenen Geräte
  -sS                   Systemeinstellungen scannen
  -sA                   Installierte Anwendungen scannen
  -H                    Systemeinstellungen härten /!\ Entwickleroptionen und ADB werden deaktiviert /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Pfad zur ADB-Binärdatei
  -t {e,d,3,s}         Typ der Anwendungen:
                                e: aktivierte Apps
                                d: deaktivierte Apps
                                3: Drittanbieter-Apps
                                s: System-Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        APKs vom Gerät in das Verzeichnis APKS_DUMP_FOLDER dumpen
  -rar                  Admin-Empfänger entfernen: Alle Admin-Empfänger entfernen, wenn die App keine System-App ist
                        Scan-Anwendungsoption "-sA" erforderlich
  -R                    Für jede App alle gefährlichen Berechtigungen widerrufen
                        Scan-Anwendungsoption "-sA" erforderlich
  -l                    Nummerierte Anwendungen auflisten, um sie zu deaktivieren, deinstallieren oder zu analysieren
  -P                    Aktuelle Benutzerprozesse auflisten
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Momentaufnahme des aktuellen Telefonzustands in eine JSON-Datei und Backup der Anwendungen in SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Vergleich von SNAPSHOT_REPORT mit dem aktuellen Telefonzustand
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Wiederherstellung von SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Ausgabeverzeichnis für Berichte und Logs. Standard: out

Dokumentation & Hilfe

Tests und CIS-Version

• Getestet auf Android 7.1.1, 8, 9 und 10
• CIS-Version: 1.3.0

Malware-Erkennung

Vergleiche die gewährten Berechtigungen mit den Berechtigungen, die in der Datei malware_perms.json beschrieben sind. Die Datei enthält drei Knoten:

• malware_only: nur von Malware verwendete Berechtigungen
• all: von Malware und legitimen Apps verwendete Berechtigungen
• combinations: von Malware am häufigsten verwendete Berechtigungskombinationen

Nur von Malware verwendete Berechtigungen

Nur von Malware verwendete Berechtigungen sind solche, die nur von Malware genutzt werden. Die analysierte Malware stammt aus den Repositories:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

Der Befehl "aapt" wurde zum Dumpen der Berechtigungen verwendet. Der zweite Schritt bestand darin, die Berechtigungen legitimer Apps (etwa 400 Apps) zu dumpen. Nur von Malware verwendete Berechtigungen sind solche, die von Malware genutzt werden und niemals in den analysierten legitimen Anwendungen vorkommen.