Obfuscapk

## ❱ Demo

![Demo](https://assets.kitploit.com/production/public/readmes/3132/632e285a29e53c28a5549c70012673a2761ca3ca4fd7eac3ad89be3d6a9a2a21.gif)



## ❱ Architektur

![Architektur](https://assets.kitploit.com/production/public/readmes/3132/da41bec35f1c09df38ad201aa1e74f0b1426dba0201162a70b4d5376b3da654e.png)

Obfuscapk ist modular und erweiterbar konzipiert und basiert daher auf einem
[Plugin-System](https://github.com/tibonihoo/yapsy). Folglich ist jeder Obfuskator ein
Plugin, das von einer abstrakten
[Basisklasse](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/src/obfuscapk/obfuscator_category.py)
erbt und die Methode `obfuscate` implementieren muss. Wenn das Tool mit der Verarbeitung einer neuen
Android-Anwendungsdatei beginnt, erstellt es ein
[Obfuskationsobjekt](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/src/obfuscapk/obfuscation.py),
um alle benötigten Informationen (z. B. den Speicherort des dekompilierten `smali`-Codes)
und den internen Zustand der Operationen (z. B. die Liste der bereits verwendeten Obfuskatoren) zu speichern.
Dann wird das Obfuskationsobjekt als Parameter an die Methode `obfuscate` an alle
aktiven Plugins/Obfuskatoren (nacheinander) übergeben, um verarbeitet und modifiziert zu werden. Die Liste und
die Reihenfolge der aktiven Plugins wird über [Kommandozeilenoptionen](#-usage) festgelegt.

Das Tool lässt sich leicht mit neuen Obfuskatoren erweitern: Es reicht aus, den Quellcode
zur Implementierung der Obfuskationstechnik und die Plugin-Metadaten (eine
`<obfuscator-name>.obfuscator`-Datei) im Verzeichnis
[`src/obfuscapk/obfuscators`](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators)
abzulegen (nehmen Sie einen einfachen bestehenden Obfuskator wie
[`Nop`](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/src/obfuscapk/obfuscators/nop/nop.py)
als Ausgangsbeispiel). Das Tool erkennt das neue Plugin automatisch, sodass keine
weitere Konfiguration erforderlich ist (das neue Plugin wird wie alle anderen mit dem Tool
gebündelten Plugins behandelt).



## ❱ Installation

Es gibt zwei Möglichkeiten, um eine funktionsfähige Kopie von Obfuscapk auf Ihrem eigenen Computer zu erhalten: entweder
durch [Verwendung von Docker](#docker-image) oder durch [direkte Verwendung des Quellcodes](#from-source)
in einer `Python 3`-Umgebung. In beiden Fällen besteht der erste Schritt darin, eine lokale
Kopie dieses Repositorys zu erhalten. Öffnen Sie also ein Terminal in dem Verzeichnis, in dem Sie
das Projekt speichern möchten, und klonen Sie das Repository:```Shell
$ git clone https://github.com/ClaudiuGeorgiu/Obfuscapk.git

#### Offizielles Docker Hub Image

Das [offizielle Obfuscapk Docker-Image](https://hub.docker.com/r/claudiugeorgiu/obfuscapk) ist auf Docker Hub verfügbar (automatisch aus diesem Repository erstellt):```Shell
$ # Download the Docker image.
$ docker pull claudiugeorgiu/obfuscapk
$ # Give it a shorter name.
$ docker tag claudiugeorgiu/obfuscapk obfuscapk

Wenn das Docker-Image bereit ist, führen Sie einen kurzen Test durch, um zu überprüfen, ob alles korrekt installiert wurde:```Shell
$ docker run --rm -it obfuscapk --help
usage: python3 -m obfuscapk.cli [-h] -o OBFUSCATOR [-w DIR] [-d OUT_APK_OR_AAB]
...

```Shell
$ apksigner
Usage:  apksigner <command> [options]
        apksigner --version
        apksigner --help
...

$ zipalign
Zip alignment utility
Copyright (C) 2009 The Android Open Source Project
...

pip3 install -r requirements.txt
``````Shell
$ # Make sure to run the commands in Obfuscapk/ directory.

$ # The usage of a virtual environment is highly recommended.
$ python3 -m venv venv
$ source venv/bin/activate

$ # Install Obfuscapk's requirements.
$ python3 -m pip install -r src/requirements.txt

Obfuscapk ist jetzt einsatzbereit, siehe die [Verwendungshinweise](#-usage) für weitere
Informationen.



## ❱ Verwendung

Ab jetzt wird Obfuscapk als ausführbare Datei unter dem Namen `obfuscapk` betrachtet,
sodass Sie die Befehle je nach Installationsmethode anpassen müssen:

* **Docker-Image**: Ein lokales Verzeichnis mit der zu obfuskierenden Anwendung muss im
Container unter `/workdir` bereitgestellt werden (z. B. das aktuelle Verzeichnis
`"${PWD}"`), daher der Befehl:
    ```Shell
    $ obfuscapk [params...]
    ```
    wird zu:
    ```Shell
    $ docker run --rm -it -u $(id -u):$(id -g) -v "${PWD}":"/workdir" obfuscapk [params...]
    ```

* **Aus dem Quellcode**: Jeder Befehl muss aus dem Verzeichnis `Obfuscapk/src/`
ausgeführt werden (oder durch Hinzufügen des Verzeichnisses `Obfuscapk/src/` zur
Umgebungsvariablen `PYTHONPATH`) und der Befehl:
    ```Shell
    $ obfuscapk [params...]
    ```
    wird zu:
    ```Shell
    $ python3 -m obfuscapk.cli [params...]
    ```

Beginnen wir mit einem Blick auf die Hilfemeldung:```Shell
$ obfuscapk --help
obfuscapk [-h] -o OBFUSCATOR [-w DIR] [-d OUT_APK_OR_AAB] [-i] [-p] [-k VT_API_KEY]
          [--keystore-file KEYSTORE_FILE] [--keystore-password KEYSTORE_PASSWORD]
          [--key-alias KEY_ALIAS] [--key-password KEY_PASSWORD] [--use-aapt2]
          <APK_OR_BUNDLE_FILE>

Wenn der obige Befehl ausgeführt wird, passiert Folgendes im Hintergrund:

* da kein Arbeitsverzeichnis angegeben wurde, wird ein neues Arbeitsverzeichnis
(`obfuscation_working_dir`) am selben Ort wie `original.apk` erstellt (dies kann
nützlich sein, um die `smali`-Dateien/Manifest/Ressourcen bei Fehlern zu überprüfen)

* es werden einige Prüfungen durchgeführt, um sicherzustellen, dass alle benötigten Dateien/ausführbaren Programme
verfügbar und einsatzbereit sind

* der eigentliche Verschleierungsprozess beginnt: die angegebenen Obfuskatoren werden
(nacheinander) einer nach dem anderen ausgeführt, bis kein Obfuskator mehr übrig ist oder ein Fehler auftritt

    - beim Ausführen des ersten Obfuskators wird `original.apk` mit `apktool`
    dekompiliert und die Ergebnisse werden im Arbeitsverzeichnis gespeichert

    - da der erste Obfuskator `RandomManifest` ist, werden die Einträge im dekompilierten
    Android-Manifest zufällig neu angeordnet (ohne die `xml`-Strukturen zu beschädigen)

    - der `Rebuild`-Obfuskator erstellt die Anwendung einfach neu (jetzt mit dem modifizierten
    Manifest) mit `apktool`, und da keine Ausgabedatei angegeben wurde, wird die resultierende
    APK-Datei im zuvor erstellten Arbeitsverzeichnis gespeichert

    - der `NewAlignment`-Obfuskator verwendet das `zipalign`-Werkzeug, um die resultierende APK-Datei auszurichten
      
    - der `NewSignature`-Obfuskator signiert die neu erstellte APK-Datei mit einem benutzerdefinierten
      Zertifikat, das in einem
      [mit Obfuscapk gebündelten Keystore](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/src/obfuscapk/resources/obfuscation_keystore.jks) enthalten ist
      (obwohl ein anderer Keystore mit dem Parameter `--keystore-file` angegeben werden kann)

* wenn alle Obfuskatoren fehlerfrei ausgeführt wurden, befindet sich die resultierende verschleierte
APK-Datei in `obfuscation_working_dir/original_obfuscated.apk`, signiert,
ausgerichtet und bereit zur Installation auf einem Gerät/Emulator

Wie im vorherigen Beispiel zu sehen, werden die Obfuskatoren `Rebuild`, `NewAlignment` und `NewSignature` 
benötigt, um eine Verschleierungsoperation abzuschließen und die endgültige
verschleierte APK zu erstellen. Es handelt sich nicht um tatsächliche Verschleierungstechniken, aber sie werden im
Erstellungsprozess benötigt, daher sind sie in der Liste der Obfuskatoren enthalten, um die gesamte
Architektur modular zu halten.

Funktioniert nicht wie erwartet? Siehe
[FAQ](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/docs/FAQ.md) und
[Fehlerbehebung](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/docs/TROUBLESHOOTING.md).



## ❱ Obfuskatoren

Die in Obfuscapk enthaltenen Obfuskatoren können je nach den von ihnen durchgeführten Operationen in verschiedene Kategorien eingeteilt werden:

* **Trivial**: wie der Name schon sagt, umfasst diese Kategorie einfache Operationen (die
die ursprüngliche Anwendung nicht wesentlich verändern), wie das Signieren der APK-Datei mit einer neuen Signatur.

* **Umbenennen**: Operationen, die die Namen der verwendeten Bezeichner ändern (Klassen, Felder,
Methoden).

* **Verschlüsselung**: Verpacken verschlüsselten Codes/Ressourcen und deren Entschlüsselung während der App-Ausführung. Wenn Obfuscapk startet, generiert es automatisch einen zufälligen geheimen Schlüssel (32 Zeichen lang, mit ASCII-Buchstaben und Ziffern), der für die Verschlüsselung verwendet wird.

* **Code**: alle Operationen, die die Modifikation des dekompilierten Quellcodes beinhalten.

* **Ressourcen**: Operationen an den Ressourcendateien (wie die Änderung des Manifests).

* **Sonstiges**

Die derzeit in Obfuscapk gebündelten Obfuskatoren werden im Folgenden kurz vorgestellt (in alphabetischer Reihenfolge). Bitte lesen Sie den Quellcode des Projekts für weitere Details.

> [!TIP]
> Nicht alle der unten aufgeführten Obfuskatoren entsprechen echten Verschleierungstechniken (z.B.,
> `Rebuild`, `NewAlignment`, `NewSignature` und `VirusTotal`), aber sie sind als Obfuskatoren implementiert, um die Architektur modular und leicht um neue Funktionalitäten erweiterbar zu halten.


<details><summary><b>AdvancedReflection</b> [Code]</summary>

> Verwendet Reflektion, um gefährliche APIs des Android-Frameworks aufzurufen. Um herauszufinden, ob eine
> Methode zum Android-Framework gehört, bezieht sich Obfuscapk auf das Mapping, das von
> [Backes et al.](https://www.usenix.org/system/files/conference/usenixsecurity16/sec16_paper_backes-android.pdf) entdeckt wurde.  
> [:page_facing_up: AdvancedReflection-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/advanced_reflection)
</details>


<details><summary><b>ArithmeticBranch</b> [Code]</summary>

> Fügt Junk-Code ein. In diesem Fall besteht der Junk-Code aus arithmetischen Berechnungen
> und einer Verzweigungsanweisung, die vom Ergebnis dieser Berechnungen abhängt, und zwar so,
> dass die Verzweigung nie genommen wird.  
> [:page_facing_up: ArithmeticBranch-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/arithmetic_branch)
</details>


<details><summary><b>AssetEncryption</b> [Verschlüsselung]</summary>

> Verschlüsselt Asset-Dateien.  
> [:page_facing_up: AssetEncryption-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/asset_encryption)
</details>


<details><summary><b>CallIndirection</b> [Code]</summary>

> Diese Technik modifiziert den Kontrollflussgraphen, ohne die Codesemantik zu beeinträchtigen:
> sie fügt neue Methoden hinzu, die die ursprünglichen aufrufen. Beispielsweise wird ein Aufruf der
> Methode *m1* durch eine neue Wrapper-Methode *m2* ersetzt, die beim Aufruf die ursprüngliche Methode *m1* aufruft.  
> [:page_facing_up: CallIndirection-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/call_indirection)
</details>


<details><summary><b>ClassRename</b> [Umbenennen]</summary>

> Ändert den Paketnamen und benennt Klassen um (sogar in der Manifest-Datei).  
> [:page_facing_up: ClassRename-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/class_rename)
</details>


<details><summary><b>ConstStringEncryption</b> [Verschlüsselung]</summary>

> Verschlüsselt konstante Zeichenketten im Code.  
> [:page_facing_up: ConstStringEncryption-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/const_string_encryption)
</details>


<details><summary><b>DebugRemoval</b> [Code]</summary>

> Entfernt Debug-Informationen.  
> [:page_facing_up: DebugRemoval-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/debug_removal)
</details>


<details><summary><b>FieldRename</b> [Umbenennen]</summary>

> Benennt Felder um.  
> [:page_facing_up: FieldRename-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/field_rename)
</details>


<details><summary><b>Goto</b> [Code]</summary>

> Fügt einer Methode eine `goto`-Anweisung ein, die auf das Ende der Methode zeigt, und eine
> weitere `goto`, die auf die Anweisung nach der ersten `goto` zeigt; es modifiziert den
> Kontrollflussgraphen durch Hinzufügen von zwei neuen Knoten.  
> [:page_facing_up: Goto-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/goto)
</details>


<details><summary><b>LibEncryption</b> [Verschlüsselung]</summary>

> Verschlüsselt native Bibliotheken.  
> [:page_facing_up: LibEncryption-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/lib_encryption)
</details>


<details><summary><b>MethodOverload</b> [Code]</summary>

> Nutzt die Überladungsfunktion der Programmiersprache Java aus, um verschiedenen Methoden denselben Namen
> zuzuweisen, aber mit unterschiedlichen Argumenten. Gegeben eine bereits vorhandene
> Methode erstellt diese Technik eine neue void-Methode mit demselben Namen und denselben Argumenten,
> fügt aber zusätzlich neue zufällige Argumente hinzu. Der Rumpf der neuen Methode
> wird dann mit zufälligen arithmetischen Anweisungen gefüllt.  
> [:page_facing_up: MethodOverload-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/method_overload)
</details>


<details><summary><b>MethodRename</b> [Umbenennen]</summary>

> Benennt Methoden um.  
> [:page_facing_up: MethodRename-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/method_rename)
</details>


<details><summary><b>NewAlignment</b> [Trivial]</summary>

> Richtet die Anwendung neu aus.  
> [:page_facing_up: NewAlignment-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/new_alignment)
</details>


<details><summary><b>NewSignature</b> [Trivial]</summary>

> Signiert die Anwendung mit einer neuen benutzerdefinierten Signatur neu.  
> [:page_facing_up: NewSignature-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/new_signature)
</details>


<details><summary><b>Nop</b> [Code]</summary>

> Fügt Junk-Code ein. Nop, kurz für *no-operation*, ist eine dedizierte Anweisung, die nichts tut.
> Diese Technik fügt einfach zufällige `nop`-Anweisungen in jede Methodenimplementierung ein.  
> [:page_facing_up: Nop-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/nop)
</details>


<details><summary><b>RandomManifest</b> [Ressource]</summary>

> Ordnet Einträge in der Manifest-Datei zufällig neu an.  
> [:page_facing_up: RandomManifest-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/random_manifest)
</details>


<details><summary><b>Rebuild</b> [Trivial]</summary>

> Baut die Anwendung neu.  
> [:page_facing_up: Rebuild-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/rebuild)
</details>


<details><summary><b>Reflection</b> [Code]</summary>

> Diese Technik analysiert den vorhandenen Code auf Methodenaufrufe der App,
> ignoriert dabei Aufrufe an das Android-Framework (siehe `AdvancedReflection`). Wenn eine
> Anweisung mit einem geeigneten Methodenaufruf gefunden wird (d.h. keine Konstruktormethoden,
> öffentliche Sichtbarkeit, genügend freie Register usw.), wird dieser Aufruf an eine
> benutzerdefinierte Methode umgeleitet, die die ursprüngliche Methode mit den Reflection-APIs aufruft.  
> [:page_facing_up: Reflection-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/reflection)
</details>


<details><summary><b>Reorder</b> [Code]</summary>

> Diese Technik besteht darin, die Reihenfolge von Basisblöcken im Code zu ändern. Wenn eine
> Verzweigungsanweisung gefunden wird, wird die Bedingung invertiert (z.B. *Verzweigung, wenn kleiner als*,
> wird zu *Verzweigung, wenn größer oder gleich*) und die Zielbasisblöcke werden entsprechend
> neu angeordnet. Darüber hinaus wird der Code auch zufällig neu angeordnet, indem `goto`-Anweisungen
> missbraucht werden.  
> [:page_facing_up: Reorder-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/reorder)
</details>


<details><summary><b>ResStringEncryption</b> [Verschlüsselung]</summary>

> Verschlüsselt Zeichenketten in Ressourcen (nur diejenigen, die im Code aufgerufen werden).  
> [:page_facing_up: ResStringEncryption-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/res_string_encryption)
</details>


<details><summary><b>VirusTotal</b> [Sonstiges]</summary>

> Sendet die originale und die verschleierte Anwendung an VirusTotal. Sie müssen
> den VT-API-Schlüssel angeben (siehe Option `-k`).  
> [:page_facing_up: VirusTotal-Quellcode](https://github.com/ClaudiuGeorgiu/Obfuscapk/tree/master/src/obfuscapk/obfuscators/virus_total)
</details>



## ❱ Lizenz

Sie sind frei, diesen Code unter der
[MIT-Lizenz](https://github.com/ClaudiuGeorgiu/Obfuscapk/blob/master/LICENSE) zu verwenden.



## ❱ Danksagungen

[![Unige](https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg)](https://unige.it/en/)
[![Dibris](https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg)](https://www.dibris.unige.it/en/)

Diese Software wurde für Forschungszwecke am Computer Security Lab
([CSecLab](https://csec.it/)) entwickelt, das am DIBRIS der Universität Genua beheimatet ist.



## ❱ Team

* [Simone Aonzo](https://simoneaonzo.it/) - Wissenschaftlicher Mitarbeiter
* [Gabriel Claudiu Georgiu](https://github.com/ClaudiuGeorgiu) - Kernentwickler
* [Luca Verderame](https://csec.it/people/luca_verderame/) - Postdoktorand
* [Alessio Merlo](https://csec.it/people/alessio_merlo/) - Fakultätsmitglied