Android-Antivirus, das kein Root, kein adb, keine CA-Installation und keine Cloud benötigt, mit vielen Funktionen und Möglichkeiten zur Erkennung von mehr Zero-Day-Malware.
Erweiterter Android-Antivirus mit Bedrohungsschutz
⚠️ Projekt pausiert. Dieses Projekt hat nicht genug Interesse gefunden, daher habe ich
es vorerst pausiert. Die Entwicklung wurde zu
HydraDragonAntivirus verlagert.
HydraDragonAV Mobile ist eine mehrschichtige Android-Antivirus- und Sicherheitssuite, die statische Analyse (YARA-X + ClamAV-Signaturen + Code-Anomalieerkennung), dynamische Verhaltensanalyse und einen leichtgewichtigen On-Device-ML-Klassifikator kombiniert – alles abgesichert durch eine NSRL-basierte Whitelist, sodass bekannte gute Software niemals ein False Positive ist. Mit einer Zero-Trust-Architektur konzipiert, verteidigt es das Gerät aktiv gegen Ransomware, Clickjacking, Spyware, SMS-Betrug/Phishing und Zero-Day-Bedrohungen. Wenn eine als Malware markierte App gestartet wird, wird sie in Echtzeit automatisch erzwungen beendet und blockiert.
📋 Anforderungen: Android 8.0 Oreo (API 26) oder neuer. Die pro-App dynamische
Netzwerkanalyse – die jede DNS/Verbindung der exakten App zuordnet, die sie
ausgelöst hat, und sie an das YARA-X-Modul hydradragon übergibt – basiert auf
ConnectivityManager.getConnectionOwnerUid, das nur unter Android 10+ verfügbar ist.
Unter Oreo/API 26-28 läuft der Rest der Suite weiterhin, aber die Zuordnung von
Verbindungen zu einzelnen Apps ist nicht verfügbar.
🤖 Nur-Android-Erkennungsumfang. Dies ist ein minimalistischer, auf Android fokussierter
Fork des ursprünglichen HydraDragonAntivirus –
er erkennt nur Android-Malware. Die native Scan-Engine führt ihren
ClamAV/YARA-X-Signaturabgleich nur bei Dateien aus, die sie sicher als
Android-relevanten Typ identifizieren kann (APK/ZIP, DEX, ELF, HTML, ASCII-Text, PDF, Bilder);
reine Desktop-Formate (Windows-PE, OLE2/Office, Mail, Mach-O, Java) und Dateien
unbestimmten Typs werden vollständig übersprungen, statt mit einer
Signaturdatenbank gescannt zu werden, die nie für sie gedacht war. Weitere Details finden Sie im
Wiki
(ClamAV-Integration,
Bekannte Einschränkungen).
🚀 Hauptfunktionen
⚡ Photon-Technologie: Ultraschnelle, multithreaded Scan-Engine mit ConcurrentHashMap-Caching, die zuvor gescannte sichere Anwendungen ohne CPU-Aufwand sofort erneut überprüft.
🧠 Native Rust-Scan-Engine: Ein über JNI angebundener Rust-Kern (libhydradragonandroid.so) übernimmt die schwere Arbeit – YARA-X + ClamAV-Signaturabgleich, Archiv-Extraktion (zip/gz/tar/xz/lzma/7z/rar, einschließlich verschachtelter APKs), AXML-Manifest-Parsing und Zählung gefährlicher Berechtigungen, alles direkt aus Bytes im Speicher (keine temporären Dateien erforderlich).
🧠 Burn-ML-Binärklassifikator: Ein tract-basierter Burn-Malware/Benigne-Klassifikator bewertet jedes gescannte APK mit einem Konfidenzwert (0.0–1.0). Er wurde sowohl mit Malware- als auch mit Benigne-Datensätzen trainiert, um eine genaue binäre Klassifikation zu ermöglichen. Ein leichtgewichtiger Logistische-Regression-Klassifikator (AIEngine) bewertet außerdem das Verhalten auf DEX-Ebene (Verschleierung, dynamisches Laden, Krypto-/Socket-/Shell-APIs, Adware-SDKs).
🛡️ Ransomware- und Screen-Locker-Schutz: Echtzeit-Erkennung von Text auf dem Bildschirm (über Accessibility-Dienst + OCR) erkennt Lösegeldforderungen und beendet bildschirmsperrende Ransomware zwangsweise, in 20 Sprachen.
📵 SMS-Betrugs- und Phishing-Erkennung: Derselbe mehrsprachige Bildschirmtext-Scanner erkennt Smishing-Köder (gefälschte Kontoverifizierung, Gewinnspiel-Betrug, Paketzustellungs-Betrug, OTP-Anfragen, Bankwarnungen), wo auch immer sie angezeigt werden – in der Nachrichten-App, in Benachrichtigungsvorschauen oder in einer gefälschten WebView – ohne jemals direkt Ihren SMS-Posteingang zu lesen.
🖥️ Live-Bildschirm-OCR: Ein auf MediaProjection basierender Erfassungsdienst führt regelmäßig eine OCR des Vordergrundbildschirms durch und leitet den extrahierten Text an den nativen Bedrohungsscanner weiter, wodurch Betrügereien erkannt werden, die nur als gerenderte Pixel erscheinen.
🖼️ MalwareFoundActivity als Dialog: Wenn bei einem Hintergrundscan eine Bedrohung erkannt wird, weist ein schwebender Dialog-Overlay (keine Vollbild-Activity) den Benutzer darauf hin, ohne seine aktuelle Aufgabe zu unterbrechen.
🚫 Schutz vor UI-Übernahme / Clickjacking: Erkennt und blockiert automatisierte Schnellklick-Angriffe zur Berechtigungserteilung, Benachrichtigungs-Spam-Fluten und wiederholten Overlay-/Dialog-Missbrauch durch bösartige Apps. Task-Hijacking (StrandHogg-Aktivitätenzählung) und ein Bildschirmaufnahme-/FLAG_SECURE-Schutz sind ebenfalls als optionale Einstellungsschalter integriert (der FLAG_SECURE-Schutz kann absichtlich über einen Schalter „Bildschirmaufnahme erlauben“ deaktiviert werden – Manipulationserkennung erfasst dennoch unbefugte Entfernung).
🛠️ Technische Architektur
HydraDragonAV Mobile arbeitet auf vier zentralen Säulen:
GuardService: Ein persistenter Vordergrunddienst, der das Gehirn des aktiven Verteidigungssystems bildet – überwacht den Downloads-Ordner in Echtzeit und orchestriert Scans, überwacht Bedrohungen rund um die Uhr.
DynamicAnalysisService: Ein Accessibility-Dienst, der automatisierte UI-Übernahme (Clickjacking) verhindert, Overlay-/Benachrichtigungs-Spam-Angriffe blockiert und Bildschirmtext auf Ransomware-/SMS-Betrug-/Phishing-Formulierungen in 20 Sprachen scannt.
ScreenCaptureService: Ein auf MediaProjection basierender OCR-Dienst, der den Vordergrundbildschirm regelmäßig erfasst und liest und den extrahierten Text zur Live-Bedrohungserkennung an den nativen Scanner weiterleitet.
ScanEngine + NativeScanner: Die Java-Orchestrierungsschicht und ihr nativer Rust-Gegenpart (libhydradragonandroid.so) – bewertet X.509-Zertifikate, SHA-256-Hashes, gefährliche Berechtigungen, App-Installationsquellen, YARA-X/ClamAV-Signaturen und ML-Anomalie-Scores.
Ein lokaler DnsVpnService filtert zusätzlich DNS-Lookups gegen bekannte schädliche Domains, und ein Paar aus NetworkSecurityScanner/NetworkMonitor überwacht Live-Verbindungen auf MITM-Abfangen, ARP-Spoofing und schädlichen IP/C2-Verkehr.
🚫 Warum kein Shizuku (oder ähnliche Shell-Privilegien-Frameworks)?
Tools wie Shizuku gewähren einer App Privilegien auf ADB-Shell-Ebene (Prozessbeendigung, PackageManager-Operationen jenseits der öffentlichen API, echtes Firewalling im iptables-Stil usw.) ohne volles Root. Es ist ein legitimes, nützliches Projekt – nur nicht die richtige Wahl innerhalb eines Produktions-Antivirus:
Es beseitigt die Angriffsfläche nicht, es verlagert sie nur. Shizukus eigener privilegierter Dienst ist über Binder für jede App erreichbar, die ihn anfordert; das Einbetten eines Shell-Privilegien-Eskalations-Clients in einen Antivirus bedeutet, dass eine Kompromittierung des AV-Prozesses (oder ein Fehler in der Kommunikation mit Shizuku) ADB-weite Reichweite auf dem Gerät erbt – genau der Schadensradius, den ein Antivirus verkleinern statt vergrößern soll.
Es kann sich in Produktion nicht selbst aktivieren. Shizuku erfordert, dass der Benutzer es bei jedem Bootvorgang jedes Mal über adb shell (drahtloses oder USB-Debugging) oder Root startet, sofern das Gerät nicht bereits gerootet ist – völlig unpraktikabel für eine Massenmarkt-Installation, und diese App weigert sich bereits, auf gerooteten Geräten überhaupt zu laufen (RootCheck) und warnt den Benutzer, wenn USB-/drahtloses Debugging aktiviert bleibt (DebugModeCheck/DebugModeWarning), gerade weil beide Zustände die Angriffsfläche vergrößern.
Der marginale Zugewinn ist den Wechsel des Vertrauensmodells nicht wert. Der Hauptanreiz (eine echte Firewall auf Paketebene, erzwungenes Beenden beliebiger Apps) wird hier bereits durch DNS-/Domänen-/IP-Filterung auf Basis von VpnService (Web Shield) angemessen abgedeckt, ohne dass der Benutzer jemals Shell-Zugriff auf einen Drittanbieter-Brokerdienst autorisieren muss.
Kurz gesagt: Ein Sicherheitsprodukt, das den Benutzer auffordert, ihm zuerst Debug-Shell-Zugriff zu gewähren, löst sein Bedrohungsmodell rückwärts. Die tatsächliche Privilegien-Eskalationsfläche der App wird absichtlich auf das beschränkt, was die öffentlichen Android-APIs (AccessibilityService, VpnService, PackageManager) erlauben – nichts, was ADB, Root oder eine privilegierte Begleit-App erfordert.
🧬 Warum wurde TLSH entfernt?
Frühe Builds enthielten eine TLSH-Fuzzy-Hashing-Engine, die jedes gescannte APK/ELF/DEX mit einer aus MalwareBazaar abgeleiteten Digest-Datenbank verglich. Sie wurde entfernt, weil sie die langsamste, schwerste und am wenigsten nützliche Engine der gesamten Suite war:
Es war mit Abstand die langsamste Engine. Telemetriedaten zeigten, dass TLSH etwa 49 Sekunden Single-Thread-Wallzeit pro Scan verbrauchte – ungefähr 92 % des gesamten Scan-Umfangs – während ClamAV (4 Worker, akkumuliert) und YARA-X ihre Durchläufe in einem Bruchteil davon abschlossen. Der Engpass war nicht das Hashen, sondern eine lineare Diff-Suche über eine ELF-Datenbank mit ~177.000 Digests für jeden gescannten Puffer.
Es wiederholte Xvirus' Fehler – eine vorgetäuschte „100 % Erkennung“ in Tests, aber nicht in der realen Welt. Das Ziehen einer Datenbank von bekannten Malware-Sammelseiten und der Abgleich von allem damit erzeugt beeindruckend aussehende, aber bedeutungslose Zahlen: Der Detektor kann immer nur genau das erneut markieren, was bereits heruntergeladen wurde, und erzeugt so ein falsches Gefühl vollständiger Abdeckung. In der Praxis fügte TLSH bei realen Proben nur ~0,1–0,5 % redundante Erkennungen hinzu – alles, was es markierte, wurde bereits von den ClamAV-/YARA-X-/ML-Ebenen erfasst.
Es war aufgebläht. Die gebündelten TLSH-Referenzdatenbanken (ELF, APK, DEX) lieferten Megabytes an Digests in die APK für eine Ebene, die fast nichts beitrug, was nicht bereits Signatur- und ML-Engines liefern.
Die Funktionen, die ihren Platz tatsächlich verdienen – YARA-X + ClamAV-Signaturen, der ML-Klassifikator, NSRL-Whitelisting, Emulation und URL/IP-Filterung – decken denselben Bereich ab, ohne die Laufzeitkosten oder das leere Versprechen von „100 %“.
Entworfen mit 💻 von @elnureisayeva1-cloud (Ersteller) & @Siradankullanici (Backend-Entwicklung)
Hinweis: Die maximale Dateigröße, die die Engine scannt, ist in den Einstellungen konfigurierbar (10–2048 MB, Standard 650 MB) – Dateien über dem Limit werden vollständig übersprungen, statt teilweise gescannt zu werden.
⚙️ Erstellen & Installieren
Klonen Sie das Repository (Submodule enthalten – die native Engine verwendet einen eigenen YARA-X-Fork mit dem Scan-Modul hydradragon):
root@kitploit:~
git clone --recurse-submodules https://github.com/HydraDragonAntivirus/HydraDragonAV-Mobile.git
cd HydraDragonAV-Mobile
Erstellen Sie die native Rust-Engine für Android (siehe hydradragonandroid/README.md für Voraussetzungen):
root@kitploit:~
cd hydradragonandroid
build-android.cmd
Erstellen Sie die Android-App wie gewohnt (Gradle) – die native .so-Ausgabe wird automatisch aus app/src/main/jniLibs/ übernommen.
Die Erkennungsressourcen auf dem Gerät werden offline aus öffentlichen Threat-Intelligence- und NSRL-Quellen erzeugt und dann in die App eingebunden:
gen_whitelist_packages.py – erstellt whitelist_packages.db (SQLite), eine detaillierte NSRL-Android-Paket-Whitelist (Name, Version, Hersteller, Betriebssystem, Hashes), zusammengeführt aus der NSRL-RDS-Datenbank.
gen_whitelist_apk.py – extrahiert NSRL-MD5-Hashes ganzer APKs für den nativen Binary-Fuse-XOR-Whitelist-Filter.
gen_ip_lists.py / build_url_xfilters.py / build_xfilters.sh – erstellen die Filter für schädliche IPs/URLs/Domains (XOR-Filter-basiert), die von den nativen IP-/URL-Bedrohungsscannern verwendet werden.
clam_juice.py – filtert ClamAV-Signaturen, sodass nur Android-relevante Plattformen (Andr, Unix, Linux, Email, PUA) sowie alle Phishing-Signaturen erhalten bleiben; schließt Win/Osx/Java aus:
fdroid-downloader.py – lädt benigne APKs aus dem offiziellen F-Droid-Repository für die Dataset-Pipeline herunter. Lädt nur APKs herunter, die lokal noch nicht vorhanden sind; vergleicht anhand des Dateinamens, sodass aktualisierte Versionen automatisch übernommen werden.
🔍 Scanner bei Installation und auf Abruf: Schnelle (nur installierte Apps) oder vollständige Scans (gesamter Speicher inkl. SD-Karte); ein BroadcastReceiver fängt neu installierte/aktualisierte APKs ab und scannt sie automatisch. Hintergrundscans können von der UI übernommen werden, wenn der Benutzer den Scan-Bildschirm mitten im Scan öffnet – kein redundanter erneuter Scan.
🎯 Zähler für aktive Bedrohungen: Eine spezielle Statistik „AKTIVE BEDROHUNGEN“ auf dem Scan-Bildschirm zeigt die Anzahl der aktuell erkannten Bedrohungen zusammen mit den Gesamtzahlen für gescannt/Bedrohungen.
📋 Umfangreiche Bedrohungsdialoge: Das Antippen einer Bedrohung zeigt alle Erkennungsgründe in einer Aufzählungsliste mit anklickbaren VirusTotal-URLs zur sofortigen Überprüfung sowie Aktionen zum Zerstören / Ignorieren / Signatur ignorieren.
🌐 Netzwerksicherheits-Monitor: Verfolgt Live-Verbindungen, kennzeichnet bekannte schädliche/C2-IPs (vor dem Scannen als öffentliches IPv4 validiert – private/Loopback-/Multicast-Adressen werden abgelehnt) und Domains, die wie Anonymisierer/Tunnel-Dienste geformt sind (dyndns, ngrok, .onion-Lookup-Versuche), erkennt MITM-/TLS-Abfangen über nicht vertrauenswürdige CAs und kann ARP-Spoofing im lokalen Netzwerk erkennen. (Domänen-/DNS-basiert – dies beobachtet einfache DNS-Lookup-Muster, nicht den tatsächlichen Tor-Circuit-Verkehr, der den DNS-Resolver des Geräts nie berührt.)
🌐 DNS-filterndes VPN (Web Shield): Ein lokaler VPN-Dienst auf dem Gerät blockiert die Auflösung bekannter schädlicher/Phishing-Domains – kein Proxy, keine Entschlüsselung oder Überprüfung des Datenverkehrs, nur DNS-Lookups werden gefiltert.
🗃️ NSRL-gestützte Whitelist: Bekannt gute Software wird über zwei unabhängige, von NSRL abgeleitete Ebenen freigegeben – einen Binary-Fuse-XOR-Filter der SHA-256-Hashes ganzer Dateien (nativ, im Speicher) und eine SQLite-Datenbank mit vollständigen NSRL-Paketmetadaten (Name, Version, Hersteller, Betriebssystem) – sodass eine legitime App nie markiert wird, während ein schädlicher Hash niemals zufällig einen Whitelist-Eintrag „ausleihen“ kann.
🔒 Zero-Trust-Modus: Optionaler strengerer Modus, in dem jede App, die lediglich alle Detektoren übersteht (anstatt explizit freigegeben zu werden), dennoch als verdächtig markiert wird – mit vollständigem Prüfprotokoll.
🧠 Suite zur Verhaltenserkennung: Eine spezielle Reihe von Laufzeitdetektoren, die jeweils einzeln in den Einstellungen umschaltbar sind – UI-/Benachrichtigungs-Spam (Adware), ein Monitor für während der Sitzung gerootete Geräte, ein kombinierter Risikoscore aus Berechtigungen + verdächtigen DNS-Mustern und Ransomware-Verhaltenserkennung (siehe unten). Jeder Treffer beendet sofort den Hintergrundprozess der übertretenden App (wo möglich) und öffnet direkt die System-Deinstallationsabfrage, anstatt auf den nächsten geplanten Scan zu warten.
🪤 Ransomware-Dateifallen: Wenn einer frisch installierten, noch nicht überprüften App „Zugriff auf alle Dateien“ gewährt wird, legt HydraDragon vorübergehend eine Köderdatei (so benannt, dass sie in einem typischen alphabetischen Verschlüsselungsdurchlauf zuerst einsortiert wird) in Downloads/Documents/Pictures/DCIM ab. Jedes Umbenennen, jede Inhaltsänderung oder Löschung dieser Datei – etwas, das keine legitime App je anfassen müsste – ist zu 100 % sicheres Ransomware-Verhalten, keine heuristische Vermutung. Die Fallen verfallen automatisch innerhalb von 24 Stunden, sodass sie die Dateien des Benutzers nie überladen.
🔁 Erkennung von Ransomware durch Umbenennungs-Schübe: Unabhängig davon wird ein Schub von Dateien, die kurz nachdem eine App Dateizugriff erhalten hat, mit einem angehängten Suffix umbenannt werden (was auch immer dieses Suffix tatsächlich ist – keine fest codierte Liste von „.enc“/„.locked“), als In-Place-Verschlüsselung gekennzeichnet – die Dateisystem-Struktur, die jede Ransomware-Familie teilt, unabhängig von ihrer spezifischen Erweiterung.
🐴 Emulation von nativem Code (Unicorn Engine): Führt den JNI_OnLoad-/Einstiegscode einer eingebetteten nativen Bibliothek in einer begrenzten, syscall-freien CPU-Sandbox (ARM/ARM64/x86/x86_64) aus, um Zeichenfolgen – wie eine C2-URL – sichtbar zu machen, die eine Dekodier-/Entschlüsselungsroutine nur zur Laufzeit erzeugt, niemals als statischen Klartext. Vollständig in den Einstellungen umschaltbar.
🎣 Scan auf schädliche/Phishing-URL-Zeichenfolgen: Extrahiert jede eingebettete http(s)://-URL aus den Rohbytes einer gescannten Datei (APK oder anderes) und prüft sie gegen die nativen XOR-Filter für Malware/Phishing-URLs – eine vollständige URL (mit Pfad) ist viel spezifischer als eine nackte Domain, was weniger Fehlalarme und präzisere Erkennungen bedeutet als ein reiner Domain-Abgleich.
🔐 Selbstschutz der Einstellungen: Jeder Einstellungs-Schalter/Button ist gegen nicht-menschliche Manipulation gehärtet – ein Overlay-basierter Tapjacking-Versuch wird über die Android-eigene FLAG_WINDOW_IS_OBSCURED-Prüfung blockiert, und ein unnatürlich schneller Schub von Einstellungsänderungen (das Kennzeichen eines bösartigen Accessibility-Dienstes, der die UI direkt steuert) wird erkannt, rückgängig gemacht und blockiert, sodass nur der tatsächliche Gerätebesitzer die Schutzeinstellungen ändern kann.
🧹 Bloatware-Reiniger, Selbstschutz und Root-Erkennung: Rundet die Suite mit Hintergrund-App-Bereinigung, Widerstandsfähigkeit gegen Manipulation/Deinstallation über Device Admin und Erkennung gerooteter Geräte ab.
🌍 Mehrsprachige Unterstützung: Vollständig lokalisierte UI und Stichwortlisten zur Bedrohungserkennung in 20 Sprachen: Englisch, Türkisch, Spanisch, Deutsch, Französisch, Russisch, Portugiesisch, Arabisch, Italienisch, Niederländisch, Polnisch, Ukrainisch, Chinesisch (vereinfacht), Japanisch, Koreanisch, Hindi, Indonesisch, Vietnamesisch, Persisch und Thailändisch.
hydradragonantivirus/hydradragonav-mobile
(Logo erstellt von Discord-Nutzer: 1tophbeifong)-3DDC84?style=for-the-badge&logo=android){kind=icon}
