Androwarn

Wieder ein statischer Codeanalysator für bösartige Android-Anwendungen

Beschreibung

Androwarn ist ein Werkzeug, dessen Hauptziel darin besteht, potenziell schädliche Verhaltensweisen einer Android-Anwendung zu erkennen und den Benutzer davor zu warnen.

Die Erkennung erfolgt durch die statische Analyse des Dalvik-Bytecodes der Anwendung, dargestellt als Smali, mit der androguard Bibliothek.

Diese Analyse führt zur Erstellung eines Berichts, der nach einem vom Benutzer gewählten technischen Detailgrad erstellt wird.

Funktionen

• Strukturelle und Datenflussanalyse des Bytecodes, die auf verschiedene Kategorien schädlichen Verhaltens abzielt

  • Exfiltration von Telefonie-Identifikatoren: IMEI, IMSI, MCC, MNC, LAC, CID, Name des Betreibers...
  • Exfiltration von Geräteeinstellungen: Softwareversion, Nutzungsstatistiken, Systemeinstellungen, Protokolle...
  • Offenlegung von Geolokalisierungsinformationen: GPS/WiFi-Geolokalisierung...
  • Exfiltration von Informationen über Verbindungsschnittstellen: WLAN-Anmeldedaten, Bluetooth-MAC-Adresse...
  • Missbrauch von Telefoniediensten: Versenden von Premium-SMS, Tätigen von Telefonanrufen...
  • Abfangen von Audio-/Videoströmen: Aufzeichnen von Anrufen, Videoaufnahmen...
  • Aufbau von Fernverbindungen: Socket-Öffnen, Bluetooth-Pairing, Bearbeiten von APN-Einstellungen...
  • Datenleck bei PIM: Kontakte, Kalender, SMS, E-Mails, Zwischenablage...
  • Operationen auf externem Speicher: Dateizugriff auf SD-Karte...
  • Änderung von PIM-Daten: Hinzufügen/Löschen von Kontakten, Kalenderereignissen...
  • Ausführung beliebigen Codes: nativer Code mit JNI, UNIX-Befehl, Privilegieneskalation...
  • Denial of Service: Deaktivieren von Ereignisbenachrichtigungen, Löschen von Dateien, Töten von Prozessen, Deaktivieren der virtuellen Tastatur, Herunterfahren/Neustart des Terminals...

• Erstellung von Berichten in mehreren Detailstufen

  • Wesentlich (-v 1) für Einsteiger
  • Fortgeschritten (-v 2)
  • Experte (-v 3)

• Erstellung von Berichten in mehreren Formaten

  • Klartext txt
  • Formatiert html mit einer Bootstrap-Vorlage
  • JSON

Verwendung

Optionen

usage: androwarn [-h] -i INPUT [-o OUTPUT] [-v {1,2,3}] [-r {txt,html,json}]
                 [-d]
                 [-L {debug,info,warn,error,critical,DEBUG,INFO,WARN,ERROR,CRITICAL}]
                 [-w]

version: 1.4

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT, --input INPUT
                        APK file to analyze
  -o OUTPUT, --output OUTPUT
                        Output report file (default
                        "./<apk_package_name>_<timestamp>.<report_type>")
  -v {1,2,3}, --verbose {1,2,3}
                        Verbosity level (ESSENTIAL 1, ADVANCED 2, EXPERT 3)
                        (default 1)
  -r {txt,html,json}, --report {txt,html,json}
                        Report type (default "html")
  -d, --display-report  Display analysis results to stdout
  -L {debug,info,warn,error,critical,DEBUG,INFO,WARN,ERROR,CRITICAL}, --log-level {debug,info,warn,error,critical,DEBUG,INFO,WARN,ERROR,CRITICAL}
                        Log level (default "ERROR")
  -w, --with-playstore-lookup
                        Enable online lookups on Google Play

Übliche Verwendung

$ python androwarn.py -i my_application_to_be_analyzed.apk -r html -v 3

Standardmäßig wird der Bericht im aktuellen Ordner erstellt.
Ein HTML-Bericht ist jetzt in einer eigenständigen Datei enthalten, CSS/JS-Ressourcen sind eingebettet.

Beispielanwendung

Es wurde eine Beispielanwendung erstellt, die mehrere schädliche Verhaltensweisen vereint.

Die APK ist im Ordner _SampleApplication/bin/ verfügbar und der HTML-Bericht im Ordner _SampleReports.

Abhängigkeiten und Installation

• Python 3 oder Python 2.7 + androguard + jinja2 + play_scraper + argparse
• Der einfachste Weg alles einzurichten: pip install androwarn und dann direkt $ androwarn verwenden
• Oder das Repository klonen und pip install -r requirements.txt ausführen

Änderungsprotokoll

• Version 1.6 – 2019/05/30: Python 3-Unterstützung und einige Korrekturen
• Version 1.5 – 2019/01/05: einige Korrekturen
• Version 1.4 – 2019/01/04: Bereinigung des Codes und Verwendung der neuesten Androguard-Version
• Version 1.3 – 2018/12/30: einige Korrekturen
• Version 1.2 – 2018/12/30: einige Korrekturen
• Version 1.1 – 2018/12/29: Behebung einiger Fehler, Entfernung der Chilkat-Abhängigkeiten und Pip-Paketierung
• Version 1.0 – von 2012 bis 2013

Beitragen

Du bist willkommen, jede Hilfe wird geschätzt :)

Kontakt

• Thomas Debize < tdebize at mail d0t com >
• Tritt #androwarn auf Freenode bei

Urheberrecht und Lizenz

Androwarn ist freie Software: Sie können es unter den Bedingungen der GNU Lesser General Public License, wie von der Free Software Foundation veröffentlicht, weiterverbreiten und/oder modifizieren, entweder gemäß Version 3 der Lizenz oder (nach Ihrer Wahl) jeder späteren Version.

Androwarn wird in der Hoffnung verbreitet, dass es nützlich sein wird, aber OHNE JEGLICHE GEWÄHRLEISTUNG; ohne die stillschweigende Garantie der MARKTGÄNGIGKEIT oder EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Weitere Details finden Sie in der GNU Lesser General Public License.

Sie sollten eine Kopie der GNU Lesser General Public License zusammen mit Androwarn erhalten haben.
Falls nicht, siehe http://www.gnu.org/licenses/.

Grüße

• Stéphane Coulondre, für die Betreuung meines Abschlussprojekts
• Anthony Desnos, für sein großartiges Androguard-Projekt und seine Hilfe während meines Abschlussprojekts