AMDH

Endurecimiento de dispositivos móviles Android escrito con python3.

La versión para Android, PObY-A (Privacy Owned by You - Android), con escaneos de malware y configuraciones está disponible en Play Store y el código fuente se puede encontrar AQUÍ

Motivaciones

AMDH fue creado para ayudar a automatizar el escaneo de aplicaciones instaladas en dispositivos Android, detectar algunos malware conocidos y también proteger la privacidad.

Características

• Verificar y endurecer la configuración del sistema basándose en algunas evaluaciones de referencia CIS (Centro de Seguridad en Internet) para dispositivos Android y la documentación de configuración de la rama maestra de Android (Configuración global y Configuración segura)
• Listar procesos de usuarios actuales y finalizar los seleccionados
• Analizar las aplicaciones instaladas actualmente en el dispositivo:
  • listar permisos peligrosos y revocarlos
  • comparar con permisos usados por malware
  • generar informe en formato JSON
• Listar aplicaciones:
  • desinstalar/deshabilitar aplicación
  • revocar receptores de administrador
• Extraer APKs de aplicaciones instaladas
• Verificar si el sistema tiene actualizaciones pendientes
• Extraer APKs empaquetados si existen
• Análisis estático para detección de malware. Malware actualmente detectado:
  • ActionSpy
  • WolfRat
  • Anubis
• Capturar el estado actual del teléfono en un archivo JSON:
  • Aplicaciones:
    • APK
    • primera hora de instalación
    • última hora de actualización
    • permisos actuales
    • si la aplicación es administradora del dispositivo
  • SMS: mensajes SMS actuales
  • Contactos: lista actual de contactos
  • Respaldar aplicaciones que tengan habilitada la copia de seguridad
• Comparación de capturas con el estado actual del teléfono
  • Aplicaciones
  • Configuración
• Restaurar captura
  • Aplicaciones
  • Contactos
• Gestionar múltiples dispositivos a la vez (la comparación y restauración de capturas aún no son compatibles)
  • Para cada dispositivo se crea un nuevo hilo
• Informe HTML

Requisitos

• Python3
• Android Debug Bridge (ADB) instalado
• androguard
• pwntools

Instalación

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Uso

Nota: Para Windows debes especificar la ruta de ADB o editar la variable "adb_windows_path" en "config/main.py".

Advertencia: al usar el argumento -l con la opción de aplicación habilitada '-t e', se listarán las aplicaciones del sistema. Desinstalar aplicaciones del sistema puede dañar tu sistema Android. Se recomienda usar 'disable' en lugar de 'uninstall' para las aplicaciones del sistema.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            show this help message and exit
  -d DEVICES, --devices DEVICES
                        list of devices separated by comma or "ALL" for all connected devices
  -sS                   Scan the system settings
  -sA                   Scan the installed applications
  -H                    Harden system settings /!\ Developer Options and ADB will be disabled /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Path to ADB binary
  -t {e,d,3,s}          Type of applications:
                                e: enabled Apps
                                d: disabled Apps
                                3: Third party Apps
                                s: System Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Dump APKs from device to APKS_DUMP_FOLDER directory
  -rar                  Remove admin receivers: Remove all admin receivers if the app is not a system App
                        Scan application option "-sA" is required
  -R                    For each app revoke all dangerous permissions
                        Scan application option "-sA" is required
  -l                    List numbered applications to disable, uninstall or analyze
  -P                    List current users processes
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Snapshot the current state of the phone to a json file and backup applications into SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Compare SNAPSHOT_REPORT with the current phone state
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Restore SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Output directory for reports and logs. Default: out

Documentación y Ayuda

Pruebas y versión CIS

• Probado en Android 7.1.1, 8, 9 y 10
• Versión CIS: 1.3.0

Detección de malware

Compara los permisos otorgados con los permisos descritos en el archivo malware_perms.json. El archivo contiene tres nodos:

• malware_only: permisos usados solo por malware
• all: permisos usados por malware y aplicaciones legítimas
• combinations: combinaciones de permisos usadas principalmente por malware

permisos solo de malware

Los permisos solo de malware son aquellos que solo usa el malware. El malware analizado proviene de los repositorios:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

El comando "aapt" fue usado para volcar los permisos. La segunda parte fue volcar los permisos de aplicaciones legítimas (alrededor de 400 aplicaciones). Los permisos solo de malware son aquellos que usa el malware y nunca aparecen en las aplicaciones legítimas analizadas.

Todos los permisos

Todos los permisos son usados tanto por malware como por aplicaciones legítimas. Los valores son porcentajes de cuánto malware usó estos permisos en comparación con las aplicaciones legítimas.