engine

Droidefense Engine

Marco Avanzado de Análisis de Malware Android

Última versión

Descargar

Qué es Droidefense

Droidefense (originalmente llamado atom: analysis through observation machine)* es el nombre clave de una herramienta de análisis/ingeniería inversa de aplicaciones/malware Android. Fue construida centrándose en problemas de seguridad y trucos que los investigadores de malware enfrentan en su trabajo diario. Para aquellas situaciones donde el malware tiene rutinas de anti-análisis, Droidefense intenta evadirlas para llegar al código y a la rutina 'maliciosa'. A veces esas técnicas pueden ser detección de máquina virtual, detección de emulador, verificación de certificado propio, detección de tuberías, verificación de PID de rastreo, etc.

Droidefense utiliza una idea innovadora en la que el código no se descompila sino que se visualiza. Esto nos permite obtener una visión global del flujo de trabajo de ejecución del código con un 100% de precisión en la información recopilada. Con esta situación, Droidefense genera un elegante informe en html con los resultados para una fácil comprensión.

Características de Droidefense

• Desempaquetador de .apk
• Decodificador de recursos .apk
• Enumeración de archivos .apk
• Clasificación e identificación de archivos .apk
• Decodificador de xml binario
• Procesamiento en memoria usando un sistema de archivos virtual
• Fuzzing y hash de recursos
• Calculadora de entropía
• Volcado de código nativo
• Análisis de certificados
• Detección de certificado de depuración
• Análisis de opcodes
• Detección de opcodes no utilizados
• Análisis de androidManifest.xml
• Análisis de estructura interna
• Análisis de flujo de bytecode Dalvik
• Implementación de análisis de múltiples rutas (no probado)
• Generación de CFG
• Resolvedor simple de reflexión
• Clasificación de strings
• Generación de flujo de trabajo simulado
• Motor de reglas dinámicas

Módulos de Droidefense

• Módulo de datos PSCout
• Analizador completo de manifiesto Android, basado en la documentación oficial del SDK v23.
• Plugins
• Módulo de Machine Learning (basado en Weka)

Plugins de Droidefense

• Plugin detector de archivos ELF ocultos
• Plugin detector de archivos APK ocultos
• Plugin detector de UID de aplicación
• Plugin de privacidad

Uso

TL;DR

java -jar droidefense-cli-1.0-SNAPSHOT.jar -i /ruta/a/tu/ejemplo.apk

Uso detallado

java -jar droidefense-cli-1.0-SNAPSHOT.jar

________               .__    .___      _____                            
\______ \_______  ____ |__| __| _/_____/ ____\____   ____   ______ ____  
 |    |  \_  __ \/  _ \|  |/ __ |/ __ \   __\/ __ \ /    \ /  ___// __ \ 
 |    `   \  | \(  <_> )  / /_/ \  ___/|  | \  ___/|   |  \\___ \\  ___/ 
/_______  /__|   \____/|__\____ |\___  >__|  \___  >___|  /____  >\___  >
        \/                     \/    \/          \/     \/     \/     \/ 

* Compilación actual: 			2018_03_09__09_17_34
* Échale un vistazo en Github: 		https://github.com/droidefense/
* Reporta tu problema: 			https://github.com/droidefense/engine/issues
* Desarrollador principal: 		@zerjioang

usage: droidefense
 -d,--debug                 muestra información de depuración
 -h,--help                  muestra este mensaje
 -i,--input <apk>           .apk de entrada a analizar
 -o,--output <format>       selecciona el formato de salida preferido:
                            json
                            json.min
                            html
 -p,--profile               Esperar al perfilador JVM
 -s,--show                  muestra el informe generado tras el análisis
 -u,--unpacker <unpacker>   selecciona el desempaquetador preferido:
                            zip
                            memapktool
 -v,--verbose               ser verbose
 -V,--version               muestra la información de la versión actual
 

Información útil

• Consulta cómo compilar una nueva versión en:
  • https://github.com/droidefense/engine/wiki/Compilation
• Consulta un ejemplo de informe en:
  • https://github.com/droidefense/engine/wiki/Pornoplayer-report
• Consulta registros de ejecución en:
  • https://github.com/droidefense/engine/wiki/Execution-logs

Contribuciones

Todo el mundo es bienvenido a contribuir a DROIDEFENSE. Por favor, consulta los Pasos para contribuir a DROIDEFENSE para instrucciones sobre cómo proceder.

Y cualquier otro comentario será muy apreciado.

Cómo citar

Siéntete libre de citar droidefense en tus trabajos. Añadimos la siguiente plantilla para tus referencias:

@Manual{,
  title        = {Droidefense: Advance Android Malware Analysis Framework},
  author       = {{zerjioang}},
  organization = {opensource},
  address      = {Bilbao, Spain},
  year         = 2017,
  url          = {https://droidefense.wordpress.com/}
}

Licencia

Todos los derechos reservados.

Se permite la redistribución y el uso en formas de código fuente y binario, con o sin modificación, siempre que se cumplan las siguientes condiciones:

• Las redistribuciones del código fuente deben conservar el aviso de copyright anterior, esta lista de condiciones y el siguiente descargo de responsabilidad.
• Las redistribuciones en forma binaria deben reproducir el aviso de copyright anterior, esta lista de condiciones y el siguiente descargo de responsabilidad en la documentación y/u otros materiales proporcionados con la distribución.
• Utiliza la licencia GPL descrita a continuación

Este programa es software libre: puedes redistribuirlo y/o modificarlo bajo los términos de la Licencia Pública General de GNU publicada por la Free Software Foundation, ya sea la versión 3 de la Licencia, o (a tu elección) cualquier versión posterior.