AMDH

Android Mobile Device Hardening écrit en python3.

Version Android, PObY-A (Privacy Owned by You - Android), avec analyses des malwares et des paramètres, disponible sur le Play Store et le code source se trouve ICI

Motivations

AMDH a été créé pour aider à automatiser l'analyse des applications installées sur les appareils Android, détecter certains malwares connus et aussi protéger la vie privée.

Fonctionnalités

• Vérifier et durcir les paramètres système basés sur certains contrôles de référence CIS (Center of Internet Security) pour les appareils Android et la documentation des paramètres de la branche master d'Android (Paramètres globaux et Paramètres sécurisés)
• Lister les processus utilisateur en cours et tuer ceux sélectionnés
• Analyser les applications actuellement installées sur l'appareil :
  • lister les autorisations dangereuses
    et les révoquer
  • comparer avec les autorisations utilisées par les malwares
  • générer un rapport au format JSON
• Lister les applications :
  • désinstaller/désactiver une application
  • révoquer les récepteurs administrateurs
• Extraire les APK des applications installées
• Vérifier si le système a des mises à jour en attente
• Extraire les APK empaquetés s'ils existent
• Analyse statique pour la détection de malwares. Malwares actuellement détectés :
  • ActionSpy
  • WolfRat
  • Anubis
• Prendre un instantané de l'état actuel du téléphone dans un fichier JSON :
  • Applications :
    • APK
    • date de première installation
    • date de dernière mise à jour
    • autorisations actuelles
    • l'application est-elle administrateur de l'appareil
  • SMS : messages SMS actuels
  • Contacts : liste actuelle des contacts
  • Sauvegarder les applications dont la sauvegarde est activée
• Comparaison des instantanés avec l'état actuel du téléphone
  • Applications
  • Paramètres
• Restaurer l'instantané
  • Applications
  • Contacts
• Gérer plusieurs appareils à la fois (la comparaison d'instantanés et la restauration ne sont pas encore prises en charge)
  • Pour chaque appareil, un nouveau thread est créé
• Rapport HTML

Prérequis

• Python3
• Android Debug Bridge (ADB) installé
• androguard
• pwntools

Installation

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Utilisation

Note : Sous Windows, vous devez spécifier le chemin d'ADB ou modifier la variable "adb_windows_path" dans "config/main.py".

Attention : lors de l'utilisation de l'argument -l avec l'option d'application activée '-t e', les applications système seront listées. Désinstaller des applications système peut casser votre système Android. L'utilisation de 'disable' plutôt que 'uninstall' est recommandée pour les applications système.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            show this help message and exit
  -d DEVICES, --devices DEVICES
                        list of devices separated by comma or "ALL" for all connected devices
  -sS                   Scan the system settings
  -sA                   Scan the installed applications
  -H                    Harden system settings /!\ Developer Options and ADB will be disabled /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Path to ADB binary
  -t {e,d,3,s}          Type of applications:
                                e: enabled Apps
                                d: disabled Apps
                                3: Third party Apps
                                s: System Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Dump APKs from device to APKS_DUMP_FOLDER directory
  -rar                  Remove admin receivers: Remove all admin receivers if the app is not a system App
                        Scan application option "-sA" is required
  -R                    For each app revoke all dangerous permissions
                        Scan application option "-sA" is required
  -l                    List numbered applications to disable, uninstall or analyze
  -P                    List current users processes
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Snapshot the current state of the phone to a json file and backup applications into SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Compare SNAPSHOT_REPORT with the current phone state
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Restore SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Output directory for reports and logs. Default: out

Documentation & Aide

Tests et version CIS

• Testé sur Android 7.1.1, 8, 9 et 10
• Version CIS : 1.3.0

Détection de malwares

Compare les autorisations accordées avec les autorisations décrites dans le fichier malware_perms.json. Le fichier contient trois nœuds :

• malware_only : autorisations utilisées uniquement par les malwares
• all : autorisations utilisées par les malwares et les applications légitimes
• combinations : combinaisons d'autorisations utilisées principalement par les malwares

Autorisations exclusives aux malwares

Les autorisations exclusives aux malwares sont celles utilisées uniquement par les malwares. Les malwares analysés proviennent des dépôts :

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

La commande "aapt" a été utilisée pour extraire les autorisations. La deuxième partie consistait à extraire les autorisations des applications légitimes (environ 400 applications). Les autorisations exclusives aux malwares sont celles utilisées par les malwares et jamais apparues dans les applications légitimes analysées.