Hooker : Analyse dynamique automatisée des applications Android

À propos de Hooker

Description fonctionnelle

Hooker est un projet open source d'analyses dynamiques d'applications Android. Ce projet fournit divers outils et applications qui peuvent être utilisés pour intercepter et modifier automatiquement tout appel d'API effectué par une application ciblée.

Il s'appuie sur le framework Android Substrate pour intercepter ces appels et agréger toutes leurs informations contextuelles (paramètres, valeurs de retour, ...). Les informations collectées peuvent être stockées soit dans une ElasticSearch, soit dans des fichiers JSON.

Un ensemble de scripts Python est également fourni pour automatiser l'exécution d'une analyse afin de collecter tout appel d'API effectué par un ensemble d'applications.

Avertissement

Android-Hooker est une preuve de concept reposant sur le framework Substrate. Cela signifie que Hooker ne peut pas fonctionner si Substrate n'est pas correctement installé sur votre appareil. Pour le moment, les auteurs ont installé Substrate avec succès sur des appareils fonctionnant sous Android 4.1 et 4.2. Si vous savez comment installer Substrate sur des versions supérieures, merci de nous le faire savoir par courriel à l'adresse [email protected] et nous serons ravis de l'intégrer à ce projet.

Description technique

Hooker est composé de plusieurs modules :

1. APK-instrumenter est une application Android qui doit être installée avant l'analyse sur un appareil Android (par exemple, un émulateur).
2. hooker_xp est un outil Python qui peut être utilisé pour contrôler l'appareil Android et déclencher l'installation et la stimulation d'une application sur celui-ci.
3. hooker_analysis est un script Python qui peut être utilisé pour collecter les résultats stockés dans la base de données ElasticSearch.
4. tools/APK-contactGenerator est une application Android qui est automatiquement installée sur l'appareil Android par hooker_xp afin d'injecter de fausses informations de contact.
5. tools/apk_retriever est un outil Python qui peut être utilisé pour télécharger des APK depuis divers marchés Android publics en ligne.
6. tools/emulatorCreator est un ensemble de scripts qui peut être utilisé pour préparer un émulateur.

Plus d'informations

• Site web : https://github.com/AndroidHooker/hooker
• FAQ disponible ici
• Suivi de bogues : Les bogues et demandes de fonctionnalités sont organisés dans GitHub Issues
• Courriel : [email protected]
• Twitter : Suivez les comptes des auteurs (@Tibapbedoum et @Lapeluche)

Pour commencer

Nous avons développé Hooker sur un système Debian 64 bits et, à ce titre, il peut ne pas s'exécuter correctement sur d'autres systèmes en raison de chemins ou de paramètres inappropriés. Votre aide pour identifier ces incompatibilités est hautement appréciée. Merci de signaler un problème dans notre suivi de bogues si vous rencontrez une erreur lors de son utilisation.

Pour utiliser Hooker, vous avez besoin d'au moins un serveur sur lequel vous avez installé :

• python 2.7,
• elasticsearch 1.7,
• kibana 4.1,
• Android 4.1 et 4.2,
• androguard 1.9.

Configurer votre hôte ElasticSearch

Cette étape concerne l'installation d'ElasticSearch. Veuillez télécharger et suivre la documentation en ligne d'ElasticSearch : http://www.elasticsearch.org/overview/elkdownloads/. Vous pouvez soit installer ElasticSearch sur un seul hôte, soit déployer un cluster de nœuds ElasticSearch.

Configurer le SDK Android

Vous pouvez télécharger le bundle Android ici. Si vous souhaitez utiliser le script d'installation de Hooker, vous devez :

• Vous assurer de définir votre variable d'environnement ANDROID_HOME : $ export ANDROID_HOME=/path/to/your/sdk/folder

• Télécharger les API SDK depuis votre gestionnaire SDK.

Installation

Un script d'installation est fourni pour vous aider à compiler et installer toutes les dépendances nécessaires. Si vous souhaitez utiliser ce script, assurez-vous de disposer des dépendances suivantes :

# openjdk-7-jdk, ant, python-setuptools (il suffit de les installer via apt)

Lorsque tout est prêt, exécutez le script d'installation à la racine du répertoire Hooker :

$ ./install.sh

Construire votre appareil virtuel Android (AVD) de référence

• Vérifiez que vous avez des cibles disponibles : $ $ANDROID_HOME/tools/android list target.
• Lancez le script automatique pour une installation plus facile : cd tools/emulatorCreator && python HookerInstaller.py -s SDK_PATH -a Hooker_test -t ANDROID_TARGET -d AVD_DIRECTORY,
• Lorsque les journaux Python vous l'indiquent :
  • Ouvrez l'application SuperSU, cliquez sur « Continue » pour mettre à jour le binaire SU, choisissez le mode d'installation « Normal », attendez un peu. Cliquez sur « OK » (PAS « Reboot » !) et quittez l'application.
  • Ouvrez l'application Substrate, cliquez sur « Link Substrate Files », autorisez Substrate, puis recliquez sur « Link Substrate Files ».
  • Installez l'APK APK-instrumenter avec ADB.
  • Cliquez sur « Restart System (Soft) » lorsque l'application Substrate apparaît.
  • Attendez le redémarrage du système et désactivez la sécurité de l'écran de verrouillage : Menu > System Settings > Security > Screen lock > None
  • Fermez votre émulateur.
• Si vous ne souhaitez pas utiliser le script automatique, vous devrez garder à l'esprit que :
  • Hooker a besoin d'une carte SD pour fonctionner correctement,
  • Hooker nécessite que la snapshot soit activée. Attention si vous utilisez android-studio pour créer votre AVD : il y a un bug (ou une fonctionnalité, on ne sait pas) qui rend difficile l'utilisation des snapshots...

Pour votre information, vous pouvez consulter une vidéo sur la façon de préparer un émulateur ici

Configurer l'hôte où Hooker est exécuté

Si votre hôte ElasticSearch se trouve sur un hôte différent de votre émulateur Android, vous devrez rediriger le trafic via le réseau. Pour ce faire, vous pouvez utiliser socat :

$ socat -s -v TCP4-LISTEN:9200,fork,ignoreeof,reuseaddr TCP4:192.168.98.11:9200,ignoreeof

Si vous avez une erreur concernant l'émulation OpenGLES (Could not load OpenGLES emulation library), vous devez modifier votre ldconfig (en tant que root) :

# echo "/path/to/your/sdk/tools/lib" > /etc/ld.so.conf.d/android.conf
# ldconfig

JOUER AVEC HOOKER

Consultez cette vidéo pour regarder une démonstration sur la façon d'exécuter une expérience manuelle afin d'analyser une application spécifique.

Utilisation avec des appareils réels

Si vous souhaitez utiliser Hooker sur des appareils réels, veuillez d'abord lire le README spécifique.

Configurer votre fichier de configuration

• Si vous souhaitez effectuer une analyse manuelle, copiez le fichier hooker_xp/sampleManualAnalysis.conf,
• Si vous souhaitez effectuer une analyse automatique, copiez le fichier hooker_xp/sampleAutomaticAnalysis.conf,
• Si vous souhaitez effectuer une analyse sur des appareils réels, copiez l'un des fichiers de configuration *RealDevice*,
• Selon la configuration de votre système, personnalisez les différents paramètres déclarés dans le fichier de configuration retenu. Les fichiers de configuration d'exemple sont très verbeux, veuillez donc lire les commentaires,
• En lien avec les étapes précédentes, vous devez spécifier le chemin vers votre AVD de référence que vous venez de construire. Comme l'expliquent les commentaires, indiquez simplement le chemin + le nom de l'AVD, c'est-à-dire sans l'extension .avd.

Démarrer ElasticSearch et Kibana

Hooker utilise ElasticSearch pour stocker les événements et Kibana comme interface frontale pour les analyser. Afin de vous aider à analyser les applications, nous avons poussé un exemple de tableau de bord Kibana dans le répertoire tools/kibana-dashboard. Pour l'utiliser, vous devrez exécuter une première expérience puis importer le fichier kibana-export.json. Pour importer un tableau de bord, vous devez aller à l'URL http://localhost:5601 et :

• Aller dans Settings -> Objects,
• Cliquer sur Import,
• Sélectionner le tableau de bord disponible.

Exécuter votre expérience

Le script d'expérience Python se trouve dans le répertoire hooker_xp :

$ cd hooker_xp && python hooker_xp.py -c yourAnalysisConfigurationFile.conf 

Vous devriez voir des journaux Python vous expliquant ce qui se passe.

Contribuer

Nous serions ravis que vous puissiez nous aider à améliorer ce travail. Veuillez utiliser les fonctionnalités de GitHub pour fournir vos corrections de bogues et améliorations.

Auteurs et sponsors

Le projet Hooker a été lancé par Georges Bossert et Dimitri Kirchner. Tous deux travaillent pour AMOSSYS, une entreprise française de sécurité informatique http://www.amossys.fr.

Licence

Ce logiciel est sous licence GPLv3. Voir le fichier LICENSE dans le répertoire de distribution supérieur pour le texte complet de la licence.