android-security-awesome

Une collection de ressources liées à la sécurité Android.

1. Outils
2. Académique/Recherche/Publications/Livres
3. Exploits/Vulnérabilités/Bugs

Outils

Analyseurs en ligne

1. Appknox - payant
2. Virustotal
3. NowSecure Lab Automated - Outil d'entreprise pour les tests de sécurité d'applications mobiles Android et iOS. Lab Automated propose une analyse dynamique et statique sur de vrais appareils dans le cloud, avec des résultats en quelques minutes. Payant
4. App Detonator - Détone le binaire APK pour fournir des détails au niveau du code source, y compris l'auteur de l'application, la signature, la build et les informations du manifeste. Quota gratuit de 3 analyses/jour.
5. Pithus - Analyseur APK open-source. Encore en version bêta et limité à l'analyse statique pour le moment. Il est possible de chasser les malwares avec des règles YARA. Plus ici.
6. Oversecured - Scanner de vulnérabilités d'entreprise pour les applications Android et iOS ; il offre aux propriétaires d'applications et aux développeurs la possibilité de sécuriser chaque nouvelle version d'une application mobile en intégrant Oversecured dans le processus de développement. Payant.
7. AppSweep by Guardsquare - Tests de sécurité d'applications Android gratuits et rapides pour les développeurs
8. Koodous - Effectue une analyse statique/dynamique de malwares sur un vaste référentiel d'échantillons Android et les vérifie par rapport à des règles Yara publiques et privées.
9. Immuniweb. Effectue un « OWASP Mobile Top 10 Test », un « Mobile App Privacy Check » et un test des permissions de l'application. Le niveau gratuit permet 4 tests par jour, avec un rapport après inscription
10. ANY.RUN - Une plateforme interactive d'analyse de malwares basée sur le cloud avec prise en charge de l'analyse d'applications Android. Plan gratuit limité disponible.
11. BitBaan
12. AVC UnDroid
13. AMAaaS - Service gratuit d'analyse de malwares Android. Un service bare-metal proposant une analyse statique et dynamique pour les applications Android. Un produit de .

Outils d'analyse statique

1. Androwarn - détecte et avertit l'utilisateur des comportements potentiellement malveillants développés par une application Android.
2. ApkAnalyser
3. APKInspector
4. Droid Intent Data Flow Analysis for Information Leakage
5. DroidLegacy
6. FlowDroid
7. Android Decompiler – payant
8. PSCout - Un outil qui extrait la spécification des permissions du code source du système d'exploitation Android à l'aide d'une analyse statique
9. Amandroid
10. SmaliSCA - Analyse statique de code Smali
11. CFGScanDroid - Analyse et compare le CFG avec le CFG d'applications malveillantes
12. Madrolyzer - extrait des données exploitables comme C&C, numéros de téléphone, etc.
13. ConDroid - Effectue une combinaison d'exécution symbolique et concrète de l'application
14. DroidRA
15. RiskInDroid - Un outil pour calculer le risque des applications Android en fonction de leurs permissions, avec une démo en ligne disponible.
16. SUPER - Analyseur Android en Rust sécurisé, unifié, puissant et extensible
17. ClassyShark - Un outil autonome d'inspection binaire qui peut parcourir n'importe quel exécutable Android et afficher des informations importantes.
18. StaCoAn - Outil multiplateforme qui aide les développeurs, les chasseurs de bugs et les hackers éthiques à effectuer une analyse statique de code sur des applications mobiles. Cet outil a été créé avec un fort accent sur la convivialité et les guides graphiques dans l'interface utilisateur.

Scanners de vulnérabilités d'applications

1. QARK - QARK de LinkedIn est destiné aux développeurs d'applications pour analyser les applications à la recherche de problèmes de sécurité
2. AndroBugs
3. Nogotofail
4. Ostorlab - La version gratuite d'Ostorlab analyse les applications du Google Play Store, de l'App Store iOS et de l'AppGallery Huawei
5. Devknox - Plugin IDE pour créer des applications Android sécurisées. N'est plus maintenu.

Outils d'analyse dynamique

1. Android DBI framework
2. Androl4b- Une machine virtuelle pour évaluer les applications Android, la rétro-ingénierie et l'analyse de malwares
3. House- House : une boîte à outils d'analyse d'applications mobiles à l'exécution avec une interface web, propulsée par Frida, écrite en Python.
4. Mobile-Security-Framework MobSF - Mobile Security Framework est un framework de test d'intrusion automatisé open-source tout-en-un intelligent pour applications mobiles (Android/iOS), capable d'effectuer une analyse statique, dynamique et des tests d'API web.
5. Droidbox
6. Drozer
7. Xposed - équivalent d'une injection de code basée sur des stubs mais sans aucune modification du binaire
8. Inspeckage - Inspecteur de paquets Android - analyse dynamique avec hooks d'API, démarrage d'activités non exportées, et plus encore. (Module Xposed)
9. Android Hooker - Instrumentation dynamique de code Java (nécessite le Substrate Framework)
10. ProbeDroid - Instrumentation dynamique de code Java
11. DECAF - Framework d'analyse dynamique de code exécutable basé sur QEMU (DroidScope est désormais une extension de DECAF)
12. CuckooDroid - Extension Android pour le sandbox Cuckoo
13. Mem - Analyse mémoire d'Android (root requis)
14. Crowdroid – impossible de trouver l'outil réel
15. AuditdAndroid – Portage Android d'auditd, n'est plus en développement actif
16. Android Security Evaluation Framework - n'est plus en développement actif

Rétro-ingénierie1. Smali/Baksmali – décompilation d’APK

1. coloration syntaxique emacs pour fichiers smali
2. coloration syntaxique vim pour fichiers smali
3. AndBug
4. Androguard – puissant, s’intègre bien avec d’autres outils
5. Apktool – très utile pour la compilation/décompilation (utilise smali)
6. Android Framework for Exploitation
7. Contourner les vérifications de signature et de permissions pour les IPC
8. Android OpenDebug – rendre toute application de l’appareil débogable (via Cydia Substrate).
9. Dex2Jar - convertisseur dex vers jar
10. Enjarify - convertisseur dex vers jar de Google
11. Dedexer
12. Fino
13. Frida - injecter du JavaScript pour explorer les applications et un outil GUI pour celui-ci
14. Indroid – kit d’injection de threads
15. Introspy
16. Jad - décompilateur Java
17. JD-GUI - décompilateur Java
18. CFR - décompilateur Java
19. Krakatau - décompilateur Java
20. FernFlower - décompilateur Java

Tests Fuzz

1. Radamsa Fuzzer
2. Honggfuzz
3. Un port Android du fuzzer ELF Melkor
4. Media Fuzzing Framework for Android
5. AndroFuzz
6. QuarksLab's Android Fuzzing
7. IntentFuzzer

Détecteurs de reconditionnement d’applications

1. FSquaDRA - un outil pour détecter les applications Android reconditionnées basé sur la comparaison de hachages de ressources d’applications.

Crawlers de marchés

1. Google Play crawler (Java)
2. Google Play crawler (Python)
3. Google Play crawler (Node) - obtenir les détails d’applications et télécharger des applications depuis le Google Play Store officiel.
4. Aptoide downloader (Node) - télécharger des applications depuis le marché Android tiers Aptoide
5. Appland downloader (Node) - télécharger des applications depuis le marché Android tiers Appland
6. PlaystoreDownloader - PlaystoreDownloader est un outil pour télécharger des applications Android directement depuis le Google Play Store. Après une configuration initiale (unique), les applications peuvent être téléchargées en spécifiant leur nom de package.
7. APK Downloader Service en ligne pour télécharger des APK depuis le Play Store pour une configuration d’appareil Android spécifique
8. Apkpure - Téléchargeur d’APK en ligne. Fournit également sa propre application pour le téléchargement.

Outils divers

1. smalihook
2. AXMLPrinter2 - pour convertir les fichiers XML binaires en fichiers XML lisibles par l’humain
3. adb autocomplete
4. mitmproxy
5. dockerfile/androguard
6. Android Vulnerability Test Suite - android-vts analyse un appareil pour un ensemble de vulnérabilités
7. AppMon- AppMon est un framework automatisé pour surveiller et altérer les appels API système des applications natives macOS, iOS et Android. Il est basé sur Frida.
8. Internal Blue - framework d’expérimentation Bluetooth basé sur la rétro-ingénierie des contrôleurs Bluetooth Broadcom
9. Android Mobile Device Hardening - AMDH analyse et durcit les paramètres de l’appareil et liste les applications installées dangereuses en fonction des permissions.
10. NullKia - Framework complet de sécurité mobile prenant en charge 18 fabricants avec exploitation de la baseband, sécurité cellulaire, recherche TEE/TrustZone et outils d’extraction BootROM.
11. Firmware Extractor - Extraire une archive donnée en images
12. Payload ARMv7 fournissant une exécution de code arbitraire sur les bootloaders MediaTek
13. DroidGround - Un terrain de jeu flexible pour les défis CTF Android
14. sundaysec/Android-Exploits - Une collection d’exploits et de hacks Android
15. Spectre - Scanner de radiofréquences avec capacités de reconnaissance et offensives. Surveille le cellulaire, le Wi-Fi, le Bluetooth LE et le GNSS sur l’appareil, avec un inspecteur GATT BLE, un diffuseur iBeacon et une découverte de réseau local.

Applications vulnérables pour s’entraîner

1. Damn Insecure Vulnerable Application (DIVA)
2. Vuldroid
3. ExploitMe Android Labs
4. GoatDroid
5. Android InsecureBank
6. Insecureshop
7. Oversecured Vulnerable Android App (OVAA)
8. Injured Android - CTF

Académique/Recherche/Publications/Livres

Articles de recherche

1. Exploit Database
2. Présentations liées à la sécurité Android
3. Une bonne collection d’articles sur l’analyse statique

Livres

1. SEI CERT Android Secure Coding Standard

Autres

1. OWASP Mobile Security Testing Guide Manual
2. doridori/Android-Security-Reference
3. liste de contrôle de sécurité des applications Android
4. Mobile App Pentest Cheat Sheet
5. Android Reverse Engineering 101 par Daniele Altomare (lien Web Archive)
6. Mobile Security Reading Room - Une salle de lecture contenant du matériel de lecture technique bien catégorisé sur les tests d’intrusion mobiles, les malwares mobiles, la forensique mobile et toutes sortes de sujets liés à la sécurité mobile

Exploits/Vulnérabilités/Bugs

Liste

1. Android Security Bulletins
2. Vulnérabilités de sécurité signalées pour Android
3. OWASP Mobile Top 10 2016
4. Exploit Database - cliquer sur rechercher
5. Document Google sur les vulnérabilités
6. Classifications de l’équipe de sécurité Android de Google pour les applications potentiellement dangereuses (malwares)
7. Statut des correctifs de sécurité des appareils Android

Malwares

1. androguard - wiki de la base de données des malwares Android
2. Dépôt GitHub des malwares Android
3. Android Malware Genome Project - contient 1260 échantillons de malwares classés en 49 familles de malwares différentes, gratuit à des fins de recherche.
4. Contagio Mobile Malware Mini Dump
5. Drebin
6. Hudson Rock - Un ensemble d’outils gratuit de renseignement sur la cybercriminalité qui peut indiquer si un package APK spécifique a été compromis lors d’une attaque de malware voleur d’informations.
7. Kharon Malware Dataset - 7 malwares qui ont été rétro-ingéniérisés et documentés
8. Android Adware and General Malware Dataset
9. AndroZoo - AndroZoo est une collection croissante d’applications Android provenant de plusieurs sources, y compris le marché officiel Google Play.
10. Android PRAGuard Dataset - Le jeu de données contient 10479 échantillons, obtenus en obscurcissant les jeux de données MalGenome et Contagio Minidump avec sept techniques d’obscurcissement différentes.
11. Admire

Programmes de primes

1. Android Security Reward Program

Comment signaler des problèmes de sécurité

1. Android - signaler des problèmes de sécurité
2. Android Reports and Resources - Liste des rapports divulgués sur Hackerone concernant Android et autres ressources

Contribution

Vos contributions sont toujours les bienvenues !

📖 Citation```bibtex

@misc{ author = {Ashish Bhatia - ashishb.net}, title = {The most comprehensive collection of Android security-related resources}, year = {2025}, publisher = {GitHub}, journal = {GitHub repository}, howpublished = {\url{https://github.com/ashishb/android-security-awesome}} }

Ce dépôt a été cité dans [plus de 10 articles](https://scholar.google.com/scholar?q=github.com%2Fashishb%2Fandroid-security-awesome)