engine

Moteur Droidefense

Framework avancé d'analyse de malwares Android

Dernière version

Télécharger

Qu'est-ce que Droidefense

Droidefense (initialement nommé atom : analysis through observation machine)* est le nom de code d'un outil d'analyse/rétro-ingénierie d'applications/malwares Android. Il a été conçu en se concentrant sur les problèmes de sécurité et les astuces que les chercheurs en malwares rencontrent dans leur travail quotidien. Pour ces situations où le malware intègre des routines anti-analyse, Droidefense tente de les contourner afin d'accéder au code et à la routine « méchante ». Parfois, ces techniques peuvent être la détection de machine virtuelle, la détection d'émulateur, la vérification d'auto-certificat, la détection de pipes, la vérification du pid du traceur, etc.

Droidefense utilise une idée innovante où le code n'est pas décompilé mais plutôt visualisé. Cela nous permet d'obtenir une vue globale du flux d'exécution du code avec une précision de 100 % sur les informations recueillies. Avec cette approche, Droidefense génère un joli rapport html avec les résultats pour une compréhension facile.

Fonctionnalités de Droidefense

• Décompresseur .apk
• Décodeur de ressources .apk
• Énumération de fichiers .apk
• Classification et identification de fichiers .apk
• Décodeur XML binaire
• Traitement en mémoire à l'aide d'un système de fichiers virtuel
• Fuzzing et hachage de ressources
• Calculateur d'entropie
• Dumping de code natif
• Analyse de certificats
• Détection de certificat de débogage
• Analyse d'opcodes
• Détection d'opcodes inutilisés
• Analyse d'AndroidManifest.xml
• Analyse de structure interne
• Analyse de flux de bytecode Dalvik
• Implémentation d'analyse multi-chemins (non testée)
• Génération de CFG
• Résolveur de réflexion simple
• Classification de chaînes
• Génération de workflow simulé
• Moteur de règles dynamiques

Modules de Droidefense

• Module de données PSCout
• Analyseur complet du manifeste Android, basé sur la documentation officielle du SDK v23.
• Plugins
• Module d'apprentissage automatique (basé sur Weka)

Plugins de Droidefense

• Plugin détecteur de fichier ELF caché
• Plugin détecteur de fichier APK caché
• Plugin détecteur d'UID d'application
• Plugin de confidentialité

Utilisation

En résumé

java -jar droidefense-cli-1.0-SNAPSHOT.jar -i /path/to/your/sample.apk

Utilisation détaillée

java -jar droidefense-cli-1.0-SNAPSHOT.jar

________               .__    .___      _____                            
\______ \_______  ____ |__| __| _/_____/ ____\____   ____   ______ ____  
 |    |  \_  __ \/  _ \|  |/ __ |/ __ \   __\/ __ \ /    \ /  ___// __ \ 
 |    `   \  | \(  <_> )  / /_/ \  ___/|  | \  ___/|   |  \\___ \\  ___/ 
/_______  /__|   \____/|__\____ |\___  >__|  \___  >___|  /____  >\___  >
        \/                     \/    \/          \/     \/     \/     \/ 

* Current build: 			2018_03_09__09_17_34
* Check out on Github: 			https://github.com/droidefense/
* Report your issue: 			https://github.com/droidefense/engine/issues
* Lead developer: 			@zerjioang

usage: droidefense
 -d,--debug                 print debugging information
 -h,--help                  print this message
 -i,--input <apk>           input .apk to be analyzed
 -o,--output <format>       select prefered output:
                            json
                            json.min
                            html
 -p,--profile               Wait for JVM profiler
 -s,--show                  show generated report after scan
 -u,--unpacker <unpacker>   select prefered unpacker:
                            zip
                            memapktool
 -v,--verbose               be verbose
 -V,--version               show current version information
 

Informations utiles

• Consultez comment compiler une nouvelle version sur :
  • https://github.com/droidefense/engine/wiki/Compilation
• Consultez un exemple de rapport sur :
  • https://github.com/droidefense/engine/wiki/Pornoplayer-report
• Consultez les journaux d'exécution sur :
  • https://github.com/droidefense/engine/wiki/Execution-logs

Contribuer

Tout le monde est invité à contribuer à DROIDEFENSE. Veuillez consulter les Étapes de contribution à DROIDEFENSE pour les instructions sur la marche à suivre.

Tout autre commentaire sera très apprécié.

Citation

N'hésitez pas à citer Droidefense dans vos travaux. Nous avons ajouté le modèle suivant pour vos références :

@Manual{,
  title        = {Droidefense: Advance Android Malware Analysis Framework},
  author       = {{zerjioang}},
  organization = {opensource},
  address      = {Bilbao, Spain},
  year         = 2017,
  url          = {https://droidefense.wordpress.com/}
}

Licence

Tous droits réservés.

La redistribution et l'utilisation sous forme source et binaire, avec ou sans modification, sont autorisées à condition que les conditions suivantes soient remplies :

• Les redistributions du code source doivent conserver l'avis de copyright ci-dessus, cette liste de conditions et la clause de non-responsabilité suivante.
• Les redistributions sous forme binaire doivent reproduire l'avis de copyright ci-dessus, cette liste de conditions et la clause de non-responsabilité suivante dans la documentation et/ou d'autres documents fournis avec la distribution.
• Utilise la licence GPL décrite ci-dessous

Ce programme est un logiciel libre : vous pouvez le redistribuer et/ou le modifier selon les termes de la Licence Publique Générale GNU telle que publiée par la Free Software Foundation, soit la version 3 de la Licence, soit (à votre choix) toute version ultérieure.