Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !
HydraDragonAV-Mobile — Antivirus Android qui ne nécessite ni root, ni adb, ni installation de CA, ni cloud, avec de nombreuses fonctionnalités et méthodes pour détecter davantage de malwares zero-day. | Kitploit
Antivirus Android qui ne nécessite ni root, ni adb, ni installation de CA, ni cloud, avec de nombreuses fonctionnalités et méthodes pour détecter davantage de malwares zero-day.
Antivirus Android avancé avec protection contre les menaces
⚠️ Projet en pause. Ce projet n'a pas suscité assez d'intérêt, j'ai donc
décidé de le mettre en pause. Le développement a été transféré vers
HydraDragonAntivirus.
(Logo réalisé par un utilisateur Discord nommé : 1tophbeifong)
HydraDragonAV Mobile est une suite antivirus et de sécurité Android multicouche combinant analyse statique (YARA-X + signatures ClamAV + détection d'anomalies de code), analyse dynamique du comportement et un classificateur ML léger sur l'appareil — le tout contrôlé par une liste blanche basée sur NSRL afin qu'un logiciel légitime ne soit jamais un faux positif. Conçu avec une architecture Zero-Trust, il défend activement l'appareil contre les ransomwares, le clickjacking, les logiciels espions, les arnaques SMS/phishing et les menaces zero-day. Lorsqu'une application malveillante signalée est lancée, elle est automatiquement arrêtée de force et bloquée en temps réel.
📋 Exigences : Android 8.0 Oreo (API 26) ou plus récent. L'analyse réseau
dynamique par application — qui attribue chaque DNS/connexion à l'application
exacte qui en est à l'origine et la transmet au module YARA-X hydradragon —
repose sur ConnectivityManager.getConnectionOwnerUid, qui n'est disponible
que sur Android 10+. Sur Oreo/API 26-28, le reste de la suite fonctionne
toujours, mais l'attribution des connexions par application n'est pas disponible.
🤖 Périmètre de détection Android uniquement. Il s'agit d'un fork minimaliste,
axé Android, de l'original HydraDragonAntivirus —
il ne détecte que les malwares Android. Le moteur d'analyse natif n'exécute sa
correspondance de signatures ClamAV/YARA-X que sur les fichiers qu'il peut
identifier avec certitude comme étant d'un type pertinent pour Android
(APK/ZIP, DEX, ELF, HTML, texte ASCII, PDF, images) ; les formats exclusivement
de bureau (Windows PE, OLE2/Office, Mail, Mach-O, Java) et les fichiers de type
indéterminé sont entièrement ignorés, plutôt que d'être analysés avec une base de
signatures qui n'a jamais été conçue pour eux. Pour plus de détails, consultez le
wiki
(Intégration ClamAV,
Limites connues).
🚀 Fonctionnalités clés
⚡ Technologie Photon : Moteur d'analyse ultra-rapide et multi-thread utilisant la mise en cache ConcurrentHashMap pour revérifier instantanément les applications sûres déjà analysées, avec zéro surcharge CPU.
🧠 Moteur d'analyse natif en Rust : Un noyau Rust relié via JNI (libhydradragonandroid.so) effectue le travail lourd — correspondance de signatures YARA-X + ClamAV, extraction d'archives (zip/gz/tar/xz/lzma/7z/rar, y compris les APK imbriqués), analyse du manifeste AXML et comptage des permissions dangereuses, le tout directement à partir des octets en mémoire (aucun fichier temporaire requis).
🧠 Classificateur binaire ML Burn : Un classificateur binaire Burn malware/bénin basé sur tract attribue à chaque APK analysé une valeur de confiance (0,0–1,0). Entraîné sur des ensembles de données malveillants et bénins pour une classification binaire précise. Un classificateur léger à régression logistique (AIEngine) évalue également le comportement au niveau DEX (obfuscation, chargement dynamique, API crypto/socket/shell, SDK publicitaires).
🛡️ Atténuation des ransomwares et bloqueurs d'écran : Détection de texte à l'écran en temps réel (via le service d'accessibilité + OCR) qui reconnaît les messages de rançon et termine de force les ransomwares qui verrouillent l'écran, en 20 langues.
📵 Détection des arnaques SMS et du phishing : Le même analyseur de texte à l'écran multilingue détecte les appâts de smishing (fausse vérification de compte, arnaques aux lots, arnaques à la livraison de colis, demandes d'OTP, alertes bancaires) où qu'ils soient affichés — application Messages, aperçus de notifications ou WebView usurpée — sans jamais lire directement votre boîte de réception SMS.
🖥️ OCR d'écran en direct : Un service de capture basé sur MediaProjection analyse périodiquement l'écran au premier plan par OCR et transmet le texte extrait au détecteur de menaces natif, interceptant ainsi les arnaques qui n'apparaissent jamais que sous forme de pixels rendus.
🖼️ MalwareFoundActivity sous forme de dialogue : Lorsqu'une menace est détectée lors d'une analyse en arrière-plan, une superposition de dialogue flottante (et non une activité plein écran) alerte l'utilisateur sans interrompre sa tâche en cours.
🛠️ Architecture technique
HydraDragonAV Mobile fonctionne sur quatre piliers essentiels :
GuardService : Un service de premier plan persistant qui sert de cerveau au système de défense active — surveille le dossier Téléchargements en temps réel et orchestre les analyses, surveillant les menaces 24h/24 et 7j/7.
DynamicAnalysisService : Un service d'accessibilité qui empêche le détournement automatisé de l'interface (clickjacking), bloque les attaques de spam par superpositions/notifications et analyse le texte à l'écran pour détecter les formulations de ransomware/arnaques SMS/phishing dans 20 langues.
ScreenCaptureService : Un service OCR basé sur MediaProjection qui capture et lit périodiquement l'écran au premier plan, transmettant le texte extrait à l'analyseur natif pour une détection des menaces en direct.
ScanEngine + NativeScanner : La couche d'orchestration Java et son homologue natif Rust (libhydradragonandroid.so) — évaluant les certificats X.509, les hachages SHA-256, les permissions dangereuses, les sources d'installation des applications, les signatures YARA-X/ClamAV et les scores d'anomalie ML.
Un DnsVpnService local filtre en outre les requêtes DNS par rapport aux domaines connus comme malveillants, et une paire NetworkSecurityScanner/NetworkMonitor surveille les connexions en direct pour détecter les interceptions MITM, l'usurpation ARP et le trafic IP malveillant/C2.
🚫 Pourquoi pas Shizuku (ou des frameworks de privilèges shell similaires) ?
Des outils comme Shizuku accordent à une application des privilèges de niveau shell ADB (arrêt de processus, opérations PackageManager au-delà de l'API publique, véritable pare-feu de type iptables, etc.) sans root complet. C'est un projet légitime et utile — simplement pas le bon choix au sein d'un antivirus de production :
Cela ne supprime pas la surface d'attaque, cela la déplace. Le service privilégié de Shizuku lui-même est accessible via Binder par toute application qui le demande ; intégrer un client d'élévation de privilèges shell dans un AV signifie qu'une compromission du processus AV (ou un bug dans sa communication avec Shizuku) hérite d'une portée de niveau ADB sur tout l'appareil — exactement le rayon d'explosion qu'un AV est censé réduire, pas augmenter.
Il ne peut pas s'activer seul en production. Shizuku exige que l'utilisateur le démarre à chaque démarrage via adb shell (débogage sans fil ou USB) ou via root, à chaque fois, sauf si l'appareil est déjà rooté — totalement irréaliste pour une installation grand public, et cette application refuse déjà de s'exécuter sur des appareils rootés (RootCheck) et avertit l'utilisateur lorsque le débogage USB/sans fil est laissé activé (DebugModeCheck/DebugModeWarning) précisément parce que ces deux états élargissent la surface d'attaque.
La capacité marginale ne vaut pas le changement de modèle de confiance. L'attrait principal (un véritable pare-feu au niveau des paquets, l'arrêt forcé d'applications arbitraires) est déjà raisonnablement couvert ici par le filtrage DNS/domaines/IP basé sur VpnService (Web Shield), sans jamais exiger que l'utilisateur autorise un accès shell à un service intermédiaire tiers.
En bref : un produit de sécurité qui demande à l'utilisateur de lui accorder d'abord un accès shell de débogage résout son modèle de menace à l'envers. La surface d'élévation de privilèges réelle de l'application est intentionnellement limitée à ce que les API publiques d'Android (AccessibilityService, VpnService, PackageManager) autorisent — rien qui nécessite ADB, root ou une application compagne privilégiée.
🧬 Pourquoi TLSH a-t-il été supprimé ?
Les premières versions incluaient un moteur de hachage flou TLSH qui comparait chaque APK/ELF/DEX analysé à une base de données de condensés dérivée de MalwareBazaar. Il a été supprimé parce qu'il était le moteur le plus lent, le plus lourd et le moins utile de toute la suite :
C'était de loin le moteur le plus lent. La télémétrie montrait que TLSH consommait environ 49 secondes de temps d'horloge mono-thread par analyse — environ 92 % de l'ensemble du champ d'analyse — tandis que ClamAV (4 workers, cumulés) et YARA-X terminaient leurs passes en une fraction de ce temps. Le goulot d'étranglement n'était pas le hachage, mais une recherche de diff linéaire dans une base de données ELF d'environ 177 000 condensés pour chaque tampon analysé.
Il répétait l'erreur de Xvirus — un faux « taux de détection de 100 % » dans les tests, mais pas dans le monde réel. Tirer une base de données de sites de collecte de malwares connus et tout comparer à celle-ci produit des chiffres impressionnants mais dénués de sens : le détecteur ne peut que re-signaler exactement ce qui a déjà été téléchargé, donnant une fausse impression de couverture totale. En pratique, TLSH n'ajoutait qu'environ 0,1 à 0,5 % de détections redondantes sur des échantillons du monde réel — tout ce qu'il signalait était déjà détecté par les couches ClamAV/YARA-X/ML.
Il était gonflé. Les bases de données de référence TLSH fournies (ELF, APK, DEX) embarquaient des mégaoctets de condensés dans l'APK pour une couche qui ne contribuait presque à rien au-delà de ce que les moteurs de signatures et de ML fournissent déjà.
Les fonctionnalités qui méritent réellement leur place — signatures YARA-X + ClamAV, classificateur ML, liste blanche NSRL, émulation et filtrage URL/IP — couvrent le même terrain sans le coût d'exécution ni la fausse promesse du « 100 % ».
Conçu avec 💻 par @elnureisayeva1-cloud (créateur) & @Siradankullanici (développement backend)
Remarque : la taille maximale de fichier que le moteur analysera est configurable par l'utilisateur dans les paramètres (10–2048 Mo, défaut 650 Mo) — les fichiers dépassant la limite sont entièrement ignorés plutôt que partiellement analysés.
⚙️ Comment compiler et installer
Clonez le dépôt (sous-modules inclus — le moteur natif intègre un fork YARA-X personnalisé avec le module d'analyse hydradragon) :
root@kitploit:~
git clone --recurse-submodules https://github.com/HydraDragonAntivirus/HydraDragonAV-Mobile.git
cd HydraDragonAV-Mobile
Compilez le moteur natif Rust pour Android (voir hydradragonandroid/README.md pour les prérequis) :
root@kitploit:~
cd hydradragonandroid
build-android.cmd
Compilez l'application Android comme d'habitude (Gradle) — le fichier .so natif est récupéré automatiquement depuis app/src/main/jniLibs/.
🗄️ Pipeline de données (listes blanches, signatures et filtres)
Les ressources de détection embarquées sont générées hors ligne à partir de sources publiques de renseignement sur les menaces et de NSRL, puis incluses dans l'application :
gen_whitelist_packages.py — construit whitelist_packages.db (SQLite), une liste blanche détaillée des packages Android NSRL (nom, version, fabricant, OS, hachages) assemblée à partir de la base de données NSRL RDS.
gen_whitelist_apk.py — extrait les hachages MD5 NSRL d'APK entiers pour le filtre natif de liste blanche XOR à fusion binaire.
gen_ip_lists.py / build_url_xfilters.py / build_xfilters.sh — construisent les filtres d'IP/URL/domaines malveillants (basés sur des filtres XOR) utilisés par les analyseurs natifs de menaces IP/URL.
clam_juice.py — filtre les signatures ClamAV pour ne conserver que les plateformes pertinentes pour Android (Andr, Unix, Linux, Email, PUA) ainsi que toutes les signatures Phishing ; exclut Win/Osx/Java :
fdroid-downloader.py — télécharge les APK bénins depuis le dépôt officiel F-Droid pour le pipeline d'ensembles de données. Ne télécharge que les APK non déjà présents localement ; compare par nom de fichier afin que les versions mises à jour soient récupérées automatiquement.
🚫 Protection contre le détournement d'interface / le clickjacking : Détecte et bloque les attaques automatisées de clics rapides pour accorder des permissions, les inondations de spam de notifications et les abus répétés de superpositions/dialogues par des applications malveillantes. Le détournement de tâches (vérification du nombre d'activités StrandHogg) et une protection contre l'enregistrement d'écran/FLAG_SECURE sont également intégrés sous forme de bascules optionnelles dans les paramètres (la protection FLAG_SECURE peut être désactivée intentionnellement via une bascule « Autoriser l'enregistrement d'écran » — la détection d'altération signale toujours toute désactivation non autorisée).
🔍 Analyseur à l'installation et à la demande : Analyses rapide (applications installées uniquement) ou complète (tout le stockage, y compris la carte SD) ; un BroadcastReceiver intercepte et analyse automatiquement les APK nouvellement installés/mis à jour. Les analyses en arrière-plan peuvent être adoptées par l'interface si l'utilisateur ouvre l'écran d'analyse en cours de scan — aucune nouvelle analyse redondante.
🎯 Compteur de menaces actives : Une statistique dédiée « MENACES ACTIVES » sur l'écran d'analyse affiche le nombre de menaces actuellement détectées, en plus des totaux analysés/menaces.
📋 Dialogues de menaces riches : Toucher une menace affiche toutes les raisons de détection dans une liste à puces avec des URL VirusTotal cliquables pour vérification immédiate, ainsi que les actions Détruire / Ignorer / Ignorer-la-signature.
🌐 Moniteur de sécurité réseau : Suit les connexions en direct, signale les IP connues comme malveillantes/C2 (validées comme IPv4 publiques avant analyse — les adresses privées/loopback/multicast sont rejetées) ainsi que les domaines à forme de service d'anonymisation/tunnel (dyndns, ngrok, tentatives de résolution .onion), détecte les interceptions MITM/TLS via des CA non fiables et peut repérer l'usurpation ARP sur le réseau local. (Basé sur le domaine/DNS — cela observe les modèles de requêtes DNS en clair, pas le trafic réel des circuits Tor, qui n'atteint jamais le résolveur DNS de l'appareil.)
🌐 VPN de filtrage DNS (Web Shield) : Un service VPN local sur l'appareil bloque la résolution des domaines connus comme malveillants/de phishing — aucun proxy de trafic, déchiffrement ou inspection, seules les requêtes DNS sont filtrées.
🗃️ Liste blanche basée sur NSRL : Les logiciels légitimes sont validés via deux couches indépendantes dérivées de NSRL — un filtre XOR à fusion binaire des hachages SHA-256 de fichiers entiers (natif, en mémoire) et une base de données SQLite des métadonnées complètes des packages NSRL (nom, version, fabricant, OS) — afin qu'une application légitime ne soit jamais signalée, alors qu'un hachage malveillant ne peut jamais « emprunter » une entrée de liste blanche par chance.
🔒 Mode Zero-Trust : Mode plus strict optionnel dans lequel toute application qui survit simplement à tous les détecteurs (plutôt que d'être explicitement validée) est néanmoins signalée comme suspecte, avec une piste d'audit complète.
🧠 Suite de détection comportementale : Un ensemble dédié de détecteurs à l'exécution, chacun activable individuellement depuis les paramètres — spam d'interface/notifications (adware), moniteur d'appareil devenu rooté en cours de session, score de risque combiné permissions + modèles DNS suspects, et détection du comportement ransomware (voir ci-dessous). Chaque détection tue immédiatement le processus en arrière-plan de l'application fautive (lorsque c'est possible) et fait apparaître immédiatement l'invite de désinstallation système, au lieu d'attendre la prochaine analyse planifiée.
🪤 Pièges à fichiers ransomware : Lorsqu'une application fraîchement installée et pas encore approuvée reçoit « Accès à tous les fichiers », HydraDragon place temporairement un fichier leurre (nommé pour être trié en premier lors d'un passage de chiffrement alphabétique typique) dans Téléchargements/Documents/Images/DCIM. Tout renommage, modification de contenu ou suppression de ce fichier — quelque chose qu'aucune application légitime n'a de raison de toucher — est un comportement ransomware certain à 100 %, et non une estimation heuristique. Les pièges expirent automatiquement dans les 24 heures afin de ne jamais encombrer les fichiers d'un utilisateur.
🔁 Détection de ransomware par rafale de renommages : Indépendamment, une rafale de fichiers renommés avec un suffixe ajouté (quel que soit ce suffixe — aucune liste codée en dur « .enc »/« .locked ») peu après qu'une application obtient l'accès aux fichiers est signalée comme un chiffrement sur place, la forme au niveau du système de fichiers que partage chaque famille de ransomware, quelle que soit son extension spécifique.
🐴 Émulation de code natif (moteur Unicorn) : Exécute le code JNI_OnLoad/d'entrée d'une bibliothèque native intégrée dans un sandbox CPU borné et sans appels système (ARM/ARM64/x86/x86_64) pour révéler des chaînes — comme une URL C2 — qu'une routine de décodage/déchiffrement ne produit qu'à l'exécution, jamais en texte brut statique. Entièrement activable depuis les paramètres.
🎣 Analyse des chaînes d'URL malveillantes/de phishing : Extrait chaque URL http(s):// intégrée des octets bruts d'un fichier analysé (APK ou autre) et la vérifie par rapport aux filtres XOR natifs d'URL de malwares/phishing — une URL complète (avec chemin) est bien plus spécifique qu'un simple domaine, ce qui signifie moins de faux positifs et des détections plus précises qu'une correspondance par domaine uniquement.
🔐 Autoprotection des paramètres : Chaque bascule/bouton des paramètres est renforcé contre les manipulations non humaines — une tentative de tapjacking par superposition est bloquée via le propre contrôle FLAG_WINDOW_IS_OBSCURED d'Android, et une rafale de modifications des paramètres d'une rapidité inhumaine (la signature d'un service d'accessibilité malveillant pilotant directement l'interface) est détectée, annulée et bloquée, de sorte que seul le véritable propriétaire de l'appareil puisse jamais modifier les paramètres de protection.
🧹 Nettoyeur de logiciels préinstallés, autoprotection et détection de root : Complète la suite avec le nettoyage des applications en arrière-plan, la résistance à l'altération/à la désinstallation du Device Admin et la détection d'appareils rootés.
🌍 Prise en charge multilingue : Interface entièrement localisée et listes de mots-clés de détection des menaces dans 20 langues : anglais, turc, espagnol, allemand, français, russe, portugais, arabe, italien, néerlandais, polonais, ukrainien, chinois (simplifié), japonais, coréen, hindi, indonésien, vietnamien, persan et thaï.
hydradragonantivirus/hydradragonav-mobile
(Logo réalisé par un utilisateur Discord nommé : 1tophbeifong)-3DDC84?style=for-the-badge&logo=android){kind=icon}
