AVPASS

AVPASS est un outil permettant de divulguer le modèle de détection des systèmes de détection de malwares Android (c'est-à-dire les antivirus) et de contourner leur logique de détection en utilisant les informations divulguées couplées à des techniques d'obfuscation d'APK. AVPASS ne se limite pas aux caractéristiques de détection utilisées par les systèmes de détection ; il peut également inférer les règles de détection afin de déguiser n'importe quel malware Android en une application bénigne en transformant automatiquement le binaire APK. Pour empêcher la fuite de la logique applicative lors de la transformation, AVPASS propose un mode d'imitation (Imitation Mode) qui permet aux développeurs de malwares d'interroger en toute sécurité des caractéristiques de détection suspectes sans envoyer l'intégralité du binaire.

AVPASS offre plusieurs fonctionnalités utiles pour transformer tout malware Android afin de contourner les logiciels antivirus. Voici les principales fonctionnalités proposées par AVPASS :

• Obfuscation d'APK avec plus de 10 modules
• Inférence de caractéristiques pour le système de détection en utilisant l'obfuscation individuelle
• Inférence de règles du système de détection en utilisant l'expérience factorielle 2k
• Obfuscation ciblée pour contourner un système de détection spécifique
• Support de requête sécurisée via le mode d'imitation (Imitation Mode)

AVERTISSEMENT

Tout le code fourni dans ce dépôt est destiné uniquement à des fins éducatives et de recherche. Toute action et/ou activité liée au contenu de ce dépôt relève de votre seule responsabilité. L'utilisation abusive du code dans ce dépôt peut entraîner des poursuites pénales à l'encontre des personnes concernées. Les auteurs et le groupe SSLab ne seront pas tenus responsables en cas de poursuites pénales intentées contre des individus qui utiliseraient abusivement le code de ce dépôt pour enfreindre la loi. (Avertissement tiré de : ici)

DÉMO

• Contournement des systèmes de détection basés sur les API, les flux de données et les interactions

DEMO1

• Inférence et contournement des antivirus via VirusTotal

Licence

Ce projet est publié sous la licence GPL.

Exécution et documentation

Plus de documentation est disponible dans docs/README.md.

Auteurs et contact

Voici la liste des contributeurs ayant implémenté AVPASS :

• Jinho Jung
• Chanil Jeon
• Max Wolotsky
• Insu Yun
• Arbis Arthur Batenburg

Envoyez-nous un e-mail pour toute question.

Point de contact principal : Jinho Jung ([email protected])

Contribuer

Si vous souhaitez contribuer, veuillez choisir une tâche parmi nos issues Github.

Citation

• Black Hat USA 2017

@inproceedings{jung:avpass-bh,
  title        = {{AVPASS: Leaking and Bypassing Antivirus Detection Model Automatically}},
  author       = {Jinho Jung and Chanil Jeon and Max Wolotsky and Insu Yun and Taesoo Kim},
  booktitle    = {Black Hat USA Briefings (Black Hat USA)},
  month        = jul,
  year         = 2017,
  address      = {Las Vegas, NV},
}