🐉 HydraDragonAV Mobile

थ्रेट प्रोटेक्शन के साथ उन्नत एंड्रॉइड एंटीवायरस

⚠️ प्रोजेक्ट रोका गया है। इस प्रोजेक्ट को पर्याप्त रुचि नहीं मिली, इसलिए मैंने इसे कुछ समय के लिए रोक दिया है। विकास HydraDragonAntivirus पर स्थानांतरित हो गया है।

डिस्कॉर्ड कम्युनिटी सर्वर: https://discord.gg/7XMCuj5mbP

(लोगो डिस्कॉर्ड उपयोगकर्ता द्वारा बनाया गया: 1tophbeifong)

HydraDragonAV Mobile एक बहु-स्तरीय एंड्रॉइड एंटीवायरस और सुरक्षा सुइट है जो स्थैतिक विश्लेषण (YARA-X + ClamAV सिग्नेचर + कोड विसंगति पहचान), गतिशील व्यवहार विश्लेषण, और एक हल्के ऑन-डिवाइस ML क्लासिफायर को जोड़ता है — यह सब NSRL-समर्थित व्हाइटलिस्ट द्वारा नियंत्रित होता है ताकि ज्ञात-अच्छे सॉफ़्टवेयर कभी झूठी सकारात्मक (false positive) न बनें। ज़ीरो-ट्रस्ट आर्किटेक्चर के साथ डिज़ाइन किया गया, यह डिवाइस को रैंसमवेयर, क्लिकजैकिंग, स्पाइवेयर, SMS घोटाले/फ़िशिंग, और ज़ीरो-डे खतरों से सक्रिय रूप से बचाता है। जब कोई फ़्लैग किया गया मैलवेयर ऐप लॉन्च किया जाता है, तो उसे रीयल-टाइम में स्वचालित रूप से फोर्स-स्टॉप और ब्लॉक कर दिया जाता है।

📋 आवश्यकताएँ: Android 8.0 Oreo (API 26) या नया। प्रति-ऐप गतिशील नेटवर्क विश्लेषण — प्रत्येक DNS/कनेक्शन को उस सटीक ऐप से जोड़ना जिसने इसे बनाया और इसे YARA-X hydradragon मॉड्यूल में फीड करना — ConnectivityManager.getConnectionOwnerUid पर निर्भर करता है, जो केवल Android 10+ पर उपलब्ध है। Oreo/API 26-28 पर बाकी सुइट अभी भी चलता है, लेकिन प्रति-ऐप कनेक्शन आरोपण उपलब्ध नहीं है।

🤖 केवल Android-पहचान का दायरा। यह मूल HydraDragonAntivirus का एक न्यूनतम, Android-केंद्रित फोर्क है — यह केवल Android मैलवेयर का पता लगाता है। नेटिव स्कैन इंजन अपना ClamAV/YARA-X सिग्नेचर मिलान केवल उन फ़ाइलों पर चलाता है जिन्हें वह आत्मविश्वास से एक Android-प्रासंगिक प्रकार (APK/ZIP, DEX, ELF, HTML, ASCII text, PDF, images) के रूप में पहचान सकता है; केवल-डेस्कटॉप प्रारूप (Windows PE, OLE2/Office, Mail, Mach-O, Java) और एक अनिश्चित प्रकार की फ़ाइलों को पूरी तरह से छोड़ दिया जाता है, बजाय उस सिग्नेचर डेटाबेस के साथ स्कैन किए जाने के जो उनके लिए कभी बना ही नहीं था। अधिक विवरण के लिए, wiki देखें (ClamAV Integration, Known Limitations)।

🚀 मुख्य विशेषताएँ

• ⚡ फोटॉन तकनीक: अल्ट्रा-फास्ट, मल्टी-थ्रेडेड स्कैनिंग इंजन जो ConcurrentHashMap कैशिंग का उपयोग करके पहले स्कैन किए गए सुरक्षित अनुप्रयोगों को शून्य CPU ओवरहेड के साथ तुरंत पुनः-सत्यापित करता है।
• 🧠 नेटिव Rust स्कैन इंजन: एक JNI-ब्रिज्ड Rust कोर (libhydradragonandroid.so) भारी काम करता है — YARA-X + ClamAV सिग्नेचर मिलान, आर्काइव निष्कर्षण (zip/gz/tar/xz/lzma/7z/rar, नेस्टेड APK सहित), AXML मैनिफेस्ट पार्सिंग, और खतरनाक-अनुमति गणना, यह सब सीधे मेमोरी में मौजूद बाइट्स से (कोई अस्थायी फ़ाइल की आवश्यकता नहीं)।
• 🧠 Burn ML बाइनरी क्लासिफायर: एक tract-आधारित Burn मैलवेयर/बेनाइन क्लासिफायर हर स्कैन किए गए APK को एक आत्मविश्वास मान (0.0–1.0) देता है। सटीक बाइनरी वर्गीकरण के लिए मैलवेयर और बेनाइन दोनों डेटासेट पर प्रशिक्षित। एक हल्का लॉजिस्टिक-रिग्रेशन क्लासिफायर (AIEngine) DEX-स्तरीय व्यवहार (ऑब्सफ्यूकेशन, डायनामिक लोडिंग, क्रिप्टो/सॉकेट/शेल API, एडवेयर SDK) को भी स्कोर करता है।
• 🛡️ रैंसमवेयर और स्क्रीन-लॉकर शमन: रीयल-टाइम ऑन-स्क्रीन टेक्स्ट पहचान (Accessibility Service + OCR के माध्यम से) रैंसम नोट्स को पहचानती है और स्क्रीन-लॉक करने वाले रैंसमवेयर को 20 भाषाओं में जबरन समाप्त करती है।
• 📵 SMS घोटाला और फ़िशिंग पहचान: वही बहु-भाषी ऑन-स्क्रीन टेक्स्ट स्कैनर स्मिशिंग प्रलोभनों (नकली खाता सत्यापन, पुरस्कार घोटाले, पार्सल-डिलीवरी घोटाले, OTP अनुरोध, बैंक अलर्ट) को पकड़ता है, चाहे वे कहीं भी प्रदर्शित हों — Messages ऐप, नोटिफिकेशन प्रीव्यू, या एक स्पूफ्ड WebView — बिना आपके SMS इनबॉक्स को सीधे कभी पढ़े।
• 🖥️ लाइव स्क्रीन OCR: एक MediaProjection-आधारित कैप्चर सेवा समय-समय पर फोरग्राउंड स्क्रीन का OCR करती है और निकाले गए टेक्स्ट को नेटिव थ्रेट स्कैनर में फीड करती है, ऐसे घोटालों को पकड़ती है जो केवल रेंडर किए गए पिक्सेल के रूप में दिखाई देते हैं।
• 🖼️ MalwareFoundActivity एक डायलॉग के रूप में: जब बैकग्राउंड स्कैन के दौरान कोई खतरा पाया जाता है, तो एक फ्लोटिंग डायलॉग ओवरले (पूर्ण-स्क्रीन activity नहीं) उपयोगकर्ता को उसके वर्तमान कार्य में बाधा डाले बिना सचेत करता है।
• 🚫 UI अपहरण / क्लिकजैकिंग सुरक्षा: स्वचालित तीव्र-क्लिक अनुमति-प्रदान हमलों, नोटिफिकेशन-स्पैम बाढ़, और दुर्भावनापूर्ण ऐप्स से बार-बार ओवरले/डायलॉग दुरुपयोग का पता लगाता है और उन्हें ब्लॉक करता है। टास्क-हाइजैकिंग (StrandHogg activities-count जाँच) और एक स्क्रीन-रिकॉर्डिंग/FLAG_SECURE गार्ड भी ऑप्ट-इन Settings टॉगल के रूप में निर्मित हैं (FLAG_SECURE गार्ड को "Allow screen recording" टॉगल के माध्यम से जानबूझकर अक्षम किया जा सकता है — छेड़छाड़ का पता लगाना फिर भी अनधिकृत निष्कासन को पकड़ता है)।

🛠️ तकनीकी आर्किटेक्चर

HydraDragonAV Mobile चार मुख्य स्तंभों पर कार्य करता है:

1. GuardService: एक सतत Foreground Service जो सक्रिय रक्षा प्रणाली के मस्तिष्क के रूप में कार्य करती है — Downloads फ़ोल्डर को रीयल-टाइम में देखती है और स्कैन संचालित करती है, 24/7 खतरों की निगरानी करती है।
2. DynamicAnalysisService: एक Accessibility Service जो स्वचालित UI अपहरण (Clickjacking) को रोकती है, ओवरले/नोटिफिकेशन-स्पैम हमलों को ब्लॉक करती है, और 20 भाषाओं में रैंसमवेयर/SMS-घोटाला/फ़िशिंग शब्दों के लिए ऑन-स्क्रीन टेक्स्ट स्कैन करती है।
3. ScreenCaptureService: एक MediaProjection-आधारित OCR सेवा जो समय-समय पर फोरग्राउंड स्क्रीन को कैप्चर और पढ़ती है, लाइव खतरे की पहचान के लिए निकाले गए टेक्स्ट को नेटिव स्कैनर में फीड करती है।
4. ScanEngine + NativeScanner: Java ऑर्केस्ट्रेशन परत और इसका Rust-नेटिव समकक्ष (libhydradragonandroid.so) — X.509 प्रमाणपत्र, SHA-256 हैश, खतरनाक अनुमतियाँ, ऐप इंस्टॉल स्रोत, YARA-X/ClamAV सिग्नेचर, और ML विसंगति स्कोर का मूल्यांकन करता है।

एक स्थानीय DnsVpnService इसके अतिरिक्त DNS लुकअप को ज्ञात-दुर्भावनापूर्ण डोमेन के विरुद्ध फ़िल्टर करता है, और एक NetworkSecurityScanner/NetworkMonitor जोड़ी MITM इंटरसेप्शन, ARP स्पूफिंग, और दुर्भावनापूर्ण IP/C2 ट्रैफ़िक के लिए लाइव कनेक्शनों पर नज़र रखती है।

🚫 Shizuku (या समान शेल-विशेषाधिकार फ्रेमवर्क) क्यों नहीं?

Shizuku जैसे उपकरण एक ऐप को पूर्ण रूट के बिना ADB-शेल-स्तरीय विशेषाधिकार (प्रोसेस किलिंग, सार्वजनिक API से परे PackageManager संचालन, वास्तविक iptables-शैली फ़ायरवॉलिंग, आदि) प्रदान करते हैं। यह एक वैध, उपयोगी प्रोजेक्ट है — बस प्रोडक्शन एंटीवायरस के अंदर सही फिट नहीं है:

• यह हमले की सतह को हटाता नहीं, बल्कि उसे स्थानांतरित करता है। Shizuku की अपनी विशेषाधिकार प्राप्त सेवा Binder के माध्यम से किसी भी ऐप द्वारा पहुँच योग्य है जो उसका अनुरोध करता है; एक AV के अंदर शेल-विशेषाधिकार-एस्केलेशन क्लाइंट एम्बेड करने का मतलब है कि AV प्रोसेस से समझौता होने पर (या Shizuku से बात करने के तरीके में कोई बग) डिवाइस भर में ADB-स्तरीय पहुँच विरासत में मिलती है — वही विस्फोट त्रिज्या जिसे एक AV को सिकोड़ना चाहिए, बढ़ाना नहीं।
• यह प्रोडक्शन में स्व-सक्रिय नहीं हो सकता। Shizuku को उपयोगकर्ता को हर बूट पर adb shell (वायरलेस या USB डिबगिंग) या रूट के माध्यम से शुरू करने की आवश्यकता होती है, जब तक कि डिवाइस पहले से रूटेड न हो — एक मास-मार्केट इंस्टॉल के लिए पूरी तरह से अव्यावहारिक, और यह ऐप पहले से ही रूटेड डिवाइसों पर बिल्कुल चलने से इनकार करता है (RootCheck) और उपयोगकर्ता को चेतावनी देता है जब USB/वायरलेस डिबगिंग चालू छोड़ दी जाती है (DebugModeCheck/DebugModeWarning) ठीक इसलिए क्योंकि दोनों स्थितियाँ हमले की सतह को चौड़ा करती हैं।
• हाशिये की क्षमता ट्रस्ट मॉडल परिवर्तन के लायक नहीं है। मुख्य आकर्षण (एक वास्तविक पैकेट-स्तरीय फ़ायरवॉल, मनमाने ऐप्स को फोर्स-स्टॉप करना) यहाँ पहले से ही VpnService-आधारित DNS/domain/IP फ़िल्टरिंग (Web Shield) द्वारा उचित रूप से कवर किया गया है, बिना किसी तृतीय-पक्ष ब्रोकर सेवा को शेल एक्सेस अधिकृत करने की आवश्यकता के।

संक्षेप में: एक सुरक्षा उत्पाद जो उपयोगकर्ता से पहले उसे डिबग-शेल पहुँच प्रदान करने के लिए कहता है, अपने खतरे के मॉडल को उल्टा हल कर रहा है। ऐप की वास्तविक विशेषाधिकार-एस्केलेशन सतह को जानबूझकर केवल उतना ही रखा गया है जितना Android की सार्वजनिक APIs (AccessibilityService, VpnService, PackageManager) अनुमति देती हैं — ऐसा कुछ भी नहीं जिसके लिए ADB, रूट, या एक विशेषाधिकार प्राप्त साथी ऐप की आवश्यकता हो।

🧬 TLSH क्यों हटाया गया?

प्रारंभिक बिल्डों में एक TLSH फ़ज़ी-हैशिंग इंजन शामिल था जो हर स्कैन किए गए APK/ELF/DEX की तुलना MalwareBazaar-व्युत्पन्न डाइजेस्ट डेटाबेस से करता था। इसे हटा दिया गया क्योंकि यह पूरे सुइट में सबसे धीमा, सबसे भारी, और सबसे कम उपयोगी इंजन था:

• यह अब तक का सबसे धीमा इंजन था। टेलीमेट्री ने दिखाया कि TLSH प्रति स्कैन ~49 सेकंड का सिंगल-थ्रेडेड वॉल टाइम खपत करता है — मोटे तौर पर संपूर्ण स्कैन दायरे का 92% — जबकि ClamAV (4 वर्कर, संचित) और YARA-X उसके एक अंश में अपने पास पूरे कर लेते थे। बाधा हैशिंग नहीं थी, यह हर स्कैन किए गए बफर के लिए ~177K-डाइजेस्ट ELF डेटाबेस पर एक रैखिक diff खोज थी।
• इसने Xvirus की गलती दोहराई — परीक्षणों में नकली "100% पहचान" लेकिन वास्तविक दुनिया में नहीं। प्रसिद्ध मैलवेयर-संग्रह साइटों से एक डेटाबेस खींचना और उसके विरुद्ध सब कुछ मिलाना प्रभावशाली दिखने वाले लेकिन अर्थहीन आँकड़े उत्पन्न करता है: डिटेक्टर केवल उसी को पुनः-फ़्लैग कर सकता है जो पहले से डाउनलोड किया जा चुका है, जिससे पूर्ण कवरेज की झूठी भावना पैदा होती है। व्यवहार में TLSH ने वास्तविक-दुनिया के नमूनों पर केवल ~0.1–0.5% अनावश्यक पहचानें जोड़ीं — उसने जो कुछ भी फ़्लैग किया वह पहले से ही ClamAV/YARA-X/ML परतों द्वारा पकड़ा जा चुका था।
• यह फूला हुआ था। बंडल किए गए TLSH संदर्भ डेटाबेस (ELF, APK, DEX) ने मेगाबाइट्स के डाइजेस्ट APK में भेजे, एक ऐसी परत के लिए जिसने सिग्नेचर और ML इंजनों द्वारा पहले से दिए गए योगदान से लगभग कुछ भी अतिरिक्त नहीं दिया।

जो विशेषताएँ वास्तव में अपनी जगह कमाती हैं — YARA-X + ClamAV सिग्नेचर, ML क्लासिफायर, NSRL व्हाइटलिस्टिंग, एमुलेशन, और URL/IP फ़िल्टरिंग — वे रनटाइम लागत या "100%" के खाली वादे के बिना समान क्षेत्र को कवर करती हैं।

💻 द्वारा डिज़ाइन किया गया: @elnureisayeva1-cloud (निर्माता) और @Siradankullanici (बैकएंड विकास)

नोट: इंजन जिस अधिकतम फ़ाइल आकार को स्कैन करेगा वह Settings से उपयोगकर्ता-कॉन्फ़िगर करने योग्य है (10–2048 MB, डिफ़ॉल्ट 650 MB) — सीमा से ऊपर की फ़ाइलों को आंशिक रूप से स्कैन करने के बजाय पूरी तरह से छोड़ दिया जाता है।

⚙️ कैसे बनाएं और इंस्टॉल करें

1. रिपॉजिटरी क्लोन करें (सबमॉड्यूल सहित — नेटिव इंजन hydradragon स्कैनिंग मॉड्यूल के साथ एक कस्टम YARA-X फोर्क को वेंडर करता है):

   root@kitploit:~

   git clone --recurse-submodules https://github.com/HydraDragonAntivirus/HydraDragonAV-Mobile.git
   cd HydraDragonAV-Mobile
   

2. Android के लिए नेटिव Rust इंजन बनाएं (पूर्वापेक्षाओं के लिए hydradragonandroid/README.md देखें):

   root@kitploit:~

   cd hydradragonandroid
   build-android.cmd
   

3. Android ऐप को हमेशा की तरह बनाएं (Gradle) — नेटिव .so आउटपुट स्वचालित रूप से app/src/main/jniLibs/ से लिया जाता है।

🗄️ डेटा पाइपलाइन (व्हाइटलिस्ट, सिग्नेचर और फ़िल्टर)

ऑन-डिवाइस पहचान एसेट्स सार्वजनिक थ्रेट-इंटेल और NSRL स्रोतों से ऑफ़लाइन उत्पन्न किए जाते हैं, फिर ऐप में बंडल किए जाते हैं:

• gen_whitelist_packages.py — whitelist_packages.db (SQLite) बनाता है, NSRL RDS डेटाबेस से जुड़ी एक पूर्ण-विवरण NSRL Android पैकेज व्हाइटलिस्ट (नाम, संस्करण, निर्माता, OS, हैश)।
• gen_whitelist_apk.py — नेटिव binary-fuse XOR व्हाइटलिस्ट फ़िल्टर के लिए संपूर्ण-APK NSRL MD5 हैश निकालता है।
• gen_ip_lists.py / build_url_xfilters.py / build_xfilters.sh — नेटिव IP/URL थ्रेट स्कैनर द्वारा उपयोग किए जाने वाले दुर्भावनापूर्ण IP/URL/डोमेन फ़िल्टर (XOR-filter आधारित) बनाते हैं।
• clam_juice.py — ClamAV सिग्नेचर को फ़िल्टर करके केवल Android-प्रासंगिक प्लेटफ़ॉर्म (Andr, Unix, Linux, Email, PUA) के साथ सभी Phishing सिग्नेचर रखता है; Win/Osx/Java को बाहर करता है:
  root@kitploit:~

  python clam_juice.py --directory database_non_filtered --output database_filtered --profile cross-platform
  

📦 डेटासेट पाइपलाइन

• fdroid-downloader.py — डेटासेट पाइपलाइन के लिए आधिकारिक F-Droid रिपॉजिटरी से बेनाइन APK डाउनलोड करता है। केवल उन APK को डाउनलोड करता है जो स्थानीय रूप से पहले से मौजूद नहीं हैं; फ़ाइलनाम से तुलना करता है ताकि अपडेट किए गए संस्करण स्वचालित रूप से लिए जा सकें।
• dataset/benign/F-Droid/ — एकत्रित F-Droid ओपन-सोर्स APK (स्वाभाविक रूप से बेनाइन, 2805 APK के साथ)। https://huggingface.co/datasets/HydraDragonAntivirus/BenignAPKDataset/tree/main ("hf upload-large-folder HydraDragonAntivirus/BenignAPKDataset dataset\benign --repo-type=dataset --num-workers=4" के माध्यम से अपलोड किया गया)
• dataset/malware/ — मैलवेयर नमूने (अलग से संग्रहीत, इस रिपो में नहीं। लिंक: https://drive.google.com/file/d/1Il2bvcjxmc0w-XirL27R0_bKpznIeIiG पासवर्ड: infected)।
• yarGen (YARA नियम निर्माण) डेटासेट: https://drive.google.com/file/d/1BrLoMNzz2pJB886A6JfEqFris_c7Ua8o
• नोट: yarGen में data2 = PE बेनाइन डेटासेट javascript = javascript बेनाइन डेटासेट android = andorid बेनाइन डेटासेट शामिल है

दान करें:

• HydraDragonAV-Mobile निर्माता को दान करने के लिए यहाँ जाएँ:https://boosty.to/yusif_musayev/single-payment/donation/817954/target?share=target_link (Yusif Musayev HydraDragonAV-Mobile निर्माता)