AMDH

Android Mobile Device Hardening scritto con python3.

Versione Android, PObY-A (Privacy Owned by You - Android), con scansioni di malware e impostazioni, è disponibile sul Play Store e il codice sorgente si trova QUI

Motivazioni

AMDH è stato creato per aiutare a automatizzare la scansione delle applicazioni installate sui dispositivi Android, rilevare alcuni malware noti e anche proteggere la privacy.

Funzionalità

• Controllare e indurire le impostazioni di sistema basate su alcuni controlli benchmark CIS (Center of Internet Security) per dispositivi Android e la documentazione delle impostazioni del branch master di Android (Impostazioni Globali e Impostazioni Sicure)
• Elencare i processi degli utenti correnti e terminare quelli selezionati
• Analizzare le applicazioni attualmente installate sul dispositivo:
  • elencare i permessi pericolosi
    e revocarli
  • confrontare con i permessi utilizzati dai malware
  • generare un report in formato JSON
• Elencare le applicazioni:
  • disinstallare/disabilitare App
  • revocare i ricevitori di amministrazione
• Estrarre gli APK delle applicazioni installate
• Controllare se il sistema ha aggiornamenti in sospeso
• Estrarre APK impacchettati se presenti
• Analisi statica per il rilevamento di malware. Malware attualmente rilevati:
  • ActionSpy
  • WolfRat
  • Anubis
• Fotografare lo stato corrente del telefono in un file JSON:
  • Applicazioni:
    • APK
    • data di prima installazione
    • data dell'ultimo aggiornamento
    • permessi correnti
    • se l'app è amministratore del dispositivo
  • SMS: messaggi SMS correnti
  • Contatti: elenco corrente dei contatti
  • Backup delle applicazioni che hanno il backup abilitato
• Confronto degli snapshot con lo stato corrente del telefono
  • Applicazioni
  • Impostazioni
• Ripristino Snapshot
  • Applicazioni
  • Contatti
• Gestire più dispositivi contemporaneamente (il confronto degli snapshot e il ripristino non sono ancora supportati)
  • Per ogni dispositivo viene creato un nuovo thread
• Report HTML

Requisiti

• Python3
• Android Debug Bridge (ADB) installato
• androguard
• pwntools

Installazione

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Utilizzo

Nota: Per Windows devi specificare il percorso di ADB o modificare la variabile "adb_windows_path" in "config/main.py".

Attenzione: quando si usa l'argomento -l con l'applicazione abilitata '-t e', le app di sistema verranno elencate. Disinstallare le app di sistema può rompere il tuo sistema Android. Si consiglia di usare 'disable' invece di 'uninstall' per le app di sistema.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            mostra questo messaggio di aiuto e esci
  -d DEVICES, --devices DEVICES
                        elenco dei dispositivi separato da virgola o "ALL" per tutti i dispositivi connessi
  -sS                   Scansiona le impostazioni di sistema
  -sA                   Scansiona le applicazioni installate
  -H                    Indurisci le impostazioni di sistema /!\ Le Opzioni sviluppatore e ADB saranno disabilitati /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Percorso del binario ADB
  -t {e,d,3,s}          Tipo di applicazioni:
                                e: App abilitate
                                d: App disabilitate
                                3: App di terze parti
                                s: App di sistema
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Scarica gli APK dal dispositivo nella directory APKS_DUMP_FOLDER
  -rar                  Rimuovi i ricevitori di amministrazione: Rimuovi tutti i ricevitori di amministrazione se l'app non è un'app di sistema
                        L'opzione di scansione applicazioni "-sA" è richiesta
  -R                    Per ogni app revoca tutti i permessi pericolosi
                        L'opzione di scansione applicazioni "-sA" è richiesta
  -l                    Elenca le applicazioni numerate per disabilitarle, disinstallarle o analizzarle
  -P                    Elenca i processi utente correnti
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Fotografa lo stato corrente del telefono in un file json e esegui il backup delle applicazioni in SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Confronta SNAPSHOT_REPORT con lo stato corrente del telefono
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Ripristina SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Directory di output per report e log. Predefinito: out

Documentazione e Aiuto

Test e versione CIS

• Testato su Android 7.1.1, 8, 9 e 10
• Versione CIS: 1.3.0

Rilevamento malware

Confronta i permessi concessi con i permessi descritti nel file malware_perms.json. Il file contiene tre nodi:

• malware_only: permessi utilizzati solo da malware
• all: permessi utilizzati sia da malware che da app legittime
• combinations: combinazioni di permessi usate principalmente da malware

permessi solo malware

I permessi solo malware sono quelli utilizzati solo da malware. I malware analizzati provengono dai repository:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

Il comando "aapt" è stato utilizzato per estrarre i permessi. La seconda parte è consistita nell'estrarre i permessi di app legittime (circa 400 app). I permessi solo malware sono quelli usati dai malware e mai apparsi nelle applicazioni legittime analizzate.