Hooker: Analisi Dinamica Automatizzata di Applicazioni Android

Informazioni su Hooker

Descrizione Funzionale

Hooker è un progetto open source per l'analisi dinamica di applicazioni Android. Questo progetto fornisce vari strumenti e applicazioni che possono essere utilizzati per intercettare e modificare automaticamente qualsiasi chiamata API effettuata da un'applicazione target.

Si basa sul framework Android Substrate per intercettare queste chiamate e aggregare tutte le loro informazioni contestuali (parametri, valori restituiti, ...). Le informazioni raccolte possono essere memorizzate in ElasticSearch o in file JSON.

Una serie di script Python è inoltre fornita per automatizzare l'esecuzione di un'analisi al fine di raccogliere qualsiasi chiamata API effettuata da un insieme di applicazioni.

Disclaimer

Android-Hooker è una prova di concetto basata sul framework Substrate. Ciò significa che Hooker non può funzionare se Substrate non è installato correttamente sul tuo dispositivo. Per il momento, gli autori hanno installato con successo Substrate su dispositivi con versioni Android 4.1 e 4.2. Se sai come installare Substrate su versioni successive, ti preghiamo di farcelo sapere via email a [email protected] e saremo lieti di integrare questa funzionalità nel progetto.

Descrizione Tecnica

Hooker è composto da più moduli:

1. APK-instrumenter è un'applicazione Android che deve essere installata prima dell'analisi su un dispositivo Android (ad esempio, un emulatore).
2. hooker_xp è uno strumento Python che può essere utilizzato per controllare il dispositivo Android e attivare l'installazione e la stimolazione di un'applicazione su di esso.
3. hooker_analysis è uno script Python che può essere utilizzato per raccogliere i risultati memorizzati nel database elasticsearch.
4. tools/APK-contactGenerator è un'applicazione Android che viene installata automaticamente sul dispositivo Android da hooker_xp per iniettare informazioni di contatto finte.
5. tools/apk_retriever è uno strumento Python che può essere utilizzato per scaricare APK da vari mercati Android pubblici online.
6. tools/emulatorCreator è una raccolta di script che possono essere utilizzati per preparare un emulatore.

Ulteriori Informazioni

• Sito web: https://github.com/AndroidHooker/hooker
• FAQ è disponibile qui
• Bug Tracker: Bug e richieste di funzionalità sono organizzati in GitHub Issues
• Email: [email protected]
• Twitter: Segui gli account degli autori (@Tibapbedoum e @Lapeluche)

Per Iniziare

Abbiamo sviluppato Hooker utilizzando un sistema Debian a 64 bit e, pertanto, potrebbe non funzionare correttamente su altri sistemi a causa di percorsi o parametri inadeguati. Il tuo aiuto per identificare queste incompatibilità è molto apprezzato. Ti preghiamo di segnalare un problema nel nostro Bug Tracker se incontri errori durante l'utilizzo.

Per utilizzare Hooker hai bisogno di almeno un server su cui hai installato:

• python 2.7,
• elasticsearch 1.7,
• kibana 4.1,
• Android 4.1 e 4.2,
• androguard 1.9.

Configura il tuo Host ElasticSearch

Questo passaggio riguarda l'installazione di ElasticSearch. Scarica e segui la documentazione online di ElasticSearch: http://www.elasticsearch.org/overview/elkdownloads/. Puoi installare elasticsearch su un singolo host oppure distribuire un cluster di nodi elasticsearch.

Configura Android SDK

Puoi scaricare il bundle Android qui. Se vuoi utilizzare lo script di installazione di Hooker, devi:

• Assicurati di impostare la variabile d'ambiente ANDROID_HOME: $ export ANDROID_HOME=/path/to/your/sdk/folder

• Scarica le API SDK dal tuo SDK manager.

Installazione

Uno script di installazione è fornito per aiutarti a compilare e installare tutte le dipendenze necessarie. Se vuoi utilizzare questo script, assicurati di avere le seguenti dipendenze:

# openjdk-7-jdk, ant, python-setuptools (installali semplicemente con apt)

Quando hai tutto pronto, esegui lo script di installazione nella directory principale di Hooker:

$ ./install.sh

Crea il tuo Android Virtual Device (AVD) di riferimento

• Verifica di avere i target disponibili: $ $ANDROID_HOME/tools/android list target.
• Avvia lo script automatico per un'installazione più semplice: cd tools/emulatorCreator && python HookerInstaller.py -s SDK_PATH -a Hooker_test -t ANDROID_TARGET -d AVD_DIRECTORY,
• Quando i log di python te lo dicono:
  • Apri l'app SuperSU, fai clic su "Continua" per aggiornare il binario SU, scegli la modalità di installazione "Normale", attendi un po'. Fai clic su "OK" (NON "Riavvia"!) ed esci dall'applicazione.
  • Apri l'app Substrate, fai clic su "Link Substrate Files", consenti a Substrate, e fai di nuovo clic su "Link Substrate Files".
  • Installa l'APK APK-instrumenter con ADB.
  • Fai clic su "Restart System (Soft)" quando l'applicazione Substrate appare.
  • Attendi il riavvio del sistema e disabilita la sicurezza della schermata di blocco: Menu > Impostazioni di sistema > Sicurezza > Blocco schermo > Nessuno
  • Chiudi il tuo emulatore.
• Se non vuoi usare lo script automatico, dovrai ricordare che:
  • Hooker necessita di una scheda SD per funzionare correttamente,
  • Hooker necessita che lo snapshot sia abilitato. Attenzione se usi android-studio per creare il tuo AVD: c'è un bug (o una funzionalità, chissà) che rende difficile l'uso degli snapshot...

Per tuo interesse, puoi guardare un video su come preparare un emulatore qui

Configura l'host su cui viene eseguito Hooker

Se il tuo host elasticsearch si trova su un host diverso dal tuo emulatore Android, dovrai reindirizzare il traffico di rete. Per fare questo, puoi usare socat:

$ socat -s -v TCP4-LISTEN:9200,fork,ignoreeof,reuseaddr TCP4:192.168.98.11:9200,ignoreeof

Se hai un errore relativo all'emulazione OpenGLES (Could not load OpenGLES emulation library), devi modificare il tuo ldconfig (come root):

# echo "/path/to/your/sdk/tools/lib" > /etc/ld.so.conf.d/android.conf
# ldconfig

GIOCA CON HOOKER

Guarda questo video per vedere una demo su come eseguire un esperimento manuale per analizzare una specifica applicazione.

Giocare con dispositivi reali

Se vuoi usare Hooker su dispositivi reali, leggi prima il README specifico.

Configura il tuo file di configurazione

• Se vuoi fare un'analisi manuale, copia il file hooker_xp/sampleManualAnalysis.conf,
• Se vuoi fare un'analisi automatica, copia il file hooker_xp/sampleAutomaticAnalysis.conf,
• Se vuoi fare un'analisi su dispositivi reali, copia uno dei file di configurazione *RealDevice*,
• A seconda della configurazione del tuo sistema, personalizza i diversi parametri dichiarati nel file di configurazione conservato. I file di configurazione di esempio sono molto dettagliati, quindi leggi i commenti,
• In relazione ai passaggi precedenti, devi specificare il percorso del tuo AVD di riferimento appena creato. Come spiegano i commenti, inserisci il percorso + nome dell'AVD, cioè senza l'estensione .avd.

Avvia ElasticSearch e Kibana

Hooker usa ElasticSearch per memorizzare gli eventi e Kibana come frontend per analizzarli. Per aiutarti ad analizzare le applicazioni, abbiamo inserito un esempio di dashboard Kibana nella directory tools/kibana-dashboard. Per usarla, dovrai eseguire un primo esperimento e quindi importare il file kibana-export.json. Per importare una dashboard, devi andare all'URL http://localhost:5601 e:

• Vai su Settings -> Objects,
• Fai clic su Import,
• Seleziona la dashboard disponibile.

Esegui il tuo Esperimento

Lo script Python dell'esperimento è nella directory hooker_xp:

$ cd hooker_xp && python hooker_xp.py -c yourAnalysisConfigurationFile.conf 

Dovresti vedere i log Python che ti spiegano cosa sta succedendo.

Contribuire

Saremo lieti se potessi aiutarci a migliorare questo lavoro. Utilizza le funzionalità di GitHub per fornire le tue correzioni di bug e i tuoi miglioramenti.

Autori e Sponsor

Il progetto Hooker è stato avviato da Georges Bossert e Dimitri Kirchner. Entrambi lavorano per AMOSSYS, una società francese di sicurezza informatica http://www.amossys.fr.

Licenza

Questo software è concesso in licenza sotto la GPLv3 License. Vedi il file LICENSE nella directory principale della distribuzione per il testo completo della licenza.