engine

Droidefense Engine

Framework Avanzato per l'Analisi di Malware Android

Ultima release

Scarica

Cos'è Droidefense

Droidefense (originariamente chiamato atom: macchina di analisi tramite osservazione)* è il nome in codice per lo strumento di analisi/reverse engineering di app/malware Android. È stato costruito focalizzandosi sui problemi di sicurezza e i trucchi che i ricercatori di malware incontrano nel loro lavoro quotidiano. Per quelle situazioni in cui il malware ha routine anti-analisi, Droidefense tenta di bypassarle per arrivare al codice e alla routine 'cattiva'. A volte queste tecniche possono essere rilevamento di macchine virtuali, rilevamento di emulatori, verifica del certificato personale, rilevamento di pipe, controllo del PID tracer, e così via.

Droidefense utilizza un'idea innovativa in cui il codice non viene decompilato ma piuttosto visualizzato. Questo ci permette di ottenere una visione globale del flusso di esecuzione del codice con una precisione del 100% sulle informazioni raccolte. Con questa situazione, Droidefense genera un elegante report html con i risultati per una facile comprensione.

Caratteristiche di Droidefense

• Unpacker .apk
• Decodificatore di risorse .apk
• Enumerazione file .apk
• Classificazione e identificazione file .apk
• Decodificatore XML binario
• Elaborazione in memoria tramite filesystem virtuale
• Fuzzing e hashing delle risorse
• Calcolatore di entropia
• Dump del codice nativo
• Analisi del certificato
• Rilevamento certificato di debug
• Analisi degli opcode
• Rilevamento di opcode inutilizzati
• Analisi di AndroidManifest.xml
• Analisi della struttura interna
• Analisi del flusso del bytecode Dalvik
• Implementazione dell'analisi multipath (non testata)
• Generazione CFG
• Risolutore semplice di riflessione
• Classificazione delle stringhe
• Generazione del flusso di lavoro simulato
• Motore di regole dinamico

Moduli di Droidefense

• Modulo dati PSCout
• Parser completo del manifest Android, basato sulla documentazione ufficiale dell'SDK v23.
• Plugin
• Modulo di Machine Learning (basato su Weka)

Plugin di Droidefense

• Plugin rilevatore di file ELF nascosti
• Plugin rilevatore di file APK nascosti
• Plugin rilevatore di UID dell'applicazione
• Plugin per la privacy

Utilizzo

TL;DR

java -jar droidefense-cli-1.0-SNAPSHOT.jar -i /path/to/your/sample.apk

Utilizzo dettagliato

java -jar droidefense-cli-1.0-SNAPSHOT.jar

________               .__    .___      _____                            
\______ \_______  ____ |__| __| _/_____/ ____\____   ____   ______ ____  
 |    |  \_  __ \/  _ \|  |/ __ |/ __ \   __\/ __ \ /    \ /  ___// __ \ 
 |    `   \  | \(  <_> )  / /_/ \  ___/|  | \  ___/|   |  \\___ \\  ___/ 
/_______  /__|   \____/|__\____ |\___  >__|  \___  >___|  /____  >\___  >
        \/                     \/    \/          \/     \/     \/     \/ 

* Current build: 			2018_03_09__09_17_34
* Check out on Github: 			https://github.com/droidefense/
* Report your issue: 			https://github.com/droidefense/engine/issues
* Lead developer: 			@zerjioang

usage: droidefense
 -d,--debug                 stampa informazioni di debug
 -h,--help                  stampa questo messaggio
 -i,--input <apk>           file .apk da analizzare
 -o,--output <format>       seleziona l'output preferito:
                            json
                            json.min
                            html
 -p,--profile               Attendi il profiler JVM
 -s,--show                  mostra il report generato dopo la scansione
 -u,--unpacker <unpacker>   seleziona l'unpacker preferito:
                            zip
                            memapktool
 -v,--verbose               sii verboso
 -V,--version               mostra le informazioni sulla versione corrente
 

Informazioni utili

• Scopri come compilare una nuova versione su:
  • https://github.com/droidefense/engine/wiki/Compilation
• Guarda un esempio di report su:
  • https://github.com/droidefense/engine/wiki/Pornoplayer-report
• Guarda i log di esecuzione su:
  • https://github.com/droidefense/engine/wiki/Execution-logs

Contribuire

Tutti sono invitati a contribuire a DROIDEFENSE. Dai un'occhiata ai Passaggi per contribuire a DROIDEFENSE per le istruzioni su come procedere.

E qualsiasi altro commento sarà molto apprezzato.

Citazione

Sentiti libero di citare droidefense nei tuoi lavori. Abbiamo aggiunto il seguente boilerplate per i tuoi riferimenti:

@Manual{,
  title        = {Droidefense: Advance Android Malware Analysis Framework},
  author       = {{zerjioang}},
  organization = {opensource},
  address      = {Bilbao, Spain},
  year         = 2017,
  url          = {https://droidefense.wordpress.com/}
}

Licenza

Tutti i diritti riservati.

La ridistribuzione e l'uso in forma sorgente e binaria, con o senza modifiche, sono consentiti a condizione che siano soddisfatte le seguenti condizioni:

• Le ridistribuzioni del codice sorgente devono mantenere l'avviso di copyright sopra, questo elenco di condizioni e il seguente disclaimer.
• Le ridistribuzioni in forma binaria devono riprodurre l'avviso di copyright sopra, questo elenco di condizioni e il seguente disclaimer nella documentazione e/o altri materiali forniti con la distribuzione.
• Utilizza la licenza GPL descritta di seguito

Questo programma è software libero: puoi ridistribuirlo e/o modificarlo secondo i termini della GNU General Public License come pubblicata dalla Free Software Foundation, o la versione 3 della Licenza, o (a tua scelta) qualsiasi versione successiva.

Questo programma è distribuito nella speranza che sia utile, ma SENZA ALCUNA GARANZIA; senza nemmeno la garanzia implicita di COMMERCIABILITÀ o IDONEITÀ PER UN PARTICOLARE SCOPO. Vedi la GNU General Public License per maggiori dettagli.

Dovresti aver ricevuto una copia della GNU General Public License insieme a questo programma. In caso contrario, vedi http://www.gnu.org/licenses/.