AMDH

Androidモバイルデバイスのハードニングツール（Python3製）。

Android版のPObY-A（Privacy Owned by You - Android）は、マルウェアと設定のスキャン機能を備え、Playストアで入手可能です。ソースコードはこちらで見つかります。

動機

AMDHは、Androidデバイス上のインストール済みアプリケーションのスキャンを自動化し、既知のマルウェアを検出し、プライバシーを保護するために作成されました。

機能

• Androidデバイス向けCIS（インターネットセキュリティセンター）ベンチマークチェックとAndroidマスターブランチの設定ドキュメントに基づいて、システム設定をチェックしハードニングします（グローバル設定およびセキュア設定）。
• 現在のユーザープロセスを一覧表示し、選択したプロセスを強制終了します。
• デバイスにインストールされている現在のアプリケーションを分析します：
  • 危険な権限を一覧表示し、取り消します。
  • マルウェアが使用する権限と比較します。
  • JSON形式でレポートを生成します。
• アプリケーションを一覧表示します：
  • アプリのアンインストール/無効化
  • 管理者レシーバーの取り消し
• インストール済みアプリのAPKをダンプします。
• システムに保留中のアップデートがあるか確認します。
• パックされたAPKが存在する場合は抽出します。
• マルウェア検出のための静的解析。現在検出可能なマルウェア：
  • ActionSpy
  • WolfRat
  • Anubis
• 現在の電話状態をJSONファイルにスナップショットします：
  • アプリケーション：
    • APK
    • 初回インストール時刻
    • 最終更新時刻
    • 現在の権限
    • アプリがデバイス管理者かどうか
  • SMS：現在のSMSメッセージ
  • 連絡先：現在の連絡先一覧
  • バックアップが有効なアプリケーションのバックアップ
• スナップショットと現在の電話状態の比較
  • アプリケーション
  • 設定
• スナップショットの復元
  • アプリケーション
  • 連絡先
• 複数デバイスを同時に管理（スナップショット比較と復元は未対応）
  • 各デバイスごとに新しいスレッドが作成されます。
• HTMLレポート

必要条件

• Python3
• Android Debug Bridge（ADB）がインストールされていること
• androguard
• pwntools

インストール

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

使い方

注意：Windowsの場合は、ADBのパスを指定するか、config/main.py内の変数adb_windows_pathを編集してください。

警告：-l引数を使用し、-t eで有効なアプリケーションを指定すると、システムアプリが一覧表示されます。システムアプリのアンインストールはAndroidシステムを破壊する可能性があります。システムアプリではuninstallではなくdisableを使用することを推奨します。

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            show this help message and exit
  -d DEVICES, --devices DEVICES
                        list of devices separated by comma or "ALL" for all connected devices
  -sS                   Scan the system settings
  -sA                   Scan the installed applications
  -H                    Harden system settings /!\ Developer Options and ADB will be disabled /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Path to ADB binary
  -t {e,d,3,s}          Type of applications:
                                e: enabled Apps
                                d: disabled Apps
                                3: Third party Apps
                                s: System Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Dump APKs from device to APKS_DUMP_FOLDER directory
  -rar                  Remove admin receivers: Remove all admin receivers if the app is not a system App
                        Scan application option "-sA" is required
  -R                    For each app revoke all dangerous permissions
                        Scan application option "-sA" is required
  -l                    List numbered applications to disable, uninstall or analyze
  -P                    List current users processes
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Snapshot the current state of the phone to a json file and backup applications into SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Compare SNAPSHOT_REPORT with the current phone state
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Restore SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Output directory for reports and logs. Default: out

ドキュメントとヘルプ

テストとCISバージョン

• Android 7.1.1、8、9、10でテスト済み
• CISバージョン：1.3.0

マルウェア検出

付与された権限をファイルmalware_perms.jsonに記述された権限と比較します。このファイルには3つのノードが含まれています：

• malware_only：マルウェアのみが使用する権限
• all：マルウェアと正規アプリの両方が使用する権限
• combinations：主にマルウェアが使用する権限の組み合わせ

malware_only権限

malware_only権限は、マルウェアのみが使用する権限です。分析されたマルウェアは以下のリポジトリからのものです：

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

権限のダンプにはコマンドaaptが使用されました。次に、正規アプリ（約400アプリ）の権限をダンプしました。malware_only権限とは、マルウェアが使用し、分析された正規アプリケーションには決して現れない権限です。

すべての権限

すべての権限は、マルウェアと正規アプリケーションの両方で使用されます。値は、マルウェアがこれらの権限を正規アプリと比較してどの程度使用したかの割合です。

静的解析

• androguardを使用して、パックされたAPKの危険な権限を見つけ、ダンプし、一覧表示します。
• pwntoolsを使用してライブラリをダンプし、既知のマルウェアネイティブ関数をスキャンします。

スナップショット

スナップショットは、システム状態を監視し、電話データをバックアップするのに役立ちます：

• アプリケーションとその権限
• システム設定
• 連絡先
• SMS

既知の問題

• pm revokeコマンドは終了コード成功を返しますが、一部のマルウェアに対して権限を取り消しません。
• 一部のデバイスでは、ADBシェルがSMSデータベースにアクセスする権限を持たないため、SMSのバックアップに失敗する場合があります。この問題が発生した場合は、issueを作成してください。

例

スキャン

• アプリケーションのスキャン

(amdh)$ python amdh.py -d SERIAL1,SERIAL2,SERIAL3 -sA -o reports