AVPASS

AVPASS는 Android 악성코드 탐지 시스템(즉, 안티바이러스 소프트웨어)의 탐지 모델을 유출하고, 유출된 정보를 APK 난독화 기법과 결합하여 탐지 로직을 우회할 수 있는 도구입니다. AVPASS는 탐지 시스템이 사용하는 탐지 특징에 국한되지 않고 탐지 규칙까지 추론할 수 있어, APK 바이너리를 자동으로 변환하여 모든 Android 악성코드를 정상 애플리케이션으로 위장할 수 있습니다. 변환 과정에서 애플리케이션 로직이 유출되는 것을 방지하기 위해, AVPASS는 악성코드 개발자가 전체 바이너리를 전송하지 않고도 탐지 특징을 안전하게 조회할 수 있는 Imitation Mode를 제공합니다.

AVPASS는 Android 악성코드를 변환하여 안티바이러스 소프트웨어를 우회할 수 있도록 다양한 유용한 기능을 제공합니다. 아래는 AVPASS의 주요 기능입니다.

• 10개 이상의 모듈을 사용한 APK 난독화
• 개별 난독화를 통한 탐지 시스템의 특징 추론
• 2k 요인 실험을 통한 탐지 시스템의 규칙 추론
• 특정 탐지 시스템을 우회하기 위한 표적 난독화
• Imitation Mode를 통한 안전한 쿼리 지원

DISCLAIMER

이 저장소에 제공된 모든 코드는 교육/연구 목적으로만 사용됩니다. 이 저장소에 포함된 자료와 관련된 모든 행위 및 활동은 전적으로 귀하의 책임입니다. 이 저장소의 코드를 오용할 경우 관련자에게 형사 고발이 제기될 수 있습니다. 저자 및 SSLab 그룹은 이 저장소의 코드를 불법적으로 사용하는 개인에게 형사 고발이 제기되는 경우 어떠한 책임도 지지 않습니다. (면책 조항 출처: 여기)

DEMO

• API 기반, 데이터 흐름 기반, 상호작용 기반 탐지 시스템 우회

DEMO1

• VirusTotal을 통한 AV 추론 및 우회

License

이 프로젝트는 GPL 라이선스에 따라 배포됩니다.

Running & Docs

더 많은 문서는 docs/README.md에서 확인할 수 있습니다.

Authors and Contact

AVPASS 구현에 기여한 기여자 목록입니다.

• Jinho Jung
• Chanil Jeon
• Max Wolotsky
• Insu Yun
• Arbis Arthur Batenburg

문의 사항이 있으면 이메일을 보내주세요.

주요 연락처: Jinho Jung ([email protected])

Contribute

기여를 원하시면 Github 이슈 중에서 하나를 선택해 주세요.

Cite

• Black Hat USA 2017

@inproceedings{jung:avpass-bh,
  title        = {{AVPASS: Leaking and Bypassing Antivirus Detection Model Automatically}},
  author       = {Jinho Jung and Chanil Jeon and Max Wolotsky and Insu Yun and Taesoo Kim},
  booktitle    = {Black Hat USA Briefings (Black Hat USA)},
  month        = jul,
  year         = 2017,
  address      = {Las Vegas, NV},
}