AMDH

Android Mobile Device Hardening escrito em python3.

A versão Android, PObY-A (Privacidade de sua Propriedade - Android), com varreduras de malware e configurações, está disponível na Play Store e o código-fonte pode ser encontrado AQUI

Motivações

AMDH foi criado para ajudar a automatizar a varredura de aplicativos instalados em dispositivos Android, detectar alguns malwares conhecidos e também proteger a privacidade.

Funcionalidades

• Verificar e endurecer as configurações do sistema com base em algumas verificações de benchmark do CIS (Center of Internet Security) para dispositivos Android e na documentação de configurações do branch master do Android (Configurações globais e Configurações seguras)
• Listar processos atuais de usuário e encerrar os selecionados
• Analisar aplicativos instalados atualmente no dispositivo:
  • listar permissões perigosas e revogá-las
  • comparar com permissões usadas por malware
  • gerar relatório em formato JSON
• Listar aplicativos:
  • desinstalar/desativar App
  • revogar receivers de administrador
• Extrair APKs de aplicativos instalados
• Verificar se o sistema tem atualizações pendentes
• Extrair APKs empacotados, se existirem
• Análise estática para detecção de malware. Malware atualmente detectado:
  • ActionSpy
  • WolfRat
  • Anubis
• Capturar o estado atual do telefone em um arquivo JSON:
  • Aplicativos:
    • APK
    • hora da primeira instalação
    • hora da última atualização
    • permissões atuais
    • se o app é administrador do dispositivo
  • SMS: mensagens SMS atuais
  • Contatos: lista atual de contatos
  • Fazer backup de aplicativos que têm backup habilitado
• Comparação de capturas com o estado atual do telefone
  • Aplicativos
  • Configurações
• Restaurar captura
  • Aplicativos
  • Contatos
• Gerenciar vários dispositivos ao mesmo tempo (comparação de capturas e restauração ainda não suportadas)
  • Para cada dispositivo, uma nova thread é criada
• Relatório HTML

Requisitos

• Python3
• Android Debug Bridge (ADB) instalado
• androguard
• pwntools

Instalação

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Uso

Nota: Para Windows, você precisa especificar o caminho do ADB ou editar a variável "adb_windows_path" em "config/main.py".

Aviso: ao usar o argumento -l com aplicativos habilitados '-t e', aplicativos do sistema serão listados. Desinstalar aplicativos do sistema pode quebrar seu sistema Android. Recomenda-se usar 'disable' em vez de 'uninstall' para Apps do sistema.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            show this help message and exit
  -d DEVICES, --devices DEVICES
                        list of devices separated by comma or "ALL" for all connected devices
  -sS                   Scan the system settings
  -sA                   Scan the installed applications
  -H                    Harden system settings /!\ Developer Options and ADB will be disabled /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Path to ADB binary
  -t {e,d,3,s}          Type of applications:
                                e: enabled Apps
                                d: disabled Apps
                                3: Third party Apps
                                s: System Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Dump APKs from device to APKS_DUMP_FOLDER directory
  -rar                  Remove admin receivers: Remove all admin receivers if the app is not a system App
                        Scan application option "-sA" is required
  -R                    For each app revoke all dangerous permissions
                        Scan application option "-sA" is required
  -l                    List numbered applications to disable, uninstall or analyze
  -P                    List current users processes
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Snapshot the current state of the phone to a json file and backup applications into SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Compare SNAPSHOT_REPORT with the current phone state
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Restore SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Output directory for reports and logs. Default: out

Documentação & Ajuda

Testes e versão do CIS

• Testado no Android 7.1.1, 8, 9 e 10
• Versão CIS: 1.3.0

Detecção de malware

Compara as permissões concedidas com as permissões descritas no arquivo malware_perms.json. O arquivo contém três nós:

• malware_only: permissões usadas apenas por malware
• all: permissões usadas por malware e aplicativos legítimos
• combinations: combinações de permissões usadas principalmente por malware

Permissões exclusivas de malware

Permissões exclusivas de malware são aquelas usadas apenas por malware. Os malwares analisados são os dos repositórios:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/MalwareSamples/Android-Malware-Samples

O comando "aapt" foi usado para extrair as permissões. A segunda parte foi extrair permissões de aplicativos legítimos (cerca de 400 Apps). Permissões exclusivas de malware são as permissões usadas por malware e que nunca aparecem em aplicativos legítimos analisados.

Todas as permissões

Todas as permissões são usadas tanto por malware quanto por aplicativos legítimos. Os valores são percentuais de quão mais malwares usaram essas permissões em comparação com aplicativos legítimos.

Análise estática

• Encontrar, extrair e listar permissões perigosas de APKs empacotados usando androguard
• Extrair bibliotecas e verificar funções nativas conhecidas de malware usando pwntools

Captura (Snapshot)

A captura pode ajudar a monitorar o estado do sistema e fazer backup dos dados do telefone:

• aplicativos e suas permissões
• configurações do sistema
• Contatos
• SMS