apk-info

Um analisador apk completo.

Funcionalidades

• Um extrator zip amigável a malware. Ótimo artigo sobre a técnica BadPack;
• Um extrator axml e arsc amigável a malware;
• Uma implementação completa de AXML (Android Binary XML);
• Uma implementação completa de ARSC (Android Resource);
• Suporte para extrair informações contidas no APK Signature Block 42:
  • APK Signature scheme v1;
  • APK Signature scheme v2;
  • APK Signature scheme v3;
  • APK Signature scheme v3.1;
  • Stamp Block v1 & v2;
  • Apk Channel Block;
  • Packer NG v2;
  • Vasdolly v2
  • Google Play Frosting (existem planos, mas há criticamente pouca informação sobre isso);
• Extração correta da MainActivity baseada em como o sistema Android faz;
• Bindings para Python 3.10+ com tipagens - sem mais # type: ignore;
• E claro, um analisador rápido - 🙃

Primeiros passos

cli

Instalação

cargo install apk-info-cli

Ajuda

A command-line tool to inspect and extract APK files

Usage: apk-info [COMMAND]

Commands:
  show        Show basic information about apk file
  extract     Unpack apk files as zip archive [aliases: x]
  axml        Read and pretty-print binary AndroidManifest.xml
  completion  Generate shell completion
  help        Print this message or the help of the given subcommand(s)

Options:
  -h, --help     Print help
  -V, --version  Print version

Python

Instalação

uv pip install apk-info

Obter informações básicas sobre o APK

from apk_info import APK

apk = APK("./path-to-file.apk")
package_name = apk.get_package_name()
main_activities = apk.get_main_activities()
min_sdk = apk.get_min_sdk_version()

print(f"Package Name: {package_name}")
print(f"Minimal SDK: {min_sdk}")

if not main_activities:
    print("apk is not launchable!")
    exit()

print(f"Main Activity: {package_name}/{main_activities[0]}")

Obter informações sobre assinaturas

import sys

from apk_info import APK, Signature

if len(sys.argv) < 2:
    print(f"usage: {sys.argv[0]} <apk>")
    sys.exit(1)

file = sys.argv[1]
apk = APK(file)

signatures = apk.get_signatures()
for signature in signatures:
    match signature:
        case Signature.V1() | Signature.V2() | Signature.V3() | Signature.V31():
            for cert in signature.certificates:
                print(f"{cert.subject=} {cert.issuer=} {cert.valid_from=} {cert.valid_until=}")
        case Signature.ApkChannelBlock():
            print(f"got apk channel block: {signature.value}")
        case _:
            print(f"oh, cool, library added some new feature - {signature}")

Análise de Desempenho

Ambiente:

• SO: macOS Tahoe 26.0.1 arm64
• CPU: Apple M3 Pro (12) @ 4.06 GHz

O script:

1. Extrair todas as assinaturas disponíveis de um arquivo;
2. Extrair o nome do pacote;
3. Extrair a versão mínima do SDK;
4. Obter uma lista de todas as Main Activities;
5. Obter o nome do aplicativo;

Biblioteca apk-info:

• Build - release-lto;
• Bindings Python (comparação honesta);

caso de teste (coleção limpa):

• 152 arquivos apk;
• Tamanho total - 20GB;
• Modo de registro - warning;

caso de teste (coleção de malware):

• 3084 arquivos apk;
• Tamanho total - 23GB;
• Modo de registro - warning;

[!IMPORTANT] Há muitas amostras maliciosas neste conjunto que o androguard simplesmente não consegue analisar.

Em média, o ganho de velocidade é cerca de x10.

A principal vantagem é que o apk-info pode analisar muito mais arquivos maliciosos que o androguard.

FAQ

• Por que não usar apenas o androguard?

Quase todos os meus projetos nascem de algo que é inconveniente de usar. O Androguard é uma ótima ferramenta por si só, mas simplesmente não é possível mantê-la (na minha opinião) e não é adequada para código pronto para produção. Também não é adequada para analisar um grande número de arquivos devido ao fato de que toda a lógica é escrita de forma não muito otimizada.

• Quero modificar o apk, como faço isso usando esta biblioteca?

A biblioteca foi projetada apenas para modo somente leitura, porque eu preciso de uma boa ferramenta com a qual possa extrair informações do apk de forma fácil e rápida. Existem muitas outras boas ferramentas por aí.

Créditos

• androguard
• apkInspector