engine

Droidefense Engine

Framework Avançado de Análise de Malware Android

Última versão

Baixar

O que é o Droidefense

Droidefense (originalmente chamado de atom: analysis through observation machine)* é o codinome para uma ferramenta de análise / engenharia reversa de aplicativos Android / malware. Foi construída com foco em problemas de segurança e truques que pesquisadores de malware enfrentam em seu trabalho diário. Para aquelas situações em que o malware possui rotinas de antianálise, o Droidefense tenta contorná-las para chegar ao código e à rotina 'maliciosa'. Às vezes, essas técnicas podem ser detecção de máquina virtual, detecção de emulador, verificação de certificado próprio, detecção de pipes, verificação de PID do tracer, entre outras.

O Droidefense usa uma ideia inovadora em que o código não é descompilado, mas sim visualizado. Isso nos permite obter uma visão global do fluxo de execução do código com 100% de precisão nas informações coletadas. Com isso, o Droidefense gera um relatório html sofisticado com os resultados para fácil entendimento.

Recursos do Droidefense

• Descompactador de .apk
• Decodificador de recursos .apk
• Enumeração de arquivos .apk
• Classificação e identificação de arquivos .apk
• Decodificador binário de XML
• Processamento em memória usando um sistema de arquivos virtual
• Fuzzing e hash de recursos
• Calculadora de entropia
• Dump de código nativo
• Análise de certificado
• Detecção de certificado de depuração
• Análise de opcodes
• Detecção de opcode não utilizado
• Análise do AndroidManifest.xml
• Análise da estrutura interna
• Análise de fluxo de bytecode Dalvik
• Implementação de análise de múltiplos caminhos (não testada)
• Geração de CFG
• Resolvedor simples de reflexão
• Classificação de strings
• Geração simulada de fluxo de trabalho
• Mecanismo de regras dinâmicas

Módulos do Droidefense

• Módulo de dados PSCout
• Analisador completo do manifesto Android, baseado na documentação oficial do SDK v23
• Plugins
• Módulo de aprendizado de máquina (baseado em Weka)

Plugins do Droidefense

• Plugin detector de arquivos ELF ocultos
• Plugin detector de arquivos APK ocultos
• Plugin detector de UID de aplicativo
• Plugin de privacidade

Uso

TL;DR

java -jar droidefense-cli-1.0-SNAPSHOT.jar -i /path/to/your/sample.apk

Uso detalhado

java -jar droidefense-cli-1.0-SNAPSHOT.jar

________               .__    .___      _____                            
\______ \_______  ____ |__| __| _/_____/ ____\____   ____   ______ ____  
 |    |  \_  __ \/  _ \|  |/ __ |/ __ \   __\/ __ \ /    \ /  ___// __ \ 
 |    `   \  | \(  <_> )  / /_/ \  ___/|  | \  ___/|   |  \\___ \\  ___/ 
/_______  /__|   \____/|__\____ |\___  >__|  \___  >___|  /____  >\___  >
        \/                     \/    \/          \/     \/     \/     \/ 

* Current build: 			2018_03_09__09_17_34
* Check out on Github: 			https://github.com/droidefense/
* Report your issue: 			https://github.com/droidefense/engine/issues
* Lead developer: 			@zerjioang

usage: droidefense
 -d,--debug                 print debugging information
 -h,--help                  print this message
 -i,--input <apk>           input .apk to be analyzed
 -o,--output <format>       select prefered output:
                            json
                            json.min
                            html
 -p,--profile               Wait for JVM profiler
 -s,--show                  show generated report after scan
 -u,--unpacker <unpacker>   select prefered unpacker:
                            zip
                            memapktool
 -v,--verbose               be verbose
 -V,--version               show current version information
 

Informações úteis

• Veja como compilar uma nova versão em:
  • https://github.com/droidefense/engine/wiki/Compilation
• Veja um exemplo de relatório em:
  • https://github.com/droidefense/engine/wiki/Pornoplayer-report
• Veja logs de execução em:
  • https://github.com/droidefense/engine/wiki/Execution-logs

Contribuindo

Todos são bem-vindos para contribuir com o DROIDEFENSE. Por favor, consulte os Passos para Contribuição do DROIDEFENSE para instruções sobre como proceder.

E quaisquer outros comentários serão muito apreciados.

Como citar

Sinta-se à vontade para citar o Droidefense em seus trabalhos. Adicionamos o seguinte modelo para suas referências:

@Manual{,
  title        = {Droidefense: Advance Android Malware Analysis Framework},
  author       = {{zerjioang}},
  organization = {opensource},
  address      = {Bilbao, Spain},
  year         = 2017,
  url          = {https://droidefense.wordpress.com/}
}

Licença

Todos os direitos reservados.

A redistribuição e uso em formas de código fonte e binárias, com ou sem modificações, são permitidas desde que as seguintes condições sejam atendidas:

• As redistribuições do código fonte devem manter o aviso de copyright acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir.
• As redistribuições em formato binário devem reproduzir o aviso de copyright acima, esta lista de condições e o aviso de isenção de responsabilidade na documentação e/ou outros materiais fornecidos com a distribuição.
• Usa a licença GPL descrita abaixo.

Este programa é software livre: você pode redistribuí-lo e/ou modificá-lo sob os termos da GNU General Public License conforme publicada pela Free Software Foundation, seja a versão 3 da Licença ou (a seu critério) qualquer versão posterior.