AMDH

Укрепление мобильных устройств Android, написанное на Python3.

Версия для Android, PObY-A (Privacy Owned by You - Android), с сканированием вредоносных программ и настроек, доступна в Play Store, а исходный код можно найти ЗДЕСЬ

Мотивация

AMDH был создан, чтобы помочь автоматизировать сканирование установленных приложений на устройствах Android, обнаруживать некоторые известные вредоносные программы а также защищать конфиденциальность.

Возможности

• Проверка и укрепление системных настроек на основе некоторых контрольных проверок CIS (Center of Internet Security) для устройств Android и документации настроек ветки Android master (Global settings и Secure settings)
• Список процессов текущего пользователя и завершение выбранных
• Анализ текущих установленных приложений на устройстве:
  • вывод опасных разрешений
    и отзыв их
  • сравнение с разрешениями, используемыми вредоносными программами
  • создание отчета в формате JSON
• Список приложений:
  • удаление/отключение приложения
  • отзыв администраторов приемников
• Дамп APK установленных приложений
• Проверка, есть ли ожидающие обновления системы
• Извлечение упакованных APK, если они есть
• Статический анализ для обнаружения вредоносных программ. Текущие обнаруженные вредоносные программы:
  • ActionSpy
  • WolfRat
  • Anubis
• Создание снимка текущего состояния телефона в JSON-файл:
  • Приложения:
    • APK
    • время первой установки
    • время последнего обновления
    • текущие разрешения
    • является ли приложение администратором устройства
  • SMS: текущие SMS-сообщения
  • Контакты: текущий список контактов
  • Резервное копирование приложений, для которых включено резервное копирование
• Сравнение снимков с текущим состоянием телефона
  • Приложения
  • Настройки
• Восстановление снимка
  • Приложения
  • Контакты
• Управление несколькими устройствами одновременно (сравнение снимков и восстановление пока не поддерживаются)
  • Для каждого устройства создается новый поток
• HTML-отчет

Требования

• Python3
• Установленный Android Debug Bridge (ADB)
• androguard
• pwntools

Установка

$ git clone https://github.com/SecTheTech/AMDH.git; cd AMDH
$ python3 -m venv amdh
$ source amdh/bin/activate
(amdh) $ pip install -r requirement.txt

Использование

Примечание: Для Windows необходимо указать путь к ADB или изменить переменную "adb_windows_path" в "config/main.py".

Внимание: при использовании аргумента -l с включённым параметром приложений '-t e' будут отображены системные приложения. Удаление системных приложений может нарушить работу вашей Android-системы. Для системных приложений рекомендуется использовать 'disable' вместо 'uninstall'.

$ python amdh.py -h
usage: amdh.py [-h] [-d DEVICES] [-sS] [-sA] [-H] [-a ADB_PATH] [-t {e,d,3,s}] [-D APKS_DUMP_FOLDER] 
          [-rar] [-R] [-l] [-P] [-S SNAPSHOT_DIR] [-cS SNAPSHOT_REPORT] [-rS SNAPSHOT_TO_RESTORE] [-o OUTPUT_DIR]

Android Mobile Device Hardening

optional arguments:
  -h, --help            show this help message and exit
  -d DEVICES, --devices DEVICES
                        list of devices separated by comma or "ALL" for all connected devices
  -sS                   Scan the system settings
  -sA                   Scan the installed applications
  -H                    Harden system settings /!\ Developer Options and ADB will be disabled /!\ 
  -a ADB_PATH, --adb-path ADB_PATH
                        Path to ADB binary
  -t {e,d,3,s}          Type of applications:
                                e: enabled Apps
                                d: disabled Apps
                                3: Third party Apps
                                s: System Apps
  -D APKS_DUMP_FOLDER, --dump-apks APKS_DUMP_FOLDER
                        Dump APKs from device to APKS_DUMP_FOLDER directory
  -rar                  Remove admin receivers: Remove all admin receivers if the app is not a system App
                        Scan application option "-sA" is required
  -R                    For each app revoke all dangerous permissions
                        Scan application option "-sA" is required
  -l                    List numbered applications to disable, uninstall or analyze
  -P                    List current users processes
  -S SNAPSHOT_DIR, --snapshot SNAPSHOT_DIR
                        Snapshot the current state of the phone to a json file and backup applications into SNAPSHOT_DIR
  -cS SNAPSHOT_REPORT, --cmp-snapshot SNAPSHOT_REPORT
                        Compare SNAPSHOT_REPORT with the current phone state
  -rS SNAPSHOT_TO_RESTORE, --restore-snapshot SNAPSHOT_TO_RESTORE
                        Restore SNAPSHOT_TO_RESTORE
  -o OUTPUT_DIR, --output-dir OUTPUT_DIR
                        Output directory for reports and logs. Default: out

Документация и справка

Тесты и версия CIS

• Протестировано на Android 7.1.1, 8, 9 и 10
• Версия CIS: 1.3.0

Обнаружение вредоносных программ

Сравните предоставленные разрешения с разрешениями, описанными в файле malware_perms.json. Файл содержит три узла:

• malware_only: разрешения, используемые только вредоносными программами
• all: разрешения, используемые как вредоносными, так и легитимными приложениями
• combinations: комбинации разрешений, используемые в основном вредоносными программами

Только разрешения вредоносных программ

Разрешения вредоносных программ — это те, которые используются только вредоносными программами. Проанализированные вредоносные программы взяты из репозиториев:

• https://github.com/ashishb/android-malware
• https://github.com/sk3ptre/AndroidMalware_2018
• https://github.com/sk3ptre/AndroidMalware_2019
• https://github.com/sk3ptre/AndroidMalware_2020
• https://github.com/MalwareSamples/Android-Malware-Samples

Команда "aapt" использовалась для дампа разрешений. Вторая часть заключалась в дампе разрешений легитимных приложений (около 400 приложений). Только разрешения вредоносных программ — это разрешения, которые используются вредоносными программами и никогда не встречаются в проанализированных легитимных приложениях.