🐉 HydraDragonAV Mobile

Продвинутый антивирус для Android с защитой от угроз

⚠️ Проект приостановлен. Проект не получил достаточного интереса, поэтому я приостановил его на время. Разработка переехала в HydraDragonAntivirus.

Сервер сообщества Discord: https://discord.gg/7XMCuj5mbP

HydraDragonAndroid (Логотип создан пользователем Discord: 1tophbeifong)

HydraDragonAV Mobile — это многоуровневый антивирус и пакет безопасности для Android, сочетающий статический анализ (сигнатуры YARA-X + ClamAV + обнаружение аномалий кода), динамический анализ поведения и облегчённый ML-классификатор на устройстве — всё это ограничено списком разрешённых приложений на основе NSRL, благодаря чему заведомо безопасное ПО никогда не даёт ложных срабатываний. Благодаря архитектуре Zero-Trust он активно защищает устройство от программ-вымогателей, кликджекинга, шпионского ПО, SMS-мошенничества/фишинга и угроз нулевого дня. Когда запускается помеченное вредоносное приложение, оно автоматически принудительно останавливается и блокируется в реальном времени.

📋 Требования: Android 8.0 Oreo (API 26) или новее. Динамический сетевой анализ для каждого приложения — сопоставление каждого DNS/соединения с конкретным приложением, которое его инициировало, и передача данных в модуль YARA-X hydradragon — опирается на ConnectivityManager.getConnectionOwnerUid, доступный только в Android 10+. На Oreo/API 26–28 остальная часть пакета продолжает работать, но сопоставление соединений с приложениями недоступно.

🤖 Область обнаружения — только Android. Это минималистичный форк оригинального HydraDragonAntivirus, ориентированный только на Android — он обнаруживает только Android-вредоносы. Нативный движок сканирования запускает сопоставление сигнатур ClamAV/YARA-X только на файлах, которые он может уверенно идентифицировать как релевантные для Android (APK/ZIP, DEX, ELF, HTML, ASCII-текст, PDF, изображения); форматы только для десктопа (Windows PE, OLE2/Office, Mail, Mach-O, Java) и файлы неопределённого типа полностью пропускаются, а не сканируются базой сигнатур, которая для них не предназначена. Подробнее см. вики (Интеграция ClamAV, Известные ограничения).

🚀 Ключевые возможности

⚡ Технология Photon: Сверхбыстрый многопоточный движок сканирования на основе кэширования ConcurrentHashMap, позволяющий мгновенно повторно проверять ранее просканированные безопасные приложения с нулевой нагрузкой на CPU.
🧠 Нативный Rust-движок сканирования: Ядро на Rust через JNI (libhydradragonandroid.so) выполняет основную работу — сопоставление сигнатур YARA-X + ClamAV, извлечение архивов (zip/gz/tar/xz/lzma/7z/rar, включая вложенные APK), разбор манифестов AXML и подсчёт опасных разрешений — всё напрямую из байтов в памяти (без временных файлов).
🧠 ML-бинарный классификатор Burn: Классификатор Burn на основе tract оценивает каждый сканируемый APK со значением уверенности (0.0–1.0). Он обучен как на вредоносных, так и на безопасных наборах данных для точной бинарной классификации. Лёгкий классификатор на основе логистической регрессии (AIEngine) также оценивает поведение на уровне DEX (обфускация, динамическая загрузка, API криптографии/сокетов/шеллов, SDK рекламного ПО).
🛡️ Защита от программ-вымогателей и блокировщиков экрана: Обнаружение текста на экране в реальном времени (через Accessibility Service + OCR) распознаёт записки с требованиями выкупа и принудительно завершает программы-вымогатели, блокирующие экран, на 20 языках.
📵 Обнаружение SMS-мошенничества и фишинга: Тот же многоязычный сканер текста на экране выявляет смишинг-ловушки (поддельные проверки аккаунта, лотерейные мошенничества, мошенничества с доставкой посылок, запросы OTP, банковские оповещения) везде, где они отображаются — в приложении Messages, превью уведомлений или поддельном WebView — без чтения вашего SMS-инбокса напрямую.
🖥️ Живой OCR экрана: Сервис захвата на основе MediaProjection периодически распознаёт экран переднего плана и передаёт извлечённый текст в нативный сканер угроз, выявляя мошенничества, которые появляются только в виде отображаемых пикселей.
🖼️ MalwareFoundActivity как диалог: При обнаружении угрозы во время фонового сканирования плавающий диалог (не полноэкранное Activity) предупреждает пользователя, не прерывая текущую задачу.
🚫 Защита от перехвата UI / кликджекинга: Обнаруживает и блокирует автоматизированные атаки с быстрыми кликами для выдачи разрешений, потоки спама в уведомлениях и повторяющиеся наложения/диалоги от вредоносных приложений. Также встроены переключатели Task-hijacking (проверка количества активностей StrandHogg) и защита записи экрана/FLAG_SECURE в виде опциональных тумблеров в настройках (защиту FLAG_SECURE можно намеренно отключить через переключатель «Разрешить запись экрана» — защита от вмешательства всё равно выявляет несанкционированное удаление).

🛠️ Техническая архитектура

HydraDragonAV Mobile работает на четырёх основных столпах:

GuardService: Постоянный фоновый сервис (Foreground Service), выполняющий роль мозга активной системы защиты — в реальном времени следит за папкой Downloads и координирует сканирования, отслеживая угрозы 24/7.
DynamicAnalysisService: Сервис специальных возможностей (Accessibility Service), который предотвращает автоматический перехват UI (кликджекинг), блокирует атаки через наложения/спам в уведомлениях и сканирует текст на экране на предмет формулировок программ-вымогателей/SMS-мошенничества/фишинга на 20 языках.
ScreenCaptureService: OCR-сервис на основе MediaProjection, который периодически захватывает и читает экран переднего плана, передавая извлечённый текст в нативный сканер для обнаружения угроз в реальном времени.
ScanEngine + NativeScanner: Слой оркестрации на Java и его нативный аналог на Rust (libhydradragonandroid.so) — оценка X.509-сертификатов, SHA-256 хэшей, опасных разрешений, источников установки приложений, сигнатур YARA-X/ClamAV и ML-оценок аномалий.

Локальный DnsVpnService дополнительно фильтрует DNS-запросы по известным вредоносным доменам, а пара NetworkSecurityScanner/NetworkMonitor следит за активными соединениями на предмет MITM-перехвата, ARP-спуфинга и вредоносного IP/C2-трафика.

🚫 Почему не Shizuku (или аналогичные фреймворки с привилегиями оболочки)?

Такие инструменты, как Shizuku, предоставляют приложению привилегии уровня ADB-оболочки (завершение процессов, операции PackageManager за пределами публичного API, настоящий файрвол в стиле iptables и т.д.) без полного root. Это легитимный и полезный проект — просто не лучший выбор внутри производственного антивируса:

Это не убирает поверхность атаки, а перемещает её. Собственный привилегированный сервис Shizuku доступен через Binder любому приложению, которое его запрашивает; встраивание клиента повышения привилегий оболочки в антивирус означает, что компрометация процесса AV (или ошибка в том, как он общается с Shizuku) наследует доступ уровня ADB на всём устройстве — это ровно тот радиус поражения, который антивирус должен уменьшать, а не увеличивать.
Он не может сам активироваться в продакшене. Shizuku требует от пользователя запускать его при каждой загрузке через adb shell (беспроводная отладка или USB) или root, каждый раз, если устройство уже не рутировано — совершенно непрактично для массовой установки, а это приложение и так отказывается работать на рутированных устройствах (RootCheck) и предупреждает пользователя, когда включены USB/беспроводная отладка (DebugModeCheck/DebugModeWarning) именно потому, что оба состояния расширяют поверхность атаки.
Незначительный прирост возможностей не стоит смены модели доверия. Основная привлекательность (настоящий файрвол на уровне пакетов, принудительное завершение произвольных приложений) здесь уже достаточно покрыта DNS/доменным/IP-фильтрованием на основе VpnService (Web Shield) без необходимости предоставлять доступ к оболочке стороннему сервису-посреднику.

Короче говоря: продукт безопасности, который просит пользователя сначала предоставить ему доступ к отладочной оболочке, решает свою модель угроз неправильно. Реальная поверхность повышения привилегий приложения намеренно ограничена тем, что разрешают публичные API Android (AccessibilityService, VpnService, PackageManager) — ничего, что требует ADB, root или привилегированного приложения-компаньона.

🧬 Почему был удалён TLSH?

Ранние сборки содержали движок TLSH fuzzy-hashing, который сравнивал каждый сканируемый APK/ELF/DEX с базой дайджестов на основе MalwareBazaar. Он был удалён, потому что был самым медленным, самым тяжёлым и наименее полезным движком во всём наборе:

Это был безусловно самый медленный движок. Телеметрия показала, что TLSH потребляет ~49 секунд однопоточного времени на каждое сканирование — примерно 92% всего объёма сканирования — в то время как ClamAV (4 воркера, суммарно) и YARA-X завершали свои проходы за ничтожную долю этого времени. Узким местом было не хэширование, а линейный поиск по базе ELF с ~177K дайджестами для каждого сканируемого буфера.
Он повторил ошибку Xvirus — фейковое «100% обнаружение» в тестах, но не в реальном мире. Загрузка базы с известных сайтов коллекций вредоносных программ и сопоставление с ней всего подряд даёт впечатляющие, но бессмысленные цифры: детектор может лишь повторно пометить ровно то, что уже было загружено, создавая ложное ощущение полного покрытия. На практике TLSH добавлял лишь ~0.1–0.5% избыточных обнаружений на реальных образцах — всё, что он помечал, уже обнаруживалось слоями ClamAV/YARA-X/ML.
Он был раздутым. Встроенные эталонные базы TLSH (ELF, APK, DEX) добавляли в APK мегабайты дайджестов ради слоя, который давал почти ничего сверх того, что уже обеспечивают сигнатурные и ML-движки.

Функции, которые действительно оправдывают своё место, — сигнатуры YARA-X + ClamAV, ML-классификатор, белые списки NSRL, эмуляция и фильтрация URL/IP — покрывают те же задачи без затрат на производительность и без пустого обещания «100%».

Создано с 💻 @elnureisayeva1-cloud (создатель) и @Siradankullanici (разработка бэкенда)

Примечание: максимальный размер файла, который будет сканировать движок, настраивается пользователем в настройках (10–2048 МБ, по умолчанию 650 МБ) — файлы больше лимита полностью пропускаются, а не сканируются частично.

⚙️ Как собрать и установить

Клонируйте репозиторий (включая подмодули — нативный движок использует кастомный форк YARA-X с модулем сканирования hydradragon):
```
git clone --recurse-submodules https://github.com/HydraDragonAntivirus/HydraDragonAV-Mobile.git
cd HydraDragonAV-Mobile
```
Соберите нативный Rust-движок для Android (предварительные требования см. в hydradragonandroid/README.md):
```
cd hydradragonandroid
build-android.cmd
```
Соберите Android-приложение как обычно (Gradle) — нативный вывод .so автоматически подхватывается из app/src/main/jniLibs/.

🗄️ Конвейер данных (белые списки, сигнатуры и фильтры)

Ассеты обнаружения на устройстве генерируются офлайн из публичных источников threat-intel и NSRL, затем включаются в приложение:

gen_whitelist_packages.py — создаёт whitelist_packages.db (SQLite), детализированный белый список Android-пакетов NSRL (имя, версия, производитель, ОС, хэши), собранный из базы данных NSRL RDS.
gen_whitelist_apk.py — извлекает NSRL MD5-хэши целых APK для нативного binary-fuse XOR-фильтра белого списка.
gen_ip_lists.py / build_url_xfilters.py / build_xfilters.sh — создают фильтры вредоносных IP/URL/доменов (на основе XOR-фильтров), используемые нативными сканерами угроз IP/URL.
clam_juice.py — фильтрует сигнатуры ClamAV, оставляя только релевантные для Android платформы (Andr, Unix, Linux, Email, PUA) плюс все фишинговые сигнатуры; исключает Win/Osx/Java:
```
python clam_juice.py --directory database_non_filtered --output database_filtered --profile cross-platform
```

📦 Конвейер наборов данных

fdroid-downloader.py — загружает безопасные APK из официального репозитория F-Droid для конвейера наборов данных. Загружает только те APK, которых ещё нет локально; сравнивает по имени файла, поэтому обновлённые версии подхватываются автоматически.
dataset/benign/F-Droid/ — собранные F-Droid открытые APK (безопасные по своей природе, 2805 APK). https://huggingface.co/datasets/HydraDragonAntivirus/BenignAPKDataset/tree/main (загружено через "hf upload-large-folder HydraDragonAntivirus/BenignAPKDataset dataset\benign --repo-type=dataset --num-workers=4")
dataset/malware/ — образцы вредоносных программ (хранятся отдельно, не в этом репозитории. Ссылка: https://drive.google.com/file/d/1Il2bvcjxmc0w-XirL27R0_bKpznIeIiG Пароль: infected).
Набор данных yarGen (генерация YARA-правил): https://drive.google.com/file/d/1BrLoMNzz2pJB886A6JfEqFris_c7Ua8o
Примечание: yarGen содержит data2 = безопасный набор данных PE, javascript = безопасный набор данных javascript, android = безопасный набор данных andorid.

Пожертвования:

Чтобы пожертвовать создателю HydraDragonAV-Mobile, перейдите сюда:https://boosty.to/yusif_musayev/single-payment/donation/817954/target?share=target_link (Юсиф Мусаев, создатель HydraDragonAV-Mobile)

Популярное

HydraDragonAV-Mobile