Análisis estático de APK

El análisis estático de un APK consiste en inspeccionar su código y sus recursos sin ejecutarlo. El objetivo es recuperar código legible, similar al código fuente, a partir del DEX compilado.

Esto revela secretos codificados directamente, fallos lógicos y el comportamiento real de la aplicación.

apktool decodifica un APK para convertirlo de nuevo en recursos legibles y smali (una forma legible para humanos del bytecode DEX). También decodifica el AndroidManifest.xml binario.

Úselo para leer el manifiesto y volver a empaquetar aplicaciones modificadas.

Smali es el lenguaje similar al ensamblador del bytecode de Dalvik. Es detallado, pero permite realizar modificaciones precisas, como omitir una comprobación cambiando una comparación.

Puede aplicar parches al código smali y recompilar el APK para modificar el comportamiento de la aplicación.

jadx descompila directamente el DEX en Java legible. La versión con interfaz gráfica, jadx-gui, permite explorar clases, buscar cadenas y seguir llamadas a métodos.

Es la forma más rápida de comprender la lógica de una aplicación.

Un flujo alternativo convierte DEX a JAR con dex2jar y después lo abre en un descompilador de Java como JD-GUI.

jadx suele producir una salida más limpia, pero dex2jar resulta útil cuando jadx tiene dificultades.

El código descompilado suele contener secretos codificados directamente: claves de API, tokens, claves de cifrado y URL del backend.

Busque en el código fuente palabras clave como password, secret, apikey y http. Los desarrolladores creen erróneamente que el código compilado oculta estos datos.

Una vez decodificado el manifiesto, compruebe si hay:

• Componentes exportados.
• android:debuggable="true".
• android:allowBackup="true" (los datos pueden extraerse mediante una copia de seguridad).
• Permisos peligrosos o personalizados.

La configuración de seguridad de red controla el comportamiento de TLS. Una configuración que permita tráfico en texto claro o confíe en autoridades certificadoras añadidas por el usuario debilita la seguridad del transporte.

Estos ajustes facilitan mucho la interceptación, un tema que se tratará más adelante.

MobSF (Mobile Security Framework) automatiza el análisis estático. Cargue un APK y generará un informe sobre los permisos, los secretos codificados directamente, la configuración insegura y una puntuación de riesgo.

Es excelente para la clasificación inicial, aunque la revisión manual sigue permitiendo encontrar problemas más profundos.

Después de parchear smali, vuelva a compilar con apktool y vuelva a firmar el APK (Android rechaza las aplicaciones sin firma). Herramientas como apksigner o uber-apk-signer se encargan de la firma.

Este flujo de trabajo sustenta las pruebas de manipulación y las modificaciones en tiempo de ejecución.

Busque filtros de intención de enlaces profundos y usos de WebView. Los enlaces profundos mal configurados pueden abrir pantallas internas con datos controlados por un atacante.

Los WebViews que utilizan JavaScriptInterface o cargan contenido no confiable pueden exponer la aplicación a inyecciones y al robo de datos. Ambos son hallazgos habituales en las revisiones estáticas.

Recuerde qué herramienta proporciona código Java legible directamente desde un APK.

Ahora comprende el análisis estático de APK:

• Use apktool para smali y el manifiesto decodificado, y jadx para obtener Java legible.
• Busque secretos codificados de forma fija y revise el manifiesto para comprobar los indicadores de exportación, depuración y copia de seguridad.
• Compruebe la Network Security Config y use MobSF para realizar una evaluación inicial automatizada.
• Parchee smali y, después, vuelva a compilar y firmar para probar la manipulación.

A continuación manipulará una aplicación en ejecución con Frida.