Analyse statique des APK

L'analyse statique d'un APK consiste à examiner son code et ses ressources sans l'exécuter. L'objectif est de récupérer un code lisible, proche du code source, à partir du DEX compilé.

Cette analyse révèle les secrets codés en dur, les failles logiques et le comportement réel de l'application.

apktool décode un APK pour restituer des ressources lisibles et du smali (une forme lisible par l'humain du bytecode DEX). Il décode également le fichier binaire AndroidManifest.xml.

Utilisez-le pour lire le manifeste et recomposer des applications modifiées.

Le smali est un langage semblable à l'assembleur pour le bytecode Dalvik. Il est verbeux, mais permet d'effectuer des modifications précises, par exemple de contourner une vérification en modifiant une comparaison.

Vous pouvez modifier le smali et reconstruire l'APK pour changer le comportement de l'application.

jadx décompile directement le DEX en Java lisible. La version avec interface graphique, jadx-gui, vous permet de parcourir les classes, de rechercher des chaînes et de suivre les appels de méthodes.

C'est le moyen le plus rapide de comprendre la logique d'une application.

Une autre chaîne d'outils convertit le DEX en JAR avec dex2jar, puis l'ouvre dans un décompilateur Java comme JD-GUI.

jadx produit généralement une sortie plus propre, mais dex2jar est utile lorsque jadx rencontre des difficultés.

Le code décompilé contient souvent des secrets codés en dur : clés d'API, jetons, clés de chiffrement et URL de serveurs dorsaux.

Recherchez dans le code source des mots-clés comme password, secret, apikey et http. Les développeurs supposent à tort que le code compilé dissimule ces éléments.

Une fois le manifeste décodé, vérifiez les éléments suivants :

• Composants exportés.
• android:debuggable="true".
• android:allowBackup="true" (les données peuvent être extraites par sauvegarde).
• Autorisations dangereuses ou personnalisées.

La configuration de sécurité réseau contrôle le comportement de TLS. Une configuration qui autorise le trafic en clair ou qui fait confiance aux autorités de certification ajoutées par l'utilisateur affaiblit la sécurité des communications.

De tels paramètres facilitent considérablement l'interception (un sujet abordé ultérieurement).

MobSF (Mobile Security Framework) automatise l'analyse statique. Importez un APK et il génère un rapport sur les autorisations, les secrets codés en dur, les paramètres non sécurisés et un score de risque.

C'est un excellent outil de triage, même qu'un examen manuel permet encore de découvrir des problèmes plus profonds.

Après avoir corrigé le smali, reconstruisez l’application avec apktool et re-signez l’APK (Android refuse les applications non signées). Des outils comme apksigner ou uber-apk-signer prennent en charge la signature.

Ce processus est à la base des tests de falsification et des modifications à l’exécution.

Recherchez les filtres d’intention de liens profonds et l’utilisation de WebView. Des liens profonds mal configurés peuvent ouvrir des écrans internes avec des données contrôlées par un attaquant.

Les WebViews qui utilisent JavaScriptInterface ou qui chargent du contenu non fiable peuvent exposer l’application à des injections et à des vols de données. Ces deux problèmes sont fréquemment relevés lors des analyses statiques.

Rappelez-vous quel outil fournit directement du Java lisible à partir d’un APK.

Vous comprenez maintenant l’analyse statique des APK :

• Utilisez apktool pour le smali et le manifeste décodé, et jadx pour obtenir du Java lisible.
• Recherchez les secrets codés en dur et examinez dans le manifeste les indicateurs d’exportation, de débogage et de sauvegarde.
• Vérifiez la configuration de sécurité du réseau et utilisez MobSF pour un triage automatisé.
• Modifiez le smali, puis reconstruisez et re-signez l’application pour tester la falsification.

Vous allez maintenant manipuler une application en cours d’exécution avec Frida.