Analisi statica degli APK

L'analisi statica di un APK consiste nell'esaminarne il codice e le risorse senza eseguirlo. L'obiettivo è recuperare dal DEX compilato codice leggibile simile al sorgente.

Questo rivela segreti hardcoded, difetti logici e il comportamento effettivo dell'app.

apktool decodifica un APK riportandolo a risorse leggibili e a smali (una forma leggibile dall'uomo del bytecode DEX). Decodifica anche il file binario AndroidManifest.xml.

Lo utilizzi per leggere il manifest e riconfezionare le app modificate.

Smali è il linguaggio simile all'assembly del bytecode Dalvik. È verboso, ma consente modifiche precise, ad esempio aggirare un controllo modificando un confronto.

Può applicare patch allo smali e ricostruire l'APK per alterare il comportamento dell'app.

jadx decompila direttamente il DEX in Java leggibile. La versione con interfaccia grafica, jadx-gui, consente di esplorare le classi, cercare stringhe e seguire le chiamate ai metodi.

È il modo più rapido per comprendere la logica di un'app.

Un flusso alternativo converte il DEX in un JAR con dex2jar, quindi lo apre in un decompiler Java come JD-GUI.

Di solito jadx produce un output più pulito, ma dex2jar è utile quando jadx incontra difficoltà.

Il codice decompilato contiene spesso segreti hardcoded: chiavi API, token, chiavi di cifratura e URL del backend.

Cerchi nel sorgente parole chiave come password, secret, apikey e http. Gli sviluppatori presumono erroneamente che il codice compilato nasconda questi dati.

Una volta decodificato il manifest, controlli:

• i componenti esportati;
• android:debuggable="true";
• android:allowBackup="true" (i dati possono essere estratti tramite backup);
• le autorizzazioni pericolose o personalizzate.

La Network Security Configuration controlla il comportamento di TLS. Una configurazione che consente il traffico in chiaro o considera attendibili le CA aggiunte dall'utente indebolisce la sicurezza del trasporto.

Queste impostazioni rendono molto più facile l'intercettazione (un argomento successivo).

MobSF (Mobile Security Framework) automatizza l'analisi statica. Carichi un APK e il programma segnala autorizzazioni, segreti hardcoded, impostazioni non sicure e un punteggio di rischio.

È ottimo per il triage, anche se una revisione manuale consente ancora di individuare problemi più profondi.

Dopo aver applicato le patch allo smali, ricostruisca l'APK con apktool e lo firmi nuovamente (Android rifiuta le app senza firma). Strumenti come apksigner o uber-apk-signer gestiscono la firma.

Questo flusso di lavoro è alla base dei test di manomissione e delle modifiche a runtime.

Cerchi i filtri degli intent per i deep link e l'utilizzo di WebView. Deep link configurati in modo errato possono avviare schermate interne con dati controllati dall'aggressore.

Le WebView con JavaScriptInterface o che caricano contenuti non attendibili possono esporre l'app a injection e furto di dati. Entrambi sono problemi comuni rilevati durante la revisione statica.

Ora comprende l'analisi statica degli APK:

• Usi apktool per lo smali e il manifest decodificato; jadx per ottenere codice Java leggibile.
• Cerchi segreti hardcoded e analizzi il manifest alla ricerca dei flag exported, debuggable e backup.
• Controlli la Network Security Config; usi MobSF per un triage automatizzato.
• Applichi patch allo smali, quindi ricostruisca e firmi nuovamente l'app per testare la manomissione.

Ora manipolerà un'app in esecuzione con Frida.