Análise estática de APKs

A análise estática de um APK consiste em inspecionar seu código e seus recursos sem executá-lo. O objetivo é recuperar um código semelhante ao código-fonte e legível a partir do DEX compilado.

Isso revela segredos codificados diretamente no código, falhas lógicas e o comportamento real do aplicativo.

O apktool decodifica um APK, recuperando recursos legíveis e smali (uma forma legível por humanos do código de bytes DEX). Ele também decodifica o AndroidManifest.xml binário.

Use-o para ler o manifesto e reempacotar aplicativos modificados.

Smali é a linguagem semelhante a assembly usada para o código de bytes Dalvik. Ela é detalhada, mas permite fazer edições precisas, como contornar uma verificação alterando uma comparação.

Você pode corrigir o smali e reconstruir o APK para alterar o comportamento do aplicativo.

O jadx descompila o DEX diretamente para Java legível. A versão com interface gráfica, jadx-gui, permite navegar pelas classes, pesquisar cadeias de texto e acompanhar chamadas de métodos.

É a maneira mais rápida de compreender a lógica de um aplicativo.

Um fluxo alternativo converte DEX em um JAR com o dex2jar e depois o abre em um descompilador Java, como o JD-GUI.

O jadx geralmente produz uma saída mais limpa, mas o dex2jar é útil quando o jadx encontra dificuldades.

O código descompilado frequentemente contém segredos codificados diretamente: chaves de API, tokens, chaves de criptografia e URLs de back-end.

Pesquise no código-fonte palavras-chave como password, secret, apikey e http. Os desenvolvedores supõem, de forma equivocada, que o código compilado oculta esses elementos.

Com o manifesto decodificado, verifique:

• Componentes exportados.
• android:debuggable="true".
• android:allowBackup="true" (os dados podem ser extraídos por meio de backup).
• Permissões perigosas ou personalizadas.

A configuração de segurança da rede controla o comportamento do TLS. Uma configuração que permite tráfego sem criptografia ou confia em CAs adicionadas pelo usuário enfraquece a segurança do transporte.

Essas configurações facilitam muito a interceptação (um tópico posterior).

O MobSF (Mobile Security Framework) automatiza a análise estática. Carregue um APK, e ele informará as permissões, os segredos codificados diretamente, as configurações inseguras e uma pontuação de risco.

Ele é excelente para a triagem, embora a revisão manual ainda encontre problemas mais profundos.

Depois de corrigir o smali, recompile com o apktool e assine novamente o APK (o Android recusa aplicativos sem assinatura). Ferramentas como apksigner ou uber-apk-signer cuidam da assinatura.

Esse fluxo sustenta testes de adulteração e modificações em tempo de execução.

Procure filtros de intenção de links profundos e o uso de WebView. Links profundos configurados incorretamente podem abrir telas internas com dados controlados pelo invasor.

WebViews com JavaScriptInterface ou que carregam conteúdo não confiável podem expor o aplicativo a injeção e roubo de dados. Ambos são achados comuns em análises estáticas.

Recapitule qual ferramenta fornece Java legível diretamente de um APK.

Agora você entende a análise estática de APKs:

• Use apktool para smali e o manifesto decodificado; jadx para Java legível.
• Procure segredos embutidos no código e revise no manifesto os sinalizadores de exportação, depuração e backup.
• Verifique a Configuração de Segurança de Rede; use o MobSF para uma triagem automatizada.
• Corrija o smali e depois recompile e assine novamente para testar adulterações.

A seguir, você manipulará um aplicativo em execução com o Frida.