Mobile- Sandbox Ein Analyse- Framework für Android Applika6onen

Transkript

1 Mobile- Sandbox Ein Analyse- Framework für Android Applika6onen Vortragender: Hanno Lemoine, G Data SoAware AG 13. IT- Sicherheitskongress Bonn, 14. Mai 2013

2 Mo6va6on Ziele von Mobworm Gefahrenpoten6al bes6mmen Bekannte Analysetechniken auf Android übertragen Neuar6ge Analysetechniken entwickeln Zentrale einfach bedienbare online PlaTorm erstellen 13. Deutscher IT- Sicherheitskongress 2

3 Agenda Drei Analysesysteme Mobile Sandbox SAAF - Sta6c Android Analysis Framework DyAnA Framework 13. Deutscher IT- Sicherheitskongress 3

4 Mobile- Sandbox 13. Deutscher IT- Sicherheitskongress 4

5 Mobile- Sandbox Reports Screenshot Sta6sche Analyse Dynamische Analyse ltrace Ausgabe Netzwerkverkehr Virus Total Ergebnis 13. Deutscher IT- Sicherheitskongress 5

6 Webinterface 13. Deutscher IT- Sicherheitskongress 6

7 Reports 13. Deutscher IT- Sicherheitskongress 7

8 Screenshots 13. Deutscher IT- Sicherheitskongress 8

9 Sta6sche Analyse 13. Deutscher IT- Sicherheitskongress 9

10 Dynamische Analyse 13. Deutscher IT- Sicherheitskongress 10

11 Sta6sche & Dynamische Analyse Interagiert In geschützter Umgebung Mit Hilfe des MonkeyRunner Nutzt Daten aus der sta6schen Analyse, um die Codeabdeckung zu erhöhen Protokolliert Dalvik Aufrufe per DroidBox (modifiziert auf Android 2.3 und 4.1) Na6ve Aufrufe per ltrace Netzwerkverkehr 13. Deutscher IT- Sicherheitskongress 11

12 SAAF Sta6c Android Analysis Framework 13. Deutscher IT- Sicherheitskongress 12

13 SAAF Analysiert SMALI Code Features Automa6sche Analyse Manuelle Analyse Grafische Oberfläche APK File Browser Kontrollflussgraph (CFG) Ansicht Verschiedene Analyse Module Quick- Checks Program Slicing Kontrollflussgraph mit SMALI Code 13. Deutscher IT- Sicherheitskongress 13

14 Program Slicing Idee: Welche festkodier- ten Parameter werden bei einem Methoden- aufruf übergeben? Use- def Chains im Programmcode finden String s1 = "rm "; String s2 = "-rf /"; StringBuilder sb = new StringBuilder(); sb.append(s1); sb.append(s2); String cmd = sb.tostring(); Runtime.exec(cmd); 13. Deutscher IT- Sicherheitskongress 14

15 Program Slicing Idee: Welche festkodier- ten Parameter werden bei einem Methoden- aufruf übergeben? Use- def Chains im Programmcode finden Use: Runtime.exec() String s1 = "rm "; def String s2 = "-rf /"; def StringBuilder sb = new StringBuilder(); sb.append(s1); sb.append(s2); String cmd = sb.tostring(); Def: "rm rf /" Runtime.exec(cmd); use 13. Deutscher IT- Sicherheitskongress 15

16 Anwendungsbeispiele Festkodierte Telefonnummern (Anrufe/SMS) Ausgeführte Shell Befehle (rm rf /) Webadressen Befehle von C&C Servern Analyse jedes Methodenaufrufs und aller Parameter Evalua6on Insgesamt über APKs analysiert Analysedauer ca. 10 Sekunden pro APK 13. Deutscher IT- Sicherheitskongress 16

17 DyAnA Framework Dynamisches Android Analyse Framework 13. Deutscher IT- Sicherheitskongress 17

18 DyAnA Masterarbeit an der RUB im Februar 2012 Ziele Java- API und Funk6onsaufrufe mitschneiden Parameter und Rückgabewerte mitschneiden Java Reflec6on auflösen Verschleierungen auflösen Verschlüsselte Konstanten entschlüsseln 13. Deutscher IT- Sicherheitskongress 18

19 Implemen6erung 13. Deutscher IT- Sicherheitskongress 19

20 Implemen6erung 13. Deutscher IT- Sicherheitskongress 20

21 Implemen6erung 13. Deutscher IT- Sicherheitskongress 21

22 Implemen6erung 13. Deutscher IT- Sicherheitskongress 22

23 Implemen6erung 13. Deutscher IT- Sicherheitskongress 23

24 Implemen6erung 13. Deutscher IT- Sicherheitskongress 24

25 Implemen6erung 13. Deutscher IT- Sicherheitskongress 25

26 Weitere Anwendungsmöglichkeiten Untersuchen von Apps (BlackBox Audit) Ergänzung der manuellen, sta6schen Analysen durch dynamische Werte Ermioeln von Premium- SMS- Betrug Dynamisches extrahieren von Parametern (z.b. SMS- Nachricht) Absichern von Apps Herauspatchen von potenziell schädlichen Funk6onen (z.b. Unterbinden von SMS Versand) 13. Deutscher IT- Sicherheitskongress 26

27 Ausblick Mobile- Sandbox Version 2 mit neuen Features Sample Tausch Öffentlich verfügbare API Malware Erkennung durch maschinelles Lernen DroidBox für Android 4.1 Release voraussichtlich Ende Mai 13. Deutscher IT- Sicherheitskongress 27

28 Ausblick SAAF OpenSource seit Ende April Einbindung in Mobile- Sandbox Entwicklung einer Heuris6k auf Basis der Analysen DyAnA Framework Open Source ab Oktober 2013 Weiterentwicklung stockt Suche nach Interessierten und Partnern 13. Deutscher IT- Sicherheitskongress 28

29 Zusammenfassung Mobile- Sandbox hop://mobilesandbox.org/ Michael Spreitzenbarth, Thomas Schreck und Florian Echtler Webservice, sta6sche und dynamische Analyse sowie Detek6on mioels maschinellem Lernen SAAF hop://code.google.com/p/saaf/ Johannes Hoffmann, Tilman Bender, Chris6an Kröger und Hanno Lemoine Veröffentlicht unter GPL Sta6sche Analyse, Program Slicing DyAnA Framework hop://h- lemoine.de/dyana/ Hanno Lemoine Veröffentlichung voraussichtlich Oktober 2013 unter Open Source Lizenz Kostenlose Vorabversionen möglich Dynamische Analyse 13. Deutscher IT- Sicherheitskongress 29

30 Veröffentlichungen Mo- bi- le- Sand- box: Look- ing Deeper into An- dro- id Ap- p- li- ca- <- ons von Micha- el Spreit- zen- barth, Flo- ri- an Echt- ler, Tho- mas Schreck, Felix C. Frei- ling, Jo- han- nes Hoff- mann Sli- cing Dro- ids: Pro- gram Sli- cing for Smali Code von Jo- han- nes Hoff- mann, Mar- 6n Uss- ath, Micha- el Spreit- zen- barth, Thors- ten Holz Beide auf dem 28 th In- ter- na- 6o- nal ACM Sym- po- si- um on Ap- p- lied Com- pu- 6ng (SAC), Co- im- bra, Por- tu- gal, March Deutscher IT- Sicherheitskongress 30

31 Danke Vielen Dank an Alle Mitwirkenden Prof. Holz und Prof. Freiling BMBF BSI Fragen? Jetzt Später an 13. Deutscher IT- Sicherheitskongress 31

32 Zusammenfassung Mobile- Sandbox hop://mobilesandbox.org/ Michael Spreitzenbarth, Thomas Schreck und Florian Echtler Webservice, sta6sche und dynamische Analyse sowie Detek6on mioels maschinellem Lernen SAAF hop://code.google.com/p/saaf/ Johannes Hoffmann, Tilman Bender, Chris6an Kröger und Hanno Lemoine Veröffentlicht unter GPL Sta6sche Analyse, Program Slicing DyAnA Framework hop://h- lemoine.de/dyana/ Hanno Lemoine Veröffentlichung voraussichtlich Oktober 2013 unter Open Source Lizenz Kostenlose Vorabversionen möglich Dynamische Analyse 13. Deutscher IT- Sicherheitskongress 32 Fragen an