apk-redteam-pipeline

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando usar esta habilidade

Ative quando:

• Reconnaissance revelar 1+ aplicativos móveis sob o nome do desenvolvedor do alvo (página do desenvolvedor da Play Store)
• Um aplicativo web hospeda arquivos *.apk diretamente (por exemplo, Recruitz.apk encontrado em um subdomínio durante um engajamento)
• IDs de pacotes APK vazados via logs de "stealer" (por exemplo, padrões com.<brand>.app, com.<brand>.<sub-brand> no formato de dump de "stealer")
• Aplicativo voltado para o cliente, portal de revendedores/parceiros ou aplicativo complementar móvel para funcionários estiverem no escopo
• Programa de recompensa por bugs listar Android no escopo

NÃO use para:

• Alvos apenas iOS (pipeline diferente — engenharia reversa de IPA, MobSF, frida-ios-dump)
• Aplicativos web React Native / Flutter já cobertos por análise de bundle JS
• Avaliações apenas de lado do servidor

Estágio 0 — Inventário de todos os aplicativos de propriedade da organização

Raspagem da página do desenvolvedor da Play Store

# Find developer page from the target's brand name
curl -sk -A "Mozilla/5.0" "https://play.google.com/store/apps/developer?id=<Brand+Name>" -o /tmp/dev.html

# Extract package IDs
grep -oE 'id=[a-zA-Z0-9._]+' /tmp/dev.html | sort -u

Exemplo de saída (anonimizado — 7 pacotes típicos para um conglomerado multimarcas):

com.events.<brand>build
com.<corp>.<sub-brand-1>
com.<corp>.<sub-brand-2>
com.<corp>.<flagship>
com.<corp>.<product-line-1>
com.<corp>.<product-line-2>
com.<corp>.<sub-brand-3>

Cruzamento com logs de "stealer"

O formato de log de "stealer" inclui nomes de pacotes como *@com.<corp>.<app> — extraia-os de creds_userpass.txt se você tiver um dump vazado.

Palpites de permutação de marca (padrões de conglomerado multimarcas)

com.<brand>.app
com.<brand>.mobile  
com.<brand>.android
com.<brand>connect.app
in.<brand>.dealer
in.co.<brand>.app

Estágio 1 — Aquisição de APK

Primário: APKPure direto (sem autenticação necessária)

# Follow 302 redirects to actual download
curl -sk -L --max-time 60 \
  "https://d.apkpure.net/b/APK/<package_id>?version=latest" \
  -o "<package_id>.apk"

# Or via the legacy d-XX.winudf.com mirror chain (we saw this work)

Secundário: Pesquisa APKMirror

curl -sk -A "Mozilla/5.0" "https://www.apkmirror.com/?post_type=app_release&searchtype=apk&s=<brand>" \
  | grep -oE 'href="[^"]+\.apk[^"]*"' | sort -u

Terciário: Pesquisa web APKPure

curl -sk "https://apkpure.com/search?q=<brand>" | grep -oE 'data-dt-app="[^"]+"'

XAPK vs APK

• .xapk = um zip contendo múltiplos APKs divididos (base + config.armeabi-v7a + config.en + etc.)
• Descompacte o externo primeiro, depois descompacte o interno base.apk ou <package>.apk
• Alguns downloads do apkpure retornam XAPK truncado com assinatura EOCD ausente — sintoma de limitação de taxa do CDN; gire o IP e tente novamente, OU use 7z x que é mais tolerante que unzip

# Standard unzip (works for clean APK)
unzip -o <package>.apk -d extracted_<package>/

# For truncated/repaired XAPK
7z x -y <package>.apk -o"extracted_<package>"

# For nested XAPK
for inner in extracted_<package>/*.apk; do
  mkdir -p "extracted_<package>/$(basename "$inner" .apk)"
  unzip -o "$inner" -d "extracted_<package>/$(basename "$inner" .apk)"
done

Estágio 2 — Descompilação DEX (jadx)

# Install
brew install jadx          # macOS
# or
wget https://github.com/skylot/jadx/releases/latest/download/jadx-1.5.x.zip

# Decompile
jadx -d decompiled_<package>/ <package>.apk

# For XAPK that contains multiple APKs
for inner in extracted_<package>/*.apk; do
  jadx -d decompiled_<package>_$(basename "$inner" .apk)/ "$inner"
done

Para uma passagem rápida apenas de "strings" sem descompilação completa:

find extracted_<package> -name "classes*.dex" -exec strings -8 {} \; > strings_<package>.txt

…