Detecção de Comportamento de Malware em Dispositivos Móveis

Quando Usar

Use esta habilidade quando:

• Analisar aplicativos móveis suspeitos enviados por usuários ou descobertos durante a resposta a incidentes
• Monitorar a frota móvel corporativa em busca de indicadores de aplicativos maliciosos
• Realizar triagem de malware em amostras APK/IPA
• Investigar exfiltração de dados ou acesso não autorizado ao dispositivo a partir de aplicativos móveis

Não use esta habilidade para criar, aprimorar ou distribuir malware. Esta habilidade é apenas para análise defensiva.

Pré-requisitos

• Ambiente de análise isolado (dispositivo dedicado ou emulador, não conectado a redes de produção)
• MobSF para análise estática+dinâmica automatizada
• Frida/Objection para monitoramento de comportamento em tempo de execução
• Wireshark/tcpdump para captura de tráfego de rede
• Emulador Android (AVD) ou Genymotion para execução segura
• Chave de API do VirusTotal para consultas de hash

Fluxo de Trabalho

Etapa 1: Análise de Indicadores Estáticos

# Hash the sample
sha256sum suspicious.apk

# Check VirusTotal
curl -s "https://www.virustotal.com/api/v3/files/<SHA256>" \
  -H "x-apikey: <VT_API_KEY>" | jq '.data.attributes.last_analysis_stats'

# Extract permissions from AndroidManifest.xml
aapt dump permissions suspicious.apk

# High-risk permission combinations:
# READ_SMS + INTERNET = SMS stealer
# RECEIVE_SMS + SEND_SMS = SMS interceptor/banker trojan
# ACCESSIBILITY_SERVICE + INTERNET = overlay attack capability
# CAMERA + RECORD_AUDIO + INTERNET = spyware
# DEVICE_ADMIN + INTERNET = ransomware capability
# READ_CONTACTS + INTERNET = contact exfiltration

Etapa 2: Verificação Automatizada de Malware com MobSF

# Upload to MobSF
curl -F "file=@suspicious.apk" http://localhost:8000/api/v1/upload \
  -H "Authorization: <API_KEY>"

# Review malware indicators in report:
# - Hardcoded C2 server addresses
# - Dynamic code loading (DexClassLoader)
# - Reflection-based API calls (to evade static analysis)
# - Encrypted/obfuscated payloads
# - Root detection (malware often checks for root)
# - Anti-emulator checks (malware evades sandbox)

Etapa 3: Monitoramento de Comportamento de Rede

# Start packet capture on emulator
tcpdump -i any -w malware_traffic.pcap

# Or use mitmproxy for HTTP/HTTPS
mitmproxy --mode transparent

# Monitor for:
# - DNS lookups to suspicious/newly registered domains
# - Connections to known C2 infrastructure
# - Data exfiltration patterns (large POST requests)
# - Beaconing behavior (regular interval connections)
# - Non-standard ports and protocols
# - Domain Generation Algorithm (DGA) patterns

Etapa 4: Monitoramento de Comportamento em Tempo de Execução com Frida

// monitor_malware.js - Monitoramento abrangente de comportamento
Java.perform(function() {
    // Monitorar acesso a SMS
    var SmsManager = Java.use("android.telephony.SmsManager");
    SmsManager.sendTextMessage.overload("java.lang.String", "java.lang.String",
        "java.lang.String", "android.app.PendingIntent", "android.app.PendingIntent")
        .implementation = function(dest, sc, text, sent, delivery) {
            console.log("[SMS] Enviando para: " + dest + " Texto: " + text);
            // Permitir ou bloquear com base nas necessidades de análise
            return this.sendTextMessage(dest, sc, text, sent, delivery);
        };

    // Monitorar operações de arquivo
    var FileOutputStream = Java.use("java.io.FileOutputStream");
    FileOutputStream.$init.overload("java.lang.String").implementation = function(path) {
        console.log("[ARQUIVO-ESCRITA] " + path);
        return this.$init(path);
    };

    // Monitorar conexões de rede
    var URL = Java.use("java.net.URL");
    URL.openConnection.overload().implementation = function() {
        console.log("[REDE] " + this.toString());
        return this.openConnection();
    };

    // Monitorar carregamento dinâmico de código
    var DexClassLoader = Java.use("dalvik.system.DexClassLoader");
    DexClassLoader.$init.implementation = function(dexPath, optDir, libPath, parent) {
        console.log("[DEX-LOAD] Carregando: " + dexPath);
        return this.$init(dexPath, optDir, libPath, parent);
    };

    // Monitorar execução de comandos
    var Runtime = Java.use("java.lang.Runtime");
    Runtime.exec.overload("java.lang.String").implementation = function(cmd) {
        console.log("[EXEC] " + cmd);
        return this.exec(cmd);
    };

    // Monitorar acesso à câmera/áudio
    var Camera = Java.use("android.hardware.Camera");
    Camera.open.overload("int").implementation = function(id) {
        console.log("[CÂMERA] Câmera aberta: " + id);
        return this.open(id);
    };


…