Realizando Análise Estática de Aplicativos Android com MobSF

Quando Usar

Use esta habilidade quando:

• Realizar avaliação de segurança de arquivos APK ou AAB do Android antes do lançamento em produção
• Integrar varredura automatizada de segurança móvel em pipelines de CI/CD
• Realizar triagem inicial de aplicativos Android durante engajamentos de testes de penetração
• Revisar aplicativos Android de terceiros para riscos de segurança na cadeia de suprimentos

Não use esta habilidade como substituta para revisão manual de código ou análise dinâmica -- a análise estática do MobSF detecta vulnerabilidades baseadas em padrões, mas perde falhas de lógica em tempo de execução.

Pré-requisitos

• MobSF v4.x instalado via Docker (docker pull opensecurity/mobile-security-framework-mobsf) ou configuração local
• APK, AAB ou ZIP de código-fonte Android alvo
• Python 3.10+ para integração com a API REST do MobSF
• Descompilador JADX (incluído com o MobSF) para recuperação de código-fonte Java/Kotlin
• Acesso à rede à interface web do MobSF (padrão: http://localhost:8000)

Fluxo de Trabalho

Etapa 1: Implantar MobSF e Obter Chave de API

Inicie o MobSF usando Docker para varredura isolada e reproduzível:

docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest

Recupere a chave da API REST da interface web do MobSF em http://localhost:8000/api_docs ou da saída do console de inicialização. A chave de API permite a varredura programática.

Etapa 2: Carregar APK para Análise Estática

Carregue o APK alvo usando a API REST do MobSF:

curl -F "file=@target_app.apk" http://localhost:8000/api/v1/upload \
  -H "Authorization: <API_KEY>"

A resposta inclui o identificador hash usado para chamadas de API subsequentes. O MobSF decompila automaticamente o APK usando JADX, extrai o AndroidManifest.xml e indexa todos os recursos.

Etapa 3: Acionar e Recuperar Resultados da Varredura Estática

Inicie a varredura estática e recupere os resultados:

# Trigger scan
curl -X POST http://localhost:8000/api/v1/scan \
  -H "Authorization: <API_KEY>" \
  -d "scan_type=apk&file_name=target_app.apk&hash=<FILE_HASH>"

# Retrieve JSON report
curl -X POST http://localhost:8000/api/v1/report_json \
  -H "Authorization: <API_KEY>" \
  -d "hash=<FILE_HASH>"

Etapa 4: Analisar Descobertas Críticas

A análise estática do MobSF abrange estas categorias mapeadas para o OWASP Mobile Top 10 2024:

Análise de Manifest (M8 - Configuração Incorreta de Segurança):

• Atividades, serviços, receptores e provedores de conteúdo exportados sem salvaguardas de permissão
• android:debuggable="true" deixado habilitado
• android:allowBackup="true" habilitando extração de dados via ADB
• Falta de android:networkSecurityConfig para fixação de certificado

Análise de Código (M1 - Uso Incorreto de Credenciais):

• Chaves de API, senhas e tokens codificados no código-fonte Java/Kotlin
• Uso inseguro de SharedPreferences para armazenar dados sensíveis
• Implementações criptográficas fracas ou quebradas (modo ECB, IV estático, chaves codificadas)

Segurança de Rede (M5 - Comunicação Insegura):

• Falta de configuração de fixação de certificado
• Custom TrustManagers que aceitam todos os certificados
• Tráfego HTTP em texto claro permitido sem domínios de exceção

Análise Binária (M7 - Proteções Binárias Insuficientes):

• Falta de ofuscação ProGuard/R8
• Vulnerabilidades de biblioteca nativa (canários de pilha, bit NX, PIE)
• Ausência de detecção de depurador

Etapa 5: Gerar e Exportar Relatórios

Exporte as descobertas em vários formatos para comunicação com as partes interessadas:

# PDF report
curl -X POST http://localhost:8000/api/v1/download_pdf \
  -H "Authorization: <API_KEY>" \
  -d "hash=<FILE_HASH>" -o report.pdf

# JSON for programmatic processing
curl -X POST http://localhost:8000/api/v1/report_json \
  -H "Authorization: <API_KEY>" \
  -d "hash=<FILE_HASH>" -o report.json

Etapa 6: Integrar ao Pipeline de CI/CD

Adicione a varredura MobSF como um portão de compilação:

# GitHub Actions example
- name: MobSF Static Analysis
  run: |
    UPLOAD=$(curl -s -F "file=@app/build/outputs/apk/release/app-release.apk" \
      http://mobsf:8000/api/v1/upload -H "Authorization: $MOBSF_API_KEY")
    HASH=$(echo $UPLOAD | jq -r '.hash')
    curl -s -X POST http://mobsf:8000/api/v1/scan \
      -H "Authorization: $MOBSF_API_KEY" \
      -d "scan_type=apk&file_name=app-release.apk&hash=$HASH"
    SCORE=$(curl -s -X POST http://mobsf:8000/api/v1/scorecard \
      -H "Authorization: $MOBSF_API_KEY" -d "hash=$HASH" | jq '.security_score')
    if [ "$SCORE" -lt 60 ]; then exit 1; fi

Conceitos Chave

…