Engenharia Reversa de Malware Android com JADX

Quando Usar

• Um APK Android suspeito foi reportado como malicioso ou sinalizado pela detecção de ameaças móveis
• Análise de trojans bancários Android, spyware, SMS stealers ou amostras de adware
• Determinar quais dados um aplicativo coleta, para onde os envia e quais permissões abusa
• Extrair endereços de servidores C2, chaves de criptografia e dados de configuração de malware Android
• Compreender mecanismos de ataque de overlay usados por trojans bancários

Não use para analisar bibliotecas nativas ofuscadas (.so) dentro de APKs; use Ghidra ou IDA para análise de binários ARM nativos.

Pré-requisitos

• JADX 1.5+ instalado (baixe em https://github.com/skylot/jadx/releases)
• Android SDK com aapt2 e adb para inspeção de APK
• apktool para desmontagem completa do APK, incluindo código smali e recursos
• Python 3.8+ com a biblioteca androguard para análise automatizada de APK
• Frida para instrumentação dinâmica (opcional, para análise em tempo de execução)
• Emulador Android isolado (Genymotion ou Android Studio AVD) sem serviços Google

Fluxo de Trabalho

Passo 1: Extrair Metadados e Permissões do APK

Examine a estrutura do APK e o AndroidManifest.xml:

# Get APK basic info
aapt2 dump badging malware.apk

# Extract AndroidManifest.xml
apktool d malware.apk -o apk_extracted/ -f

# Analyze permissions with androguard
python3 << 'PYEOF'
from androguard.core.apk import APK

apk = APK("malware.apk")

print(f"Package:    {apk.get_package()}")
print(f"App Name:   {apk.get_app_name()}")
print(f"Version:    {apk.get_androidversion_name()}")
print(f"Min SDK:    {apk.get_min_sdk_version()}")
print(f"Target SDK: {apk.get_target_sdk_version()}")

# Dangerous permissions
dangerous_perms = {
    "android.permission.READ_SMS": "SMS theft",
    "android.permission.RECEIVE_SMS": "SMS interception",
    "android.permission.SEND_SMS": "Premium SMS fraud",
    "android.permission.READ_CONTACTS": "Contact harvesting",
    "android.permission.READ_CALL_LOG": "Call log theft",
    "android.permission.RECORD_AUDIO": "Audio surveillance",
    "android.permission.CAMERA": "Camera surveillance",
    "android.permission.ACCESS_FINE_LOCATION": "Location tracking",
    "android.permission.READ_PHONE_STATE": "Device fingerprinting",
    "android.permission.SYSTEM_ALERT_WINDOW": "Overlay attacks",
    "android.permission.BIND_ACCESSIBILITY_SERVICE": "Full device control",
    "android.permission.REQUEST_INSTALL_PACKAGES": "Sideloading apps",
    "android.permission.BIND_DEVICE_ADMIN": "Device admin abuse",
}

print("\nDangerous Permissions:")
for perm in apk.get_permissions():
    if perm in dangerous_perms:
        print(f"  [!] {perm}")
        print(f"      Risk: {dangerous_perms[perm]}")
    elif "android.permission" in perm:
        print(f"  [*] {perm}")

# Components
print("\nActivities:")
for act in apk.get_activities():
    print(f"  {act}")

print("\nServices:")
for svc in apk.get_services():
    print(f"  {svc}")

print("\nReceivers:")
for rcv in apk.get_receivers():
    print(f"  {rcv}")
PYEOF

Passo 2: Descompilar com JADX

Abra o APK no JADX para análise de código fonte Java/Kotlin:

# Open in JADX GUI
jadx-gui malware.apk

# Command-line decompilation for scripted analysis
jadx -d jadx_output/ malware.apk --show-bad-code

# Decompile with all options
jadx -d jadx_output/ malware.apk \
  --deobf \
  --deobf-min 3 \
  --deobf-max 64 \
  --show-bad-code \
  --threads-count 4

# The output directory structure:
# jadx_output/
#   sources/           <- Decompiled Java source code
#     com/malware/app/
#       MainActivity.java
#       C2Service.java
#       SMSReceiver.java
#   resources/         <- Decoded resources (layouts, strings, assets)
#     AndroidManifest.xml
#     res/
#     assets/

Passo 3: Identificar Funcionalidade Maliciosa

Procure por padrões de código suspeitos nas fontes descompiladas:

# Procurar por comunicação de rede
grep -rn "HttpURLConnection\|OkHttpClient\|Retrofit\|Volley\|URL(" jadx_output/sources/

# Procurar por operações de SMS
grep -rn "SmsManager\|getDefault().sendTextMessage\|SMS_RECEIVED" jadx_output/sources/

# Procurar por código de ataque de overlay
grep -rn "SYSTEM_ALERT_WINDOW\|TYPE_APPLICATION_OVERLAY\|WindowManager.LayoutParams" jadx_output/sources/

# Procurar por abuso de serviço de acessibilidade
grep -rn "AccessibilityService\|onAccessibilityEvent\|performAction" jadx_output/sources/

# Procurar por exfiltração de dados

…