VirusTotal verlässlich für APK Scans?

[M-X]

Es geht nicht! Unter diesem Aspekt wäre jede App auch Open Spurce, was sie aber nachweislich nicht ist. Ganz einfach.

Klar geht das... https://www.tutorialspoint.com/how-...ode-files-into-corresponding-java-source-code

 

[Ro155]

Was auch immer dieses Tool macht, du kannst eine classes.dex nicht dekompilieren > Java Code erstellen > wieder zu classes.dex kompilieren. Es geht nicht! Unter diesem Aspekt wäre jede App auch Open Spurce, was sie aber nachweislich nicht ist. Ganz einfach.

Und wie genau funktioniert der Revanced Manager, der die ORIGINALE YT App vom System hernimmt und dann das Verhalten grundsätzlich ändert und als neue YT-MOD APK rausschreibt?
Analog Lucky Patcher, der mit vielen Apps funktioniert um Werbung zu entfernen?
Siehe auch hier: https://nikhil-gandla777.medium.com...x2jar-and-jd-gui-in-your-windows-47ea1ce3c410

Dieses Tool macht es sogar online for free: https://www.decompiler.com/
Einfach mal von apkmirror eine APK laden (zB Youtube) und per Drag/Drop hochlade. Danach hast Du die ganzen Sourcen in Plaintext!

Dass nur der Name mit einer DB abgeglichen würde, halte ich für groben Unfug. Dann könnten Programmierer von Viren ja einfach "Microsoft Word" in den Virus-exe Namen schreiben. Also das wäre ein bisschen arg billig :

 

[siggi%%44]

Dann brauchen wir ja keine Open Source Apps mehr.

 

[Sandro_Suchti]

@siggi%%44 Open-Source heißt ja nicht nur das der Quellcode einsehbar ist, das ist ein Lizenzmodell.

 

[siggi%%44]

Junge, Junge, Junge...

Ergänzung (30. August 2023)

Dass nur der Name mit einer DB abgeglichen würde, halte ich für groben Unfug.

Du kannst bei Android NICHT denselben Paketnamen verwenden!!!

Ergänzung (30. August 2023)

Dass nur der Name mit einer DB abgeglichen würde,

Lies es!! Punkt 4!!

https://www.kuketz-blog.de/truegerische-sicherheit-virenscanner-apps-sind-schlichtweg-ueberfluessig/

Ich hasse diesen Typen zwar, aber hierbei hat er leider recht.

 

[Ro155]

OK, scheinbar scheiden sich die Geister hier enorm - ist definitiv spannend.

Dann aber noch eine logisch gedachte Rückfrage:
Wenn doch nur "Name" oder Signatur einer Executable mit einer DB abgeglichen würde - wieso werden dann teils offizielle Treiber o.ä. als Schadsoftware erkannt? Wieso, wenn diese doch von Intel & Co stammen, werden diese Signaturen nicht einfach bei Kaspersky etc auf der Whiteliste hinterlegt?

Ich ging bisher der Annahne, dass hier gewisse Heuristiken zuschlagen, die man nicht einfach elimieren könne, da sie andernfalls bei "echter" Schadsoftware nicht mehr anschlagen würden...?

Aber wie geschrieben:
Dieses Tool macht es sogar online for free: https://www.decompiler.com/
Einfach mal von apkmirror eine APK laden (zB Youtube) und per Drag/Drop hochlade. Danach hast Du die ganzen Sourcen in Plaintext! Probier es doch gerne einfach selbst, Du wirst das dann selbst sehen, dass dort die Java CLASS Files rauspurzeln...

 

[M-X]

Lies es!! Punkt 4!!

https://www.kuketz-blog.de/truegerische-sicherheit-virenscanner-apps-sind-schlichtweg-ueberfluessig/

Ich hasse diesen Typen zwar, aber hierbei hat er leider recht.

Warum den eigentlich der aggressive Ton, hat dir hier jemand was getan?

Der Beitrag handelt doch von Virenscanner APPs also Scanner auf Mobile Platformen wie iOS oder Android. Durch das Sandboxing ergibt es dort natürlich wenig sinn. Das hat aber nichts mit Virus Total zu tun...

 

[Ro155]

Korrekt - vielmehr war ja die Frage, welche Möglichkeiten es bei Schad-SW überhaupt nocht gibt, Unfug zu treiben, wenn VirusTotal mit all seinen Scannern (offline, d.h. abseits vom Handy) und Decompilierung der Sourcen nichts findet (und wie DU schon schriebst - die App sowieso in der Sandbox ausgeführt wird).

 

[siggi%%44]

Durch das Sandboxing

Das hat absolut gar nichts(!) mit der Dekompilierung einer APK zu tun. Die Android Sandbox ist was völlig anderes!

Dort ist im Log zu sehen, dass die dex files decompliert werden und der Code für werbefreie Videowiedergabe und mehr Konfigurationsmöglichkeiten hineingeschrieben werden.

Wo? Ich sehe nichts derartiges in den Logs. Ein Patch (*.jar-Datei) ist ca. 3-4MB groß, entpackt knapp 10MB. Die neu kompilierte/gepatchte APK ist ca. 10MB größer. Mmhhhh... mal kurz nachdenken... wird der Code umgeschrieben oder die APK nur ergänzt???

 

[PC295]

wird der Code umgeschrieben oder die APK nur ergänzt???

beides!

 

[siggi%%44]

Dann herzlichen Glückwunsch! Denn offensichtlich wurde hier eine mobile Version von Android Studio entwickelt, die sogar einfacher und leistungsstärker ist als das Original. Natürlich weiß nur noch keiner. Bis jetzt.
Glaub mir, es wird ergänzt.

Du kannst doch alles dekompilieren. Dann zeig uns doch mal den umgeschriebenen Java-Code. Sollte ja für dich kein Problem sein. Eigentlich reicht zwar ein Blick in *.jar-Datei aus, um deine Behauptung zu widerlegen, aber ich lasse mich gerne vom Gegenteil überzeugen.

 

[blablub1212]

Man kann Binaries in den meisten Fällen rein technisch dekompilieren. Aber das bedeutet nicht, dass der Code danach auch sinnvoll nutzbar ist.

In der Regel nutzen Entwickler heutzutage Techniken aus dem Bereich Application Shielding (https://promon.co/resources/security-software-glossary/application-shielding/).

Gebräuchlich und weit verbreitet ist bspw. Code Obfuscation (https://en.m.wikipedia.org/wiki/Obfuscation_(software)).

 

[M-X]

Das hat absolut gar nichts(!) mit der Dekompilierung einer APK zu tun. Die Android Sandbox ist was völlig anderes!

Das habe ich ja auch gar nicht geschrieben. Das Sandboxing bezog sich auf das Thema Virenscanner auf Mobile Plattformen und nicht auf das Dekompilieren von APKs.

Vielleicht solltest du die Beiträge einfach mal lesen anstatt von oben herab arrogant und aggressiv zu antworten.

 

[siggi%%44]

Vielleicht solltest du die Beiträge einfach mal lesen anstatt von oben herab arrogant und aggressiv zu antworten.

vielleicht sollten sich einige User mit dem Thema richtig auseinandersetzen, bevor so sinnlose Behauptungen aufgestellt werden, die mit sinnlosen Diskussionen untermauert werden

Ergänzung (1. September 2023)

Virus Total macht nämlich nichts anderes als eine App

 

[Ro155]

Virus Total macht nämlich nichts anderes als eine App

Eine Virus-App auf dem Handy kann aufgrund des Sandboxings doch, das haben wir ja schon besprochen, nicht auf andere Apps oder Daten zugreifen, wenn keine Rechte erteilt werden - daher ist eine Virus App sehr limitiert.

VT selbst ist doch eine Website mit einem Server, auf dem ganz andere Scanner laufen?! Dort können ja auch APK Malware Scanner laufen, die für Windows / Linux programmiert sind und daher die APK decompilieren und dann nach schadhaftem Code schauen.

Oder möchtest Du sagen, dass VT nur Android Virus Apps selbst einsetzt, weswegen das verhalten identisch sein soll!?

 

[siggi%%44]

Eine Virus-App auf dem Handy kann aufgrund des Sandboxings doch, das haben wir ja schon besprochen, nicht auf andere Apps oder Daten zugreifen, wenn keine Rechte erteilt werden - daher ist eine Virus App sehr limitiert.

Ja, genau. Das haben wir schon "besprochen". Eine App hat keinen Zugriff auf Appdaten. Aber: DARUM GEHT ES HIER DOCH GAR NICHT!

Es geht darum, ob eine AV App eine APK dekompiliert. Tut sie aber nicht. Virus Total ebenso wenig. Also AV App = Virus Total!

VT selbst ist doch eine Website mit einem Server, auf dem ganz andere Scanner laufen?!

Nein

Dort können ja auch APK Malware Scanner laufen, die für Windows / Linux programmiert sind und daher die APK decompilieren und dann nach schadhaftem Code schauen.

Eine APK - egal wo sie gespeichert ist - kann NICHT KOMPLETT dekompiliert werden. Könnte man den Code auf diese Weise herausfiltern, wäre jede App auch Open Source, weil die Source ja dann problemlos extrahiert werden kann. Das ist aber nicht so. Darum gint es ja extra Apps, die Open Source sind, weil es i.d.R. sonst keinen Weg gibt, an den Code zu kommen.

Du kannst ohne Root auf jede APK auf deinem Handy zugreifen, weil dieses eine Verzeichnis bei jedem Android der letzten 15 Jahre nur als read-only gemountet ist. Du brauchst nur einen richtigen Dateibrowser oder ADB, um auf die APK zuzugreifen. Daher kann das auch jede AV App. Aber sie kann die APKs NICHT dekompilieren.

Ergänzung (2. September 2023)

APK => signiertes ZIP-Archiv bestehend aus:

• Androidmanifest.xml
• /META-INF
• /lib
• /res
• classes.dex
• resources.arsc
• andere

Eine APK vernünftig zu öffnen, nennt sich auch dekompilieren. Aber hier geht es um die classes.dex (teilweise dekompilierbar) und die Libraries, die "disassembled" (dekompiliert) werden. Spätestens hier hast du null Chance, an den C++ Code zu kommen.