مقال : تحليل البرمجيات الخبيثة على أجهزة الأندرويد (الجزء 1)

هذا التمرين يغطي تقنيات تحليل برمجيات الأندرويد الخبيثة باستخدام عينة برمجيات خبيثة خاصة. عند تشغيل البرمجيات الخبيثة على جهاز اندرويد فإنها تقوم بإعطاء شيل عكسي “reverse shell” للمهاجم. سنقوم بتحليل كافة وظائف التطبيق باستخدام كل من تقنيات التحليل كـ static و dynamic.

بإمكانك تحميل ملفات الدعم هنا: DOWNLOAD

• قائمة بانظمة الVMs المستخدمة : هذا التمرين المختبري يستخدم نظام Santoku Linux VM.
• الأدوات: AVD Manager, ADB, Wireshark, dex2jar, apktool
• الملفات المستخدمة في هذا المختبر: bake_the_cake.apk، apktool، tcpdump,

خطوات لضبط جهاز أندرويد إفتراضي, سنبدأ هذه التمرين عن طريق إنشاء محاكاة .بالانتقال إلى:

“Santoku>Development Tool”> ثم انقر على“Android SDK Manager” كما هو مبين ادناه

القيام بالخطوة السابقة سيفتح النافذة التالية.

إن نظام Santoku الافتراضي يتكون من صور “images” لعدد قليل من إصدارات الأندرويد. تبعا للمتطلبات، يجب علينا تحميل صور الأندرويد لإنشاء المحاكي المناسب. إذا لاحظت بالصورة أعلاه بأننا نصبنا مسبقا Android 4.4.2 ARM EABI v7a System Image. في حال تم ضبط كل شيء، انقر Tools في شريط القوائم بالجزء العلوي من النافذة ثم انقر فوق ” Manage AVDS” كما هو مبين أدناه.

هذا وسوف يقوم بفتح نافذة”Android Virtual Device(AVD) Manager” كما هو مبين أدناه.

كما نرى في الشكل أعلاه، لدينا بالفعل نطام محاكي واحد مضبوط الإعدادات. اما الآن، دعونا نقوم بإنشاء محاكي جديد بمواصفات من إختيارنا . إنقر فوق “create” وسترى النافذة التالية.

الآن، نحدد الخيارات المناسبة كما هو موضح أدناه.

كما ترون في الشكل أعلاه، قمنا بتسمية النظام المحاكي الخاص بنا بإسم “analysis_device”. بعد ذلك، نقوم بإختيار الجهاز بحجم “3.2inch HVGA” حتى يكون نظام المحاكي بحجم أصغر. وبعدها ، إخترنا الهدف ليكون “Android 4.4.2-Apl Level 19” . وحددنا سعة التخزين الداخلية في وحدة المعالجة “CPU” لتكون “500=MB” . وأخيرا, نعين”MB=100″ لبطاقة ال “SD”.

بعد التحقق من كل شيء، انقر على زر “موافق” لاستكمال التنصيب. بمجرد اإنتهائك من إعداد الخطوات الموضحة، يجب رؤية الجهاز الإفتراضي الإضافي كما هو مبين أدناه.

إختر المحاكي المنشئ حديثا وأنقر على زر “start” لبدء تشغيل المحاكي. يجب أن يظهر لك نافذة التأكيد التالية.

أنقر على زر “Launch” لبدء عملية المحاكاة، فيظهر لك شريط سير العملية.

تحلى بالصبر وأنتظر لفترة من الوقت حيث أن المحاكي قد يستغرق وقتا أطول ليبدأ عند تشغيله للمرة الأولى. وبمجرد ان تبدأ, يجب أن يظهر لك المحاكي كما هو مبين أدناه.

تهانينا! لقد قمت بإنشاء المحاكي الخاص بك لتحليل عينات برمجيات الأندرويد الخبيثة.. انتظرنا في الجزء الثاني من مقالة تحليل البرمجيات الخبيثة للأندرويد لشرح أعمق