• XSS.stack #1 – первый литературный журнал от юзеров форума

Статья Проверяем схожесть android ботов на коленке.

2c71e9

Газонокосильщик
КИДАЛА
Регистрация
19.04.2019
Сообщения
708
Реакции
682
Пожалуйста, обратите внимание, что пользователь заблокирован
Очень много людей пишут, мол проверь этот ли бот или не этот. Может вообще тут мульт продает. И я решил написать небольшой мануал как проверить самостоятельно это. Простите за ошибки, давно не спал)

56991da7821e60ef6f6f1da5a84f8c7a.jpg


В общем нам нужен будет только какой нибудь архиватор и блокнот. Ведь мы на коленке ^_^ Скажем ехали уже пьяные в электричке, а тут срочно нужно глянуть апк. Ну не беда. А блин еще apktool) ну это для второго этапа проверки.

Шаг первый который сразу должен придти вам в голову, это сверить ресурсы. Просто распаковываем два апк различных, обычным архивом и идем в папку res.
Что там интересного? И на что обратить внимание? (xml файды названия могут отличаться, если бот шифруется, но содержимое почти не меняется, сначало проверяем количество и выборочно содержимое)
  1. Папка drawable, mipmap. Там лежат картинки, сверяем на схожесть.
  2. Layout папка где хранятся описания всех окон(активити) тут, можно словить хороший детект для сверки)
  3. xml но если распаковывать так, там может и не быть файлов.
  4. Можем взять файл classes.dex и проверить его еще, но тут уже нужен будет софт. Кому интересно пишите, освещу как это делать.
Уф, мы на вскидку уже можем сказать похожи ли боты или нет. Но вдруг программист хитер? И пользуется морфером, модулями и так далее. Честно таких не встречал с 2014 года на форумах. Ну ладно, мож такой все таки родился ^_^

Сравниваем через apktool

Выполняем команду
apktool d apk_name_file.apk

у нас появилась папка рядом идем туда и опять же смотрим по группам файлов
  1. AndroidManifest.xml важны файл, смотрим теги activity service permission. Если софт одинаковый, их количество должно совпадать или быть +-1 или 2
  2. Заходим в smali. В этой папке если почти все директории схожи по названияем, то бот скорее всего один и тот же. В корневой папке лежат файлы библиотек, которые использует софт, а так же свой код.
  3. Опять же res папка, но тут уже нас реально интересует values. Провряйте на схожесть, айди не обязательно должны совпадать, но визуально должно быть схоже.
Вот собственно и краткий обзор, который вы и сами теперь можете проводить ^_^
P.S. Спасибо Ar3s за идею , так же coru.ws. Если ты невьебенный кодер, то мы тебя ждем ;)
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Еще есть есть sdhash и ssdeep.
Покажут в % схожеть бинарей
Там крипт может схожесть всю испортить ^_^
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Это понятно, имел ввиду ориг бинари
ни кто не дает, даже на обзоры оригинальные бинари, так как 90% кода явы можно тупо восстановить, а зачем это авторам? дают с proguard + собственный крипт
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Пишите нативом, такого нет, хотя есть один бот в привате, но для рынка это будет новое
Другой вопрос зачем натив, если быстрее можно все сделать на яве, причем тоже самое!
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх