Seminar AG-301 Dalvik und DEX Reverse Engineering mit Androguard

Inhalte

• DEX-Grundlagen
  • Klassen, Methoden, Felder, Strings, Multi-DEX Implikationen.
• Disassembly
  • Instruktionsmodelle, Indizes/Offsets, Operanden, Literale.
• Bytecode-Parsing
  • Rohbytes vs. disassemblierte vs. dekompilierte Darstellung, Einsatz für Statistik und ML-nahe Features.
• Basic Blocks und CFG
  • Blockbildung, Sprünge, Switch-Payloads, Pfadexploration.
• Decompilation
  • Interpretation dekompilierter Quellen, Grenzen, Artefakte, AST-nahe Ausgaben.
• Debugging von Edge-Cases
  • Ungewöhnliche Manifest-/ZIP-Strukturen, Parserstress durch Malware-Techniken, saubere Fehlerdiagnose.

Agenda

• DEX- und Klassenmodell, Multi-DEX-Strategien
• Disassembly: Instruktions- und Operandensicht
• Übung: „API-Aufrufstelle im Bytecode finden und erklären“
• Bytecode-Parsing und Statistiken als Indikator
• Basic Blocks und CFG-Konzepte
• Übung: CFG für ausgewählte Methoden erzeugen und Pfade markieren
• Decompiler-Repräsentationen und AST-nahe Ausgaben
• Debugging: Edge-Cases und kaputte Artefakte
• Übung: Obfuscation-nahes Beispiel analysieren und Findings belegen

Praxisübungen mit Step-by-step

Übung 1: Bytecode-basierte API-Nutzung quantifizieren

1. Ziel-API definieren (z. B. Netzwerk, Crypto, IPC).
2. Methoden iterieren und Instruktionen disassemblieren.
3. API-Aufrufmuster identifizieren (invoke-Varianten).
4. Treffer zählen, Top-Caller ausgeben, Kandidaten für Deep Dive priorisieren.

Übung 2: CFG-gestützte Pfadanalyse

1. Zielmethode auswählen (Verdachtspunkt).
2. CFG erzeugen und Blockknoten identifizieren.
3. Branches annotieren: Bedingungen, Switch-Fälle.
4. Pfad bis zum Sink (z. B. Netzwerkcall) rekonstruieren.
5. Pfad als Evidence dokumentieren: Blockfolge + relevante Instruktionen.

Übung 3: Dekompiat vs. Bytecode abgleichen

1. Dekompierten Output für Zielmethode erzeugen.
2. Auffälligkeiten markieren: fehlende Zweige, umbenannte Variablen, Artefakte.
3. Bytecode-Realität prüfen: relevante Instruktionssequenzen.
4. Befund finalisieren: „dekompiliert sichtbar“ vs. „nur im Bytecode eindeutig“.