Introdução ao Mundo da Virtualização – Parte II

Por Egidijus Lileika, pesquisador sênior de segurança

 

Bem-vindo à segunda parte da nossa série sobre virtualização. O objetivo desta pesquisa é compreender o potencial da virtualização de aplicações como vetor de ataque. Nesta pesquisa, doze aplicativos de virtualização foram testados em casos de uso comuns e como ferramentas de hacking. O produto Application Protection for Android foi avaliado como solução de mitigação para todos os aplicativos de virtualização testados.

Avaliação de aplicativos de virtualização

Esta seção aborda os aplicativos de virtualização de código aberto e proprietário mais populares. Cada aplicativo é avaliado quanto à usabilidade, facilidade de compilação ou modificação e eficácia da Proteção de Aplicativos para Android na proteção contra ataques em ambientes virtualizados. Procuramos listar aplicativos que representem todos os diferentes tipos de métodos de virtualização. Alguns aplicativos são mais populares que outros, e a lista é apresentada em ordem aproximada de popularidade, do mais popular ao menos popular.

Open Source

App Virtual

App Virtual é um sistema Android parcialmente virtualizado. A lista completa de recursos pode ser encontrada no arquivo README.MD do projeto. Este projeto foi de código aberto até 2017 e, desde então, não foi atualizado. No entanto, clientes premium ainda podem obter versões mais recentes, agora com código-fonte fechado. Não há binários pré-compilados no GitHub. Compilar o código-fonte é complexo e muitos erros exigem correção manual.

O projeto possui muitas ramificações. seguindo o forquilha Na verdade, mantém suporte para versões do Android lançadas após 2017.

Nossas tentativas iniciais de compilar o VirtualApp falharam, mas o projeto é considerado uma inspiração para outros projetos de virtualização.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

Virtualxposed

O Virtualxposed VirtualXposed é mais uma virtualização parcial do Android baseada no projeto VirtualApp. A principal característica do VirtualXposed é permitir o uso do framework Xposed em um dispositivo sem root, dentro de um ambiente virtualizado. Este projeto apresenta problemas de estabilidade. O VirtualXposed falhou ao instalar o complemento Xposed em ambos os dispositivos utilizados para teste. Em um dos dispositivos, o VirtualXposed sequer conseguiu iniciar o aplicativo virtualizado. Muitos outros projetos tentam replicar a ideia do VirtualXposed.

A proteção de aplicativos para Android, quando acionada pelos mecanismos de segurança como virtualização, hooks, instrumentação dinâmica, root, verificação de assinatura e emulador, causa o travamento do aplicativo.

VirtualApp2022

VirtualApp2022 É inspirado no VirtualXposed e baseado no VirtualApp. Funciona perfeitamente no Android 11. No arquivo README.MD, o desenvolvedor afirma que há suporte para plugins do Xposed.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

Twoyi

Twoyi O Twoyi é um aplicativo do sistema Android que virtualiza imagens ROM completas. Por padrão, ele virtualiza o Android 8.1.0 com um aplicativo Superuser pré-instalado. Como o Twoyi pode virtualizar imagens ROM personalizadas, ele poderia, em teoria, ser usado para virtualizar ROMs modificadas com Magisk, executar o LSPosed ou outras ferramentas de ameaça.

A proteção de aplicativos para Android foi acionada: detecção de root e detecção de emulador.

Multiaplicativo

Multiaplicativo Funciona bem. É difícil determinar a técnica exata de virtualização que o MultiApp utiliza, mas provavelmente se trata de uma virtualização parcial do sistema Android ou da virtualização de aplicativos como um host. Este projeto é apenas parcialmente aberto: a interface do usuário e o inicializador do aplicativo são de código aberto, mas a lógica principal de virtualização é distribuída em arquivos JAR e APK pré-compilados.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

Tai Chi

Tai Chi é um aplicativo de virtualização inspirado no VirtualXposed que pode usar módulos Xposed em dispositivos sem root. Infelizmente, este projeto não é estável, pois não conseguiu instalar ou executar aplicativos virtualizados em nenhum dos dispositivos de teste.

Proteção de aplicativos para Android ativada: Detecção virtual

VirtualApk, Phantom e DroidPlugin

VirtualApk, Fantasma e DroidPlugin Os projetos são SDKs que permitem aos usuários criar aplicativos host que podem virtualizar aplicativos de destino dentro deles. Devido à falta de tempo, esses frameworks não foram testados.

A proteção de aplicativos para Android foi acionada devido a: – Detecção de virtualização

Fonte fechada

espaço paralelo, espaço dual, E outros

Outro

• https://play.google.com/store/apps/details?id=com.excelliance.multiaccounts&hl=en&gl=US
• https://play.google.com/store/apps/details?id=multi.parallel.dualspace.cloner&hl=en&gl=US
• https://play.google.com/store/apps/details?id=com.cloneapp.parallelspace.dualspace&hl=en&gl=US
• https://play.google.com/store/apps/details?id=com.excelliance.multiaccount&hl=en&gl=US
• https://play.google.com/store/apps/details?id=com.excean.parallelspace&hl=en&gl=US
• https://play.google.com/store/apps/details?id=do.multiple.cloner&hl=en&gl=US
• https://www.apkmirror.com/apk/nox-ltd/noxapp-multiple-accounts-clone-app/

Um dos aplicativos de virtualização mais populares da Google Play Store. Para usar o Parallel Space com o GameGuardian, é necessário baixar uma versão não oficial "otimizada" do aplicativo Parallel Space no fórum do GameGuardian.

Versões otimizadas para GameGuardian:

• https://gameguardian.net/forum/files/file/120-parallel-space-32-bit-support-64-bit-support/
• https://gameguardian.net/forum/files/file/213-dualspace-32-bit-support-64-bit-support/
• https://gameguardian.net/forum/files/file/194-virtual-space/
• https://gameguardian.net/forum/files/file/225-octopus-32-bit-support-64-bit-support/
• https://gameguardian.net/forum/files/file/122-go-multiple/

A proteção de aplicativos para Android foi acionada: detecção de virtualização e detecção de instrumentação dinâmica (adulteração de memória do Parallel Space detectada).

Núcleo Espacial

Núcleo Espacial é um novo aplicativo de virtualização parcialmente de código aberto. A lógica de virtualização é de código fechado. O aplicativo não pode ser compilado a partir do código-fonte, pois falta o código-fonte da biblioteca principal. As versões de demonstração são estáveis ​​e podem executar a maioria dos aplicativos testados. O menu contém um espaço reservado para o Xposed Manager, que ainda não está disponível.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

AppCloner

AppCloner É uma técnica de virtualização baseada em reempacotamento que reempacota o aplicativo alvo sob outro nome de pacote e o instala no sistema. A técnica de virtualização é simples, mas não pode ser usada em conjunto com outras ferramentas de ameaça para adulterar aplicativos alvo sem acesso root.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

Islândia

Islândia é uma solução de virtualização baseada em perfis de trabalho que isola aplicativos dentro desses perfis. Durante a proteção de aplicativos para virtualização do Android, os relatórios de criação de proteções indicaram que o Island foi usado para isolar aplicativos afetados de outros aplicativos e o GameGuardian foi usado para adulterar a memória do aplicativo sem ser detectado.

A proteção de aplicativos para Android foi acionada: detecção de virtualização

Resumo

A virtualização é útil tanto para usuários comuns quanto para agentes maliciosos. Muitos aplicativos de virtualização permitem que esses agentes criem virtualmente um ambiente malicioso em um dispositivo sem acesso root. Embora existam muitos projetos de código aberto, a maioria deles não pode ser facilmente compilada e modificada.

A virtualização é alcançada de diversas maneiras, desde o reempacotamento de aplicativos até a virtualização completa do sistema Android. Todos os aplicativos de virtualização que testamos para este artigo foram detectados pelo produto Application Protection for Android.

Recursos adicionais

https://github.com/pianpian315/VirtualAndroid/blob/master/Mobile%20Virtualization%20Technologies.pdf

https://github.com/ysrc/AntiVirtualApp

 

Assista à primeira parte da série, que você pode encontrar aqui. aqui..