AndroDR: Spyware Scanner & EDR

스마트폰에는 당신의 모든 정보가 담겨 있습니다. AndroDR은 바로 그 블랙박스입니다. 보안 스캐너이자 사건 기록 장치로서, "이 기기에서 당신을 감시하는 무언가가 있나요?"라는 질문에 답을 제시합니다.

AndroDR은 간단한 원칙에 기반하여 설계되었습니다. 당신의 데이터는 오직 당신의 기기에만 존재합니다. 전체 소스 코드는 공개적으로 검토 가능하며, 저희의 말을 믿을 필요 없이 직접 코드를 확인할 수 있습니다. 계정도, 분석 기능도, 원격 측정 데이터도 없습니다. AndroDR은 어떤 개인 정보도 서버에 전송하지 않습니다.

탐지 항목
▪ 스토커웨어 및 스파이웨어 — 설치된 앱을 엄선된 악성코드 및 스토커웨어 데이터베이스와 비교하여 검사하며, 앱 업데이트 없이 자동으로 업데이트됩니다.
▪ 사칭 앱 — 앱 서명 인증서를 알려진 악성 인증서 해시와 대조하여 검사합니다.
▪ 위험한 권한 패턴 — 접근성 + SMS + 마이크와 같은 감시 권한 조합
▪ 사이드로드된 앱 — 기기가 신뢰하는 앱 스토어를 통하지 않고 설치된 모든 앱
▪ 접근성 및 기기 관리자 권한 악용 — 스토커웨어가 사용하는 지속성 확보 수단
▪ 의심스러운 네트워크 활동 — 선택적 DNS 모니터는 Android의 VPN 서비스를 사용하여 로컬 전용 DNS 필터를 구축하고 알려진 명령 및 제어 서버에 대한 연결을 차단합니다. 이 앱은 VPN 서버 없이 휴대폰에서만 실행됩니다.
▪ 기기 취약점 - 화면 잠금, 부트로더, USB 디버깅, 보안 패치 최신 상태, CISA의 알려진 취약점 목록에 있는 CVE 노출 여부

중요한 순간을 위해
▪ 포렌식 타임라인 - 모든 설치, 권한 부여 및 발견 내역을 순서대로 기록하고 내보낼 수 있습니다.
▪ 분석가용 보고서 - MVT, MISP 및 SIEM 워크플로를 위해 텍스트 또는 STIX 2.1 형식으로 결과를 내보낼 수 있습니다.
▪ 버그 보고서 분석 - 요청 시에만 Android 버그 보고서에서 스파이웨어 징후를 심층 분석합니다.

대상
언론인, 활동가, 스토킹 피해자, IT 관리자 - 그리고 휴대폰에 설치된 앱이 실제로 무엇을 하는지 궁금했던 모든 사람

선택적 VPN 설명
이 네트워크 모니터는 Android의 VPN 서비스(VpnService)를 사용하여 기기의 DNS 쿼리를 검사합니다. 이 기능은 로컬 전용입니다. 원격 서버로 연결되는 터널이 없으며, DNS 트래픽만 들어오고 브라우징 데이터는 절대 전송되지 않습니다. 쿼리는 휴대폰의 위협 데이터베이스를 기준으로 검사된 후 정상적인 이름 확인을 위해 Google 공용 DNS(8.8.8.8)로 전달됩니다. 차단된 악성 도메인은 포렌식 타임라인에 기록됩니다. 선택 사항이며, 다른 모든 기능은 이 기능 없이도 작동합니다.

오픈 소스, 검증 가능
코드: github.com/yasirhamza/AndroDR
탐지 규칙은 공개되어 검토 가능하며 데이터 형태로 제공되므로 앱 업데이트를 기다리지 않고도 탐지 기능을 개선할 수 있습니다.

얼리 액세스
이번 테스트는 1.0 버전에 포함될 기능을 미리 사용해 보는 것입니다. 오탐이나 버그를 발견하셨나요? 앱 내 또는 GitHub에 신고해 주세요. 모든 신고는 모든 사용자의 탐지 정확도를 향상시키는 데 도움이 됩니다.