Лорі Кірк: Runtime-маніпуляції в Android для обходу аналізу

Виступ на DEF CON 31 про нову техніку обфускації Android-застосунків — маніпуляції під час виконання (runtime manipulation). Такий підхід змінює поведінку програми під час роботи, порушуючи стандартний потік виконання та ускладнюючи аналіз у декомпіляторах і емуляторах.

У докладі пояснюється, як знаходити відповідні точки для таких маніпуляцій у коді Android і реалізовувати їх на C++: перехоплюючи Java-методи через JNI та працюючи з ними як із вказівниками. Це дозволяє приховувати сліди завантаження DEX-коду та ламати побудову перехресних посилань в інструментах реверс-інжинірингу.

Також представлено власну бібліотеку для Android 13, яка дає змогу дослідникам експериментувати з runtime-маніпуляціями та змінювати внутрішні структури Java-об’єктів.