Vlákno názorů k článku Daniel Dočekal: Antivirové aplikace na Androidu nemohou odstranit viry od zaty - no blbost, samozrejme. neuvedomil jsem si, ze bez...

Jak jde v Androidu monitorovat procesy? Android umožňuje vypsat seznam spuštěných aplikací, ale tam se instalace nijak neprojeví – spuštěna bude jen aplikace Google Play (resp. správce aplikací). Ten jenom stáhne a rozbalí instalační balík, žádný kód z toho balíku se tam nespouští (není tam žádná obdoba setup.exe). Navíc o těch aplikacích jsou k dispozici nějaké metainformace, ale snad nemůže mít jiná aplikace přístup k souborům té aplikace.

Tak zjistí. I bez root oprávnění můžete monitorovat procesy.

Prostě program čeká na výskyt instalačního procesu "xyzbžfň" jenže to nestačí. Pokud instalační služba běží správy SYSTEM antivir s nižšímy právy USER. Celé to zůstane na úrovni detekce a proces bude monitorován a nikoliv zablokován.

Pokud bude detekce pozitivní nakonec bude upozorněn uživatel s tím, že byl nalezeno nebezpečí a že by mallware měl být odinstalován.

Jenže to už je pozdě a potencionální program už poslal x MMS do Ghany nebo slíznul a do Číny či Ruska odeslal kontakty či SMS.

Takže zabezpečení internetového provozu antiviry spočívá v tom, že když mi v mobilu vznikne VPN síť a přesměruje na sebe veškerý provoz, nemám si toho všímat? Asi jediná užitečná funkce antivirů je, že odstraňují nejistotu. Před instalací antiviru si nikdo nemůže být jistý, zda v mobilu nemá vir. Po instalaci už má jistotu.

Předpokládám, že Google Play používá i v mobilu HTTPS, takže antivir stejně stahované aplikace nevidí. Dozví se o nich až při prvním spuštění, a pak by se stejně neměl dostat k jejím souborům.

Většina NoRoot internetového zabezpečení funguje tak, že aplikace vytvoří jakoby VPN spojení a tudíž přes ni teče veškerý provoz, který pak může filtrovat. Nicméně považuji pitomost za to platit, když podobné NoRoot firewally lze na Play sehnat i zadarmo.

Já jsem se ptal, jak antivir zjistí instalaci aplikace do Androidu. „Autoři antivirů tvrdí, že to nějak zjistí“ není odpovědí na tuto otázku. Odpovědí by byl třeba odkaz na API, které umožňuje v Google Play nebo instalačním systému něco takového udělat. Pak by samozřejmě byla otázka, jak je zabezpečené, že takhle nebude s instalací manipulovat nějaký záškodnický software.

Nezachytí

Na nerootlém telefonu má takový AV stejná práva jako třeba filemanager . Takže monitoruje, třeba složku download u prohlížeče a v nějakých intervalech kontroluje soubory *.apk jestli projdou nebo neprojdou blacklistem. Teoreticky by šli i analyzovat vnitřně jenže... podle čeho pozná že aplikace má rutinu na posílání SMS\MMS oprávněně? Nijak. Může to být in-app způsob platby takže by musel mít jakýsi whitelist.
To je před samotnou instalací.

Na instalaci si systém nenechá sáhnou. Takže tam Av jen budee přihlížet.

V momentě kdy už tam aplikace bude nainstalovaná. Opět jestli projdou nebo neprojdou blacklistem bude kontrolovat list nainstalovaných programů. Rozhodně nemá práva nato je zablokovat a sám bez uživatele ani odinstalovat.

Co tedy konkrétně antivir v nerootnutém mobilu umí? Skenovat soubory na SD kartě. A co dál? Když si nainstaluju škodlivou aplikaci z Google Play, udělá s tím antivir co? Já bych řekl, že vůbec nic, protože to nijak nezjistí.

Malware se může šířit i přes Google Play, pokud jej Google jako malware nerozpozná. Ale jde o to, že podle mne běžná aplikace může možná zjistit seznam nainstalovaných aplikací, ale určitě se nedostane k binárkám jiných nainstalovaných aplikací, takže antivir nemůže dělat nějakou analýzu binárky nebo hledat otisky.

Podstatné je to, že podle mne na nerootnutém systému nemůže antivir dělat ani to málo, co se mu v článku přiznává. Mě by zajímalo, co ty androidí antiviry doopravdy dělají. Mohou skenovat soubory na SD kartě – a to je všechno, ne?

Já teda považuju antivir za nesmysl globálně, bez ohledu na konkrétní systém. Ale uznávám, že na počítači s Windows, který má špatného správce, může antivir občas udělat i něco užitečného.

Tak samozřejmě, že blokovat intenetový provoz bez rootu nejde. Ale v tom není problém, protože aď Chrome, nebo Opera Mobile\Mini nemají autorun. Takže potencionálně závadný *.apk souborů můžete mít plnou kartu a nic se neděje.

Základ je ten, že musíte si povolit instalaci ze zdrojů mimo Google Play a posléze si ten mallware !!!sám!!! nainstalovat.

Jinak ...identifikovat malware, který si uživatel nainstaloval.... není takový problém , to se stejně děje expost podle definic nikoli analýzou kódu. tedy relativně pozdě a duplicitně. Protože mallware pro androida se nijak neskrývá takže co nejde uživatel najde AV.

Mohou blokovat nebezpečné internetové adresy. A mohou prohlížet stahované soubory a identifikovat malware, který si uživatel nainstaloval.
Jak může antivir na Androidu blokovat nebezpečné internetové nebo webové adresy? Jak může prohlížet stahované soubory? O nainstalovaných aplikacích toho také podle mne moc zjistit nejde...