Seminar MobSF Malware- und Privacy-Analyse mobiler Apps

Seminarprofil

Das Seminar verbindet MobSF-Analysebereiche zu einer methodischen Bewertung verdächtiger oder datenschutzkritischer Android- und iOS-Anwendungen. Berechtigungen, Tracker, Domains, eingebettete SDKs, Signaturen, Verhaltensindikatoren, lokale Daten und Netzverkehr werden korreliert. Die Übungen erfolgen ausschließlich mit vorbereiteten Trainingsartefakten in isolierten Laboren und legen Wert auf Beweiskette, Datenschutz und sichere Handhabung.

Inhaltsübersicht

• Sichere Annahme und Laborgrenzen
• Statische Triage
• Privacy-Analyse
• Dynamische Verhaltensanalyse
• Korrelation und Bewertung
• Bericht und sichere Nachbereitung

Lernziele

• verdächtige mobile Artefakte sicher erfassen, klassifizieren und analysieren
• statische Indikatoren, Verhaltensregeln, Tracker- und Privacy-Befunde korrelieren
• dynamische Beobachtungen von bloßen Verdachtsmomenten unterscheiden
• einen nachvollziehbaren Malware- und Privacy-Bericht mit Beweiskette erstellen

Seminarinhalte

Modul 1: Sichere Annahme und Laborgrenzen

1. Schritt 1: Herkunft, Prüfsumme, Aufbewahrung und Freigabe des Artefakts dokumentieren.
2. Schritt 2: Analysehost, Netzwerk, Testkonten und Geräte von produktiven Umgebungen trennen.
3. Schritt 3: Erlaubte externe Prüfungen und Datenübermittlungen vorab festlegen.
4. Schritt 4: Beweiskette und Rollen für Analyse, Freigabe und Löschung definieren.

Modul 2: Statische Triage

1. Schritt 1: Paketdaten, Signatur, Berechtigungen und exponierte Komponenten erfassen.
2. Schritt 2: Tracker, Domains, URLs, eingebettete SDKs und verdächtige Dateien sichten.
3. Schritt 3: APKiD-, Verhaltens- und Codeindikatoren auf Packen, Verschleierung oder Schadfunktionen prüfen.
4. Schritt 4: Hypothesen nach möglicher Datenerhebung, Persistenz, Kommunikation und Missbrauch ordnen.

Modul 3: Privacy-Analyse

1. Schritt 1: Angeforderte Berechtigungen mit sichtbarer App-Funktion abgleichen.
2. Schritt 2: Identifikatoren, Standort-, Kontakt-, Medien- und Geräteinformationen als Datenklassen erfassen.
3. Schritt 3: Tracker- und SDK-Nutzung nach Zweck, Umfang und technischer Notwendigkeit bewerten.
4. Schritt 4: Lokale Speicherung, Protokollierung und Übertragung personenbezogener Daten untersuchen.

Modul 4: Dynamische Verhaltensanalyse

1. Schritt 1: Einen sicheren Bedienpfad mit synthetischen Testdaten definieren.
2. Schritt 2: Prozesse, Netzwerkziele, Dateien, Datenbanken und Laufzeitprotokolle beobachten.
3. Schritt 3: Auslöser, Zeitbezug und Nutzerinteraktion für auffälliges Verhalten erfassen.
4. Schritt 4: Anti-Analyse, Verzögerung und umgebungsabhängiges Verhalten mit Wiederholungstests prüfen.

Modul 5: Korrelation und Bewertung

1. Schritt 1: Statische Indikatoren und dynamische Beobachtungen in einer Hypothesenmatrix zusammenführen.
2. Schritt 2: Verdacht, bestätigtes Verhalten und tatsächliche Auswirkung klar trennen.
3. Schritt 3: Fehlalarme und legitime Bibliotheksfunktionen anhand des Kontexts ausschließen.
4. Schritt 4: Risiko nach Datenklasse, Reichweite, Persistenz und Kontrollmöglichkeit priorisieren.

Modul 6: Bericht und sichere Nachbereitung

1. Schritt 1: Zeitlinie, Artefaktdaten, Indikatoren, Belege und Unsicherheiten dokumentieren.
2. Schritt 2: Technische und datenschutzbezogene Feststellungen getrennt darstellen.
3. Schritt 3: Eindämmungs-, Prüf- und Bereinigungsmaßnahmen formulieren.
4. Schritt 4: Labor zurücksetzen und Artefakte nach festgelegter Aufbewahrung behandeln.

Praxisübungen

• Statische Triage einer präparierten Android-App mit Tracker- und Verhaltensindikatoren
• Privacy-Test mit synthetischen Daten und kontrollierter Netzwerkanalyse
• Erstellung einer Hypothesenmatrix und eines beweisorientierten Kurzberichts

Zielgruppe

Malware Analysts, Mobile Security Teams, Incident Responder, Datenschutztechniker, AppSec- und Threat-Intelligence-Teams.

Vorkenntnisse

Gute Kenntnisse in mobiler Anwendungssicherheit, Netzwerkanalyse und sicherer Laborarbeit. Statische und dynamische MobSF-Grundlagen werden erwartet.