Android Anti-Instrumentation & SSL Pinning Bypass (Frida/Objection)

Reading time: 10 minutes

Esta página fornece um workflow prático para retomar a análise dinâmica contra apps Android que detectam/bloqueiam instrumentation por root ou que aplicam TLS pinning. Foca em triagem rápida, detecções comuns e hooks/táticas copy‑paste para contorná‑las sem repacking quando possível.

Detection Surface (what apps check)

• Root checks: su binary, Magisk paths, getprop values, common root packages
• Frida/debugger checks (Java): Debug.isDebuggerConnected(), ActivityManager.getRunningAppProcesses(), getRunningServices(), scanning /proc, classpath, loaded libs
• Native anti‑debug: ptrace(), syscalls, anti‑attach, breakpoints, inline hooks
• Early init checks: Application.onCreate() or process start hooks that crash if instrumentation is present
• TLS pinning: custom TrustManager/HostnameVerifier, OkHttp CertificatePinner, Conscrypt pinning, native pins

Step 1 — Quick win: hide root with Magisk DenyList

• Enable Zygisk in Magisk
• Enable DenyList, add the target package
• Reboot and retest

Muitos apps apenas procuram indicadores óbvios (su/Magisk paths/getprop). DenyList frequentemente neutraliza checagens ingênuas.

References:

• Magisk (Zygisk & DenyList): https://github.com/topjohnwu/Magisk

Step 2 — 30‑second Frida Codeshare tests

Tente scripts drop‑in comuns antes de aprofundar:

• anti-root-bypass.js
• anti-frida-detection.js
• hide_frida_gum.js

Example:

frida -U -f com.example.app -l anti-frida-detection.js

Estes normalmente substituem verificações Java de root/debug, varreduras de process/service e ptrace() nativo. Úteis em apps pouco protegidos; alvos mais protegidos podem necessitar de hooks personalizados.

• Codeshare: https://codeshare.frida.re/

Automatize com Medusa (Frida framework)

Medusa fornece 90+ módulos prontos para SSL unpinning, root/emulator detection bypass, HTTP comms logging, crypto key interception e mais.

git clone https://github.com/Ch0pin/medusa
cd medusa
pip install -r requirements.txt
python medusa.py

# Example interactive workflow
show categories
use http_communications/multiple_unpinner
use root_detection/universal_root_detection_bypass
run com.target.app

Dica: Medusa é ótima para ganhos rápidos antes de escrever custom hooks. Você também pode cherry-pick modules e combiná-los com seus próprios scripts.

Passo 3 — Contornar detectores em tempo de inicialização anexando-se tardiamente

Muitas detecções só são executadas durante o processo spawn/onCreate(). Spawn‑time injection (-f) ou gadgets são detectados; anexar depois que a UI carrega pode passar despercebido.

# Launch the app normally (launcher/adb), wait for UI, then attach
frida -U -n com.example.app
# Or with Objection to attach to running process
aobjection --gadget com.example.app explore  # if using gadget

Se isso funcionar, mantenha a sessão estável e prossiga para mapear e realizar as verificações de stub.

Etapa 4 — Mapear a lógica de detecção via Jadx e busca por strings

Palavras-chave de triagem estática em Jadx:

• "frida", "gum", "root", "magisk", "ptrace", "su", "getprop", "debugger"

Padrões típicos em Java:

public boolean isFridaDetected() {
return getRunningServices().contains("frida");
}

APIs comuns para revisar/hook:

• android.os.Debug.isDebuggerConnected
• android.app.ActivityManager.getRunningAppProcesses / getRunningServices
• java.lang.System.loadLibrary / System.load (native bridge)
• java.lang.Runtime.exec / ProcessBuilder (probing commands)
• android.os.SystemProperties.get (root/emulator heuristics)

Passo 5 — Stubbing em tempo de execução com Frida (Java)

Substitua verificações personalizadas para retornar valores seguros sem repacotar:

Java.perform(() => {
const Checks = Java.use('com.example.security.Checks');
Checks.isFridaDetected.implementation = function () { return false; };

// Neutralize debugger checks
const Debug = Java.use('android.os.Debug');
Debug.isDebuggerConnected.implementation = function () { return false; };

// Example: kill ActivityManager scans
const AM = Java.use('android.app.ActivityManager');
AM.getRunningAppProcesses.implementation = function () { return java.util.Collections.emptyList(); };
});

Triagem de falhas iniciais? Faça dump das classes pouco antes do app morrer para identificar namespaces prováveis de detecção:

Java.perform(() => {
Java.enumerateLoadedClasses({
onMatch: n => console.log(n),
onComplete: () => console.log('Done')
});
});

// Quick root detection stub example (adapt to target package/class names) Java.perform(() => { try { const RootChecker = Java.use('com.target.security.RootCheck'); RootChecker.isDeviceRooted.implementation = function () { return false; }; } catch (e) {} });

Registre e neutralize métodos suspeitos para confirmar o fluxo de execução:

Java.perform(() => {
const Det = Java.use('com.example.security.DetectionManager');
Det.checkFrida.implementation = function () {
console.log('checkFrida() called');
return false;
};
});

Bypass emulator/VM detection (Java stubs)

Heurísticas comuns: Build.FINGERPRINT/MODEL/MANUFACTURER/HARDWARE contendo generic/goldfish/ranchu/sdk; artefatos QEMU como /dev/qemu_pipe, /dev/socket/qemud; MAC padrão 02:00:00:00:00:00; NAT 10.0.2.x; telephony/sensors ausentes.

Spoof rápido dos campos Build:

Java.perform(function(){
var Build = Java.use('android.os.Build');
Build.MODEL.value = 'Pixel 7 Pro';
Build.MANUFACTURER.value = 'Google';
Build.BRAND.value = 'google';
Build.FINGERPRINT.value = 'google/panther/panther:14/UP1A.231105.003/1234567:user/release-keys';
});

Adicione stubs para verificações de existência de arquivos e identificadores (TelephonyManager.getDeviceId/SubscriberId, WifiInfo.getMacAddress, SensorManager.getSensorList) para retornarem valores realistas.

SSL pinning bypass quick hook (Java)

Neutralizar TrustManagers customizados e forçar contextos SSL permissivos:

Java.perform(function(){
var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
var SSLContext = Java.use('javax.net.ssl.SSLContext');

// No-op validations
X509TrustManager.checkClientTrusted.implementation = function(){ };
X509TrustManager.checkServerTrusted.implementation = function(){ };

// Force permissive TrustManagers
var TrustManagers = [ X509TrustManager.$new() ];
var SSLContextInit = SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;','[Ljavax.net.ssl.TrustManager;','java.security.SecureRandom');
SSLContextInit.implementation = function(km, tm, sr){
return SSLContextInit.call(this, km, TrustManagers, sr);
};
});

Notas

• Estenda para OkHttp: hook okhttp3.CertificatePinner and HostnameVerifier conforme necessário, ou use um script universal de unpinning do CodeShare.
• Exemplo de execução: frida -U -f com.target.app -l ssl-bypass.js --no-pause

Passo 6 — Siga a trilha JNI/nativa quando os hooks Java falharem

Rastreie os pontos de entrada JNI para localizar loaders nativos e a inicialização de detecção:

frida-trace -n com.example.app -i "JNI_OnLoad"

Triagem nativa rápida de arquivos .so empacotados:

# List exported symbols & JNI
nm -D libfoo.so | head
objdump -T libfoo.so | grep Java_
strings -n 6 libfoo.so | egrep -i 'frida|ptrace|gum|magisk|su|root'

Interativo/nativo reversing:

• Ghidra: https://ghidra-sre.org/
• r2frida: https://github.com/nowsecure/r2frida

Exemplo: neutralizar ptrace para contornar anti‑debug simples em libc:

const ptrace = Module.findExportByName(null, 'ptrace');
if (ptrace) {
Interceptor.replace(ptrace, new NativeCallback(function () {
return -1; // pretend failure
}, 'int', ['int', 'int', 'pointer', 'pointer']));
}

Veja também: Reversing Native Libraries

Etapa 7 — Objection patching (embed gadget / strip basics)

Quando você prefere repacking em vez de runtime hooks, tente:

objection patchapk --source app.apk

Notas:

• Requer apktool; garanta uma versão atual seguindo o guia oficial para evitar problemas de build: https://apktool.org/docs/install
• Gadget injection permite instrumentation sem root, mas ainda pode ser detectado por checagens de init‑time mais rigorosas.

Opcionalmente, adicione módulos LSPosed e Shamiko para reforçar a ocultação de root em ambientes Zygisk, e ajuste a DenyList para cobrir processos filhos.

Para um fluxo de trabalho completo, incluindo configuração do Gadget em modo script e empacotar seu agente Frida 17+ dentro do APK, veja:

Frida Tutorial — Self-contained agent + Gadget embedding

Referências:

• Objection: https://github.com/sensepost/objection

Passo 8 — Fallback: Patch TLS pinning para visibilidade de rede

Se instrumentation estiver bloqueada, você ainda pode inspecionar o tráfego removendo o pinning estaticamente:

apk-mitm app.apk
# Then install the patched APK and proxy via Burp/mitmproxy

• Ferramenta: https://github.com/shroudedcode/apk-mitm
• Para truques de CA‑trust na configuração de rede (e user CA trust no Android 7+), veja:

Make APK Accept CA Certificate

Install Burp Certificate

Resumo rápido de comandos

# List processes and attach
frida-ps -Uai
frida -U -n com.example.app

# Spawn with a script (may trigger detectors)
frida -U -f com.example.app -l anti-frida-detection.js

# Trace native init
frida-trace -n com.example.app -i "JNI_OnLoad"

# Objection runtime
objection --gadget com.example.app explore

# Static TLS pinning removal
apk-mitm app.apk

Universal proxy forcing + TLS unpinning (HTTP Toolkit Frida hooks)

Apps modernos frequentemente ignoram os proxies do sistema e aplicam múltiplas camadas de pinning (Java + nativo), tornando a captura de tráfego difícil mesmo com CAs de usuário/sistema instaladas. Uma abordagem prática é combinar TLS unpinning universal com proxy forcing usando Frida hooks prontos, e encaminhar tudo através do mitmproxy/Burp.

Fluxo de trabalho

• Execute o mitmproxy na sua máquina (ou Burp). Garanta que o dispositivo consiga alcançar o IP/porta do host.
• Carregue os Frida hooks consolidados do HTTP Toolkit para tanto fazer TLS unpinning quanto forçar o uso de proxy em stacks comuns (OkHttp/OkHttp3, HttpsURLConnection, Conscrypt, WebView, etc.). Isso contorna as verificações de CertificatePinner/TrustManager e sobrescreve os proxy selectors, de modo que o tráfego é sempre enviado via seu proxy mesmo que o app desabilite proxies explicitamente.
• Inicie o app alvo com Frida e o script do hook, e capture as requisições no mitmproxy.

Exemplo

# Device connected via ADB or over network (-U)
# See the repo for the exact script names & options
frida -U -f com.vendor.app \
-l ./android-unpinning-with-proxy.js \
--no-pause

# mitmproxy listening locally
mitmproxy -p 8080

Notas

• Combine com um proxy em todo o sistema via adb shell settings put global http_proxy <host>:<port> quando possível. Os Frida hooks imporão o uso do proxy mesmo quando os aplicativos contornam as configurações globais.
• Esta técnica é ideal quando você precisa realizar MITM em fluxos de onboarding de mobile-para-IoT, onde pinning/evitação de proxy é comum.
• Hooks: https://github.com/httptoolkit/frida-interception-and-unpinning

Referências

• Reversing Android Apps: Bypassing Detection Like a Pro
• Frida Codeshare
• Objection
• apk-mitm
• Jadx
• Ghidra
• r2frida
• Apktool install guide
• Magisk
• Medusa (Android Frida framework)
• Build a Repeatable Android Bug Bounty Lab: Emulator vs Magisk, Burp, Frida, and Medusa