Root Detection in mobilen Apps — Erkennungsmethoden und Funktionsprinzip

Was ist Root Detection?

Root Detection ist ein Softwaremechanismus, der das Vorhandensein von Root-Zugriff auf einem Android-Gerät erkennt. Root-Zugriff bietet vollständige Kontrolle über das Betriebssystem und ermöglicht Anwendungen und Skripten die Ausführung von Befehlen mit UID 0. Auf einem gerooteten Gerät geht die Anwendungsisolierung (Android Sandbox) verloren, was das Abfangen von Tastatureingaben, das Lesen von SQLite-Datenbanken anderer Anwendungen, das Injizieren von Code in Prozesse und das Ersetzen von SSL-Zertifikaten im vertrauenswürdigen Speicher ermöglicht.

Für Finanz- und Unternehmensanwendungen stellt der Betrieb auf einem gerooteten Gerät ein inakzeptables Risiko dar: Ein Angreifer erhält Zugriff auf Tokens, Sitzungsschlüssel und persönliche Daten. Aufsichtsbehörden, einschließlich des PCI Security Standards Council, verlangen von Zahlungsanwendungen die Erkennung von und Reaktion auf Root-Zugriff. Als Reaktion darauf integrieren Android-Entwickler Root Detection als Teil einer proaktiven Schutzstrategie.

Es gibt zwei Ansätze zur Erkennung: statisch, der das Dateisystem und installierte Pakete analysiert, und dynamisch, der zur Laufzeit Prüfungen durchführt. Der kombinierte Ansatz gilt als der zuverlässigste, da er verschiedene Umgehungsvektoren abdeckt. Laut einer Studie von NowSecure (2025) enthalten 76 % der Bankanwendungen in den Top 100 von Google Play eine Form von Root Detection.

Statische Methoden zur Root-Erkennung

Statische Methoden werden beim Start der Anwendung ausgeführt und prüfen auf Anzeichen von Root-Zugriff, die Rooting-Tools im Dateisystem hinterlassen. Diese Methoden erfordern keine Ausführung privilegierter Befehle und arbeiten im Kontext einer normalen Anwendung.

Prüfung auf Existenz der su-Binärdatei

Der Hauptindikator für Root-Zugriff ist das Vorhandensein der ausführbaren su-Datei in Standardpfaden: /system/bin/su, /system/xbin/su, /sbin/su, /su/bin/su. Die Anwendung prüft die Existenz der Datei über File.exists() oder eine native Implementierung von access() aus libc. Zusätzlich kann versucht werden, su --version oder su -c id auszuführen und den Exit-Code zu prüfen.

Suche nach Root-Managern

Typische Anwendungen zur Verwaltung des Root-Zugriffs: Superuser, SuperSU, Magisk Manager, KingRoot. Ihre Anwesenheit wird über PackageManager.getPackageInfo() oder durch Lesen des /data/app/-Verzeichnisses geprüft. Zu prüfende Pakete: com.topjohnwu.magisk, eu.chainfire.supersu, com.noshufou.android.su, com.thirdparty.superuser, com.koushikdutta.superuser, com.zacharee1.systemuituner.

Prüfung von Systemeigenschaften

Android speichert Systemzustandsinformationen in Systemeigenschaften, die über System.getProperty und Build.TAGS zugänglich sind. Wenn Build.TAGS test-keys anstelle von release-keys enthält, deutet dies auf eine benutzerdefinierte Firmware hin, oft mit Root-Zugriff. Zusätzlich werden ro.build.tags, ro.debuggable und ro.secure durch Lesen von /system/build.prop geprüft.

public class RootDetectionChecker {
    private static final String[] SU_PATHS = {
        "/system/bin/su",
        "/system/xbin/su",
        "/sbin/su",
        "/su/bin/su",
        "/system/sd/xbin/su"
    };

    public boolean checkRootByFiles() {
        for (String path : SU_PATHS) {
            if (new File(path).exists()) {
                return true;
            }
        }
        return false;
    }

    public boolean checkRootByPackages(Context ctx) {
        String[] packages = {
            "com.topjohnwu.magisk",
            "eu.chainfire.supersu",
            "com.noshufou.android.su",
            "com.koushikdutta.superuser"
        };
        for (String pkg : packages) {
            try {
                ctx.getPackageManager().getPackageInfo(pkg, 0);
                return true;
            } catch (PackageManager.NameNotFoundException e) {
                // package not found
            }
        }
        return false;
    }
}

Dynamische Prüfmethoden

Dynamische Methoden werden während des Anwendungsbetriebs ausgeführt und analysieren die Ausführungsumgebung. Im Gegensatz zu statischen Methoden können sie Rooting erkennen, das über Magisk Hide oder Zygisk verborgen wurde, da sie das Systemverhalten und nicht nur die Dateistruktur prüfen.

Prüfung von Mountpunkten

Bei Root-Zugriff werden einige Systempartitionen mit dem Flag rw (read-write) anstelle von ro (read-only) gemountet. Die Anwendung liest /proc/mounts und prüft, ob /system als ro gemountet ist. Wenn /system als rw gemountet ist, deutet dies auf ein modifiziertes System hin. Zusätzlich wird das Vorhandensein einer /su-Mount über Magisk geprüft.

Abgesicherter Modus-Test

Der abgesicherte Modus von Android deaktiviert Drittanbieteranwendungen, einschließlich Root-Manager. Eine korrekte Root Detection-Implementierung kann prüfen, ob das Gerät im abgesicherten Modus läuft. Wenn die Anwendung feststellt, dass Root-Manager nicht sichtbar sind, die su-Binärdatei jedoch existiert, ist dies ein Anzeichen für Magisk Hide.

Prüfung der Befehlsausführung

Der Versuch, su -c id über ProcessBuilder oder Runtime.exec auszuführen, ist ein direkter Test auf Root-Zugriff. Magisk kann diesen Aufruf jedoch abfangen. Ein zuverlässigerer Ansatz ist die Prüfung über nativen Code: Öffnen von /proc/1/limits oder /proc/self/maps und Analyse der UID laufender Prozesse. Wenn die Anwendung UID 0 erhalten oder Dateien lesen kann, die nur für Root zugänglich sind, ist das Gerät kompromittiert.

public boolean checkRootDynamically() {
    // Build flags check
    String buildTags = Build.TAGS;
    if (buildTags != null && buildTags.contains("test-keys")) {
        return true;
    }

    // Checking /system mount
    try {
        BufferedReader reader = new BufferedReader(
            new InputStreamReader(new FileInputStream("/proc/mounts"))
        );
        String line;
        while ((line = reader.readLine()) != null) {
            if (line.contains("/system")
                && line.contains("rw")) {
                reader.close();
                return true;
            }
        }
        reader.close();
    } catch (IOException e) {
        // error reading mounts
    }

    return false;
}

Native Root Detection-Implementierung in C++

Root Detection, das in Java implementiert ist, kann leicht über Xposed-Module oder Frida umgangen werden, die Java-Methoden abfangen und Rückgabewerte ersetzen. Eine native Implementierung in C++ über JNI ist deutlich widerstandsfähiger: Dynamische Analysewerkzeuge, die auf Java-Ebene arbeiten, sehen native libc-Aufrufe wie stat, access, popen und dlopen nicht.

#include <unistd.h>
#include <sys/stat.h>
#include <cstring>
#include <vector>

extern "C"
JNIEXPORT jboolean JNICALL
Java_com_example_checker_RootCheck_nativeCheck(
    JNIEnv* env, jobject instance) {

    std::vector<const char*> paths = {
        "/system/bin/su",
        "/system/xbin/su",
        "/sbin/su",
        "/data/local/su"
    };

    struct stat st;
    for (const char* path : paths) {
        if (stat(path, &st) == 0) {
            return JNI_TRUE;
        }
    }
    return JNI_FALSE;
}

Die native Prüfung verwendet keine Java-API, was sie für Umgehungswerkzeuge, die auf Dalvik/ART-Ebene arbeiten, unsichtbar macht. Für zusätzlichen Schutz wird empfohlen, Konstanten (Pfadliste) nicht in einem schreibgeschützten Abschnitt zu speichern, sondern sie durch einfache umkehrbare Funktionen zu berechnen. Der stat-Aufruf aus libc greift direkt auf den Linux-Kernel zu, unter Umgehung von Java-Wrappern, und kann nicht über Xposed abgefangen werden.

Methoden zur Umgehung von Root Detection

Schutzentwickler müssen bestehende Umgehungsmethoden verstehen, um ein robustes Erkennungssystem aufzubauen. Jede Umgehungsmethode erfordert eine Gegenmaßnahme auf der entsprechenden Ebene.

Umgehung über Magisk Hide und Zygisk

Magisk ist das beliebteste Rooting-Tool auf Android 9–14. Magisk Hide verbirgt das Vorhandensein von su aus /proc und manipuliert die Ergebnisse der Pfadprüfung. Magisk arbeitet auf Kernel-Ebene und fängt stat() und access() ab, bevor die Anwendung sie sieht. Gegenmaßnahme: Prüfung auf Magisk selbst über das Vorhandensein von /sbin/.magisk oder Prüfung durch Lesen der eigenen maps der Anwendung — Magisk injiziert seine Bibliothek in jeden Prozess.

Umgehung über Frida

Frida ist ein dynamisches Instrumentierungswerkzeug, das native Funktionen über Ptrace oder Dobby abfangen kann. Frida ersetzt den Rückgabewert jeder Prüfung und manipuliert das stat-Ergebnis zu ENOENT. Gegenmaßnahme: Überprüfung der Integrität nativer Funktionen durch Berechnung einer Prüfsumme der Anweisungen im Speicher und Erkennung von Frida durch Analyse von /proc/self/maps auf das Vorhandensein von frida-agent.so oder frida-helper.

Umgehung über APK-Patching

Root Detection, das in Java implementiert ist, kann in 2–3 Minuten entfernt werden: Die APK wird über apktool dekompiliert, im smali-Code wird der Rückgabewert der Methode auf false geändert, die APK wird neu erstellt und signiert. Gegenmaßnahme: Verlagerung der kritischen Logik in nativen Code und Überprüfung der digitalen Signatur der Anwendung zur Laufzeit über die Signature-API oder Vergleich des APK-Hashs mit einer Referenz auf dem Server.

Empfehlungen für zuverlässigen Schutz

Effektives Root Detection basiert auf einer mehrschichtigen Architektur. Keine einzelne Methode bietet allein ausreichenden Schutz. Die Kombination aus statischen und dynamischen Prüfungen, nativem Code und serverseitiger Verifizierung bietet maximale Widerstandsfähigkeit.

Serverseitige Verifizierung

Verlassen Sie sich nicht ausschließlich auf clientseitige Prüfungen. Senden Sie Root Detection-Ergebnisse zusammen mit einem Einmal-Sitzungstoken an den Server. Der Server entscheidet über die Blockierung oder Einschränkung der Funktionalität. Dies verhindert Angriffe auf API-Ebene, bei denen die Client-Anwendung modifiziert werden kann, während der Server eine vertrauenswürdige Partei bleibt.

Code-Verschleierung

Root Detection-Code muss verschleiert werden. Wenn ein Angreifer in jadx eine klare Sequenz von su-Pfadprüfungen sieht, dauert die Umgehung Minuten. Verwenden Sie ProGuard oder DexGuard, um den Kontrollfluss zu verschleiern und Zeichenfolgen zu verschlüsseln. Verschleierung erhöht die Analysezeit des Schutzkodes von Minuten auf Stunden.

Regelmäßige Signaturaktualisierung

Die Liste der geprüften Pfade, Pakete und Indikatoren sollte mit jeder Anwendungsversion aktualisiert werden. Neue Rooting- und Umgehungswerkzeuge erscheinen monatlich. Eine statische Liste, die sich seit einem Jahr nicht geändert hat, wird moderne Methoden nicht erkennen. Es wird empfohlen, aktuelle Signaturen beim Start der Anwendung vom Server zu laden, bevor die Prüfungen durchgeführt werden.