Reverse Engineering in mobiele ontwikkeling: wat het is, tools en analysemethoden

Wat is Reverse Engineering?

Reverse Engineering (reversing) — de discipline van softwareanalyse gericht op het reconstrueren van de kenmerken, logica en structuur van een app uit zijn binaire representatie. Voor mobiele apps zijn de analyseobjecten APK-bestanden (Android) en IPA-bestanden (iOS) die gecompileerde code, bronnen, manifesten en certificaten bevatten. Het resultaat van reversing — het extraheren van algoritmen, protocollen, coderingssleutels, API-schema’s en bedrijfslogica.

De doelen van reverse engineering zijn verdeeld in legitieme en illegitieme. Legitiem: analyse van malware voor het maken van beveiligingstools, audit van eigen apps op kwetsbaarheden, compatibiliteit met gesloten protocollen, octrooianalyse en training. Illegitiem: diefstal van intellectueel eigendom, omzeilen van licentiebeperkingen, maken van illegale kopieën en wijzigen van apps om gebruikersgegevens te stelen. Volgens Google Play Protect (2025) wordt 78% van de kwaadaardige wijzigingen van bankapps gemaakt op basis van de originele APK die door reverse engineering is gehaald.

De methodologie van reversing omvat twee hoofdlijnen: statische analyse (zonder de app te starten) en dynamische analyse (tijdens uitvoering). Elke benadering geeft een ander informatieniveau. Statisch — een volledig beeld van de code, maar zonder runtimegegevens. Dynamisch — werkelijk gedrag, gegevensstroom, netwerkaanroepen, maar alleen binnen een specifiek uitvoeringsscenario. Professionele reversing combineert altijd beide benaderingen.

Statische analysetools

Statische analyse is de eerste fase van reverse engineering. De originele APK of IPA wordt uitgepakt en elke component wordt afzonderlijk geanalyseerd. Belangrijkste doelen: DEX-bytecode, bronnen, manifest, native bibliotheken (.so, .dylib) en metadata.

jadx — DEX-decompiler naar Java

jadx — de belangrijkste tool voor statische analyse van Android-apps. Het zet DEX-bytecode om in leesbare Java-code met minimaal verlies. jadx ondersteunt: decomilatie van multidex, herkenning van lambda’s en ingebouwde Kotlin-klassen, export naar Gradle-project. Voor geobfusceerde code (ProGuard) toont jadx code met namen a, b, c, maar de klassestructuur en aanroepvolgorde blijven behouden. Volgens onafhankelijke tests decompileert jadx 85–92% van de code correct, zelfs met obfuscatie.

apktool — uitpakken van bronnen

apktool decodeert APK naar smali-code (DEX-assembler) en herstelt bronnen in leesbare vorm: AndroidManifest.xml wordt van AXML naar leesbare XML omgezet, layouts naar XML-opmaak, strings.xml naar platte tekst. apktool maakt het mogelijk bronnen te wijzigen en de APK opnieuw samen te stellen. Na uitpakken via apktool en vervangen van bronnen kan de app worden geïnstalleerd met gewijzigde inhoud.

Ghidra — analyse van native bibliotheken

Ghidra (NSA) — een reverse engineering-framework, onmisbaar voor analyse van .so-bibliotheken van Android en .dylib van iOS. Ghidra disassembleert ARM64-code, herstelt C-pseudocode en bouwt een aanroepgraaf. Voor mobiele reversing wordt Ghidra gebruikt voor analyse van native implementaties van cryptografie en DRM-mechanismen. Ghidra ondersteunt scripten in Python en Java voor automatisering van analyses.

# Uitpakken en decompilatie van APK
$ jadx -d output_dir app.apk

# Uitpakken van bronnen via apktool
$ apktool d app.apk -o app_unpacked

# Analyse van native bibliotheek via Ghidra
$ ghidra app.apk/lib/arm64-v8a/libnative.so

# Zoeken naar stringconstanten in DEX
$ strings classes.dex | grep -i api_key

Dynamische analysetools

Dynamische analyse wordt uitgevoerd op een draaiende app. De analist maakt verbinding met het proces en onderschept functieaanroepen, argumenten en retourwaarden in realtime.

Frida — universele instrumentatietool

Frida — de toonaangevende tool voor dynamische analyse van mobiele apps. Frida injecteert een JavaScript-engine in het proces van de app (Android ART of iOS-app) en maakt het mogelijk aanroepen van zowel Java/Objective-C als C/C++-functies te onderscheppen. Met Frida kunnen reverse engineers: alle aanroepen van de methode AES.decrypt() met parameters loggen, de retourwaarde naar wens vervangen, SSL-pinning verwijderen via Universal Android SSL Unpin, native aanroepen traceren via Stalker. Frida werkt zonder APK/IPA te wijzigen, wat het onmisbaar maakt voor penetratietesten.

Objection — laag boven Frida

Objection bied kant-en-klare commando’s voor typische reversing-taken zonder JavaScript-scripts te schrijven: disable-pinning (uitschakelen van SSL pinning), dump-keychain (iOS), explore (doorlopen van klassenhiërarchie), memory search (zoeken naar strings in geheugen). Objection maakt volledige dynamische analyse mogelijk zonder een enkele regel code. Voor iOS-apps vindt en logt Objection automatisch aanroepen van NSURLSession, CFNetwork en NSKeyedArchiver.

Xposed Framework

Xposed — een framework voor Android dat werkt door het bestand app_process in Zygote te vervangen. In tegenstelling tot Frida heeft Xposed geen root-toegang nodig na installatie. Xposed-modules kunnen methodeaanroepen in elke app onderscheppen. Voor reversing is Xposed handig voor langetermijnanalyse: de module wordt geïnstalleerd en werkt continu, waarbij het gedrag van de app in verschillende scenario’s wordt gelogd. Xposed ondersteunt Android tot versie 8.1; voor Android 9+ wordt EdXposed gebruikt op basis van SandHook.

// Frida: onderscheppen van decrypt()-methode in de app
let aesClass = Java.use("javax.crypto.Cipher");

aesClass.doFinal.overload(
    "[B", "int", "int"
).implementation = function(
    input, offset, len
) {
    console("[AES] decrypt called, len=" + len);
    return this.doFinal(input, offset, len);
};

Het reverse engineering-proces van Android-apps

De standaard workflow van reversing bestaat uit opeenvolgende stappen, die elk een bepaald informatieniveau opleveren.

Stap 1: Verzamelen van inlichtingen

De analist bestudeert de APK op metadataniveau: targetSdk, uses-permission (welke machtigingen worden gevraagd), intent-filter en exported components. Op basis van machtigingen kan worden bepaald welke API’s worden gebruikt (android.permission.CAMERA → camera, android.permission.RECORD_AUDIO → audio). Op basis van exported activity worden toegangspunten zonder autorisatie bepaald. Deze fase wordt uitgevoerd via aapt of ApkAnalyzer en duurt 1–2 minuten.

Stap 2: DEX-decompilatie

De APK wordt uitgepakt, classes.dex (of multidex) wordt aan jadx gevoerd. De uitvoer — Java/Kotlin-code in pakketten. De analist zoekt naar belangrijke klassen: CryptoUtils, ApiClient, AuthManager, DatabaseHelper, en controleert welke algoritmen worden gebruikt. Als in de code strings AES/CBC/PKCS5Padding voorkomen — gebruikt de app versleuteling en moet de sleutel worden gevonden. In deze fase worden bepaald: hardgecodeerde sleutels, API-URL’s, OAuth-tokens en geheimen. Zonder obfuscatie is de volledige code van de app leesbaar als een normaal Java-project.

Stap 3: Verkeersanalyse

Door Frida of Objection in te stellen voor het uitschakelen van SSL-pinning, start de analist de app en onderschept netwerkverkeer via Burp Suite of mitmproxy. Op basis van verkeersgegevens wordt het API-schema gereconstrueerd: welke endpoints, welke parameters, in welk formaat. Indien mogelijk wijzigt de analist verzoeken en controleert de reactie van de server op onjuiste of kwaadaardige gegevens. Het ontbreken van servervalidatie — een directe kwetsbaarheid ontdekt in deze stap.

Stap 4: Schrijven naar data.json

De analyseresultaten worden in gestructureerde vorm vastgelegd. Voor elke gevonden kwetsbare plek wordt aangegeven: klasse en methode, beschrijving van de kwetsbaarheid, exploitatievector en aanbeveling voor herstel. Deze dataset wordt doorgegeven aan het ontwikkelingsteam of gebruikt voor het opstellen van een pentestrapport. In geautomatiseerde omgevingen (MobSF) wordt het rapport automatisch gegenereerd op basis van statische en dynamische analyse.

Kenmerken van reverse engineering voor iOS-apps

Reverse engineering van iOS-apps is moeilijker dan Android vanwege de strengere beveiligingsarchitectuur van Apple en het ontbreken van directe toegang tot het bestandssysteem op standaardapparaten. Voor iOS-analyse is een jailbreak nodig.

Statische Mach-O-analyse

Het IPA-archief bevat een Mach-O-binair bestand — het universele formaat voor uitvoerbare bestanden van Apple. Voor decompilatie wordt Hopper Disassembler of IDA Pro gebruikt. In tegenstelling tot Android DEX, dat met minimaal verlies naar Java wordt gedecompileerd, bevat Mach-O native ARM64-code die met minder nauwkeurigheid naar C-pseudocode wordt hersteld. Hopper redt 60–70% van de reconstructie, de rest moet op assemblerniveau worden geanalyseerd.

Dynamische analyse met Frida voor iOS

Frida op iOS vereist een jailbreak en installatie van frida-server. Na verbinding onderschept Frida Objective-C-methoden via de API voor berichtroutering. Voor iOS-apps is een typisch scenario: onderscheppen van NSURLSession.dataTaskWithRequest-methoden voor het loggen van HTTP-verzoeken, onderscheppen van NSKeyedUnarchiver voor analyse van geserialiseerde gegevens en traceren van CoreData-query’s via frida-trace. Frida werd beschikbaar voor iOS 15–17 met de release van de Dopamine-jailbreak.

IPA-modificatie

Reversing kan het wijzigen van IPA omvatten met daaropvolgend herpakketten en installatie op het apparaat. Tools: ipatool voor uitpakken, MachOView voor het bekijken van secties en optool voor het injecteren van code. Na modificatie wordt IPA ondertekend via ldid of fastlane sigh voor installatie op een gejailbreakt apparaat. Voor iOS 16+ wordt de codehandtekening gecontroleerd op Secure Enclave-niveau en zal de gewijzigde IPA niet draaien op een niet-gejailbreakt apparaat.

// Frida: onderscheppen van HTTP-verzoeken in iOS-app
if (ObjC.available) {
    let NSURLSession = ObjC.classes.NSURLSession;
    let dataTaskWithRequest = ObjC.protocol("NSURLSessionDelegate")
        .method("- URLSession:dataTask:didReceiveData:");
    Interceptor.attach(dataTaskWithRequest.implementation, {
        onEnter(args) {
            let data = ObjC.Object(args[3]);
            console("[HTTP Response]", data.toString());
        }
    });
}

Beschermingsmethoden tegen reverse engineering

Bescherming tegen reverse engineering is gebaseerd op het principe van gelaagde beveiliging: geen enkele methode biedt 100% bescherming, maar de combinatie maakt reversing economisch niet rendabel.

Code-obfuscatie

Basisniveau — ProGuard voor Android, dat klasse- en methodenamen vervangt door een enkel teken. Voor versterking wordt DexGuard gebruikt, dat overload induction (meerdere methoden met verschillende handtekeningen en dezelfde naam) en AES-256-stringversleuteling toevoegt. Obfuscatie verhoogt de codeanalysetijd van 5 minuten tot 5–20 uur, afhankelijk van het niveau. DexGuard verwart bovendien de controlestroom, waardoor de code onleesbaar wordt voor jadx.

Versleuteling van constanten

Alle stringconstanten — URL’s, sleutels, tokens, SQL-query’s — worden versleuteld tijdens de buildfase en ontsleuteld in runtime. Dit beschermt tegen statische analyse van strings van het DEX-bestand. Een aanvaller die strings app.apk uitvoert, ziet geen enkel API-endpoint. Zelfs na decompilatie zien alle strings eruit als binaire gegevens. Voor elke string kan een aparte sleutel worden gebruikt, wat deobfuscatie bemoeilijkt.

RASP en integriteitscontrole

De RASP-agent in de app detecteert Frida en debugging in runtime. Integriteitscontrole via SHA-256-hash van de APK voorkomt het starten van een gewijzigde versie van de app. Als de APK-hash niet overeenkomt met de referentie (opgeslagen in de native laag) — wordt de app beëindigd. Dit blokkeert aanvallen die zijn gebaseerd op APK-modificatie, waaronder repackaging.

Serverbescherming

Kritieke bedrijfslogica moet op de server worden uitgevoerd, niet op de client. Zelfs als een aanvaller de app volledig decompileert, blijft de servercode ontoegankelijk. Servervalidatie van alle verzoeken en parameters voorkomt exploitatie van kwetsbaarheden die tijdens reversing zijn gevonden. Serverattestatie via Play Integrity API of App Attest bevestigt dat het verzoek afkomstig is van een authentieke, ongewijzigde app.