JNISleuth-MCP가 안드로이드 네이티브 연결 분석을 자동화한다

보안 엔지니어가 안드로이드 앱 연결 분석 도구 JNISleuth-MCP를 만들었습니다. 이 도구는 자바-네이티브 인터페이스(JNI) 연결과 난독화된 분기를 분석합니다. 제작자는 Ghidra와 IDA Pro에서 정보를 복구해 분석 도구에 반영하는 과정도 자동화한다고 설명합니다. 저는 복구한 정보를 다시 옮기는 반복까지 덜어준다는 점이 반갑습니다.

JNISleuth-MCP는 여러 모델에서 쓸 수 있는 MCP 서버와 도구 스키마를 제공합니다. Google 공식 MCP Toolbox에서 서버 측 요청 위조(SSRF) 취약점이 발견된 사례와 함께 보면, MCP로 분석 기능을 연결할 때는 편의만큼 서버가 다루는 요청의 범위도 살펴야겠다는 생각이 듭니다.

앱 코드 파일(DEX)이 여러 개 든 안드로이드 앱 패키지(APK)에서 네이티브 선언을 찾습니다. 섹션 헤더가 빠진 64비트 ARM 라이브러리에서도 함수 이름과 형식 정보, 포인터 조합을 검색합니다. 복구한 함수 정보와 233개 슬롯으로 된 JNIEnv* 가상 함수 표를 Ghidra와 IDA Pro에 동기화합니다. 찾기와 분석 도구 반영을 따로 하지 않고 한 흐름에 묶었다는 점이 반갑습니다.

정적 분석은 ARM64 OLLVM의 간접 분기와 점프 테이블도 살핍니다. 실행 중 코드를 푸는 샘플에는 C++/NDK Dobby 수집기가 RegisterNatives를 함수 중간에서 후킹합니다. 제작자는 합성 멀티 DEX와 섹션 정보가 제거된 ARM64 크랙미로 실제 악성코드 없이 30초 안에 전체 파이프라인을 시험할 수 있다고 말합니다. 이 시험은 실제 악성 샘플에서의 복구 품질을 증명하지는 않지만, 분석 환경의 연결을 먼저 확인하는 용도로는 쓸 수 있습니다.

저장소의 합성 크랙미로 분석 흐름을 시험해 보십시오. 복구한 함수 정보가 Ghidra나 IDA Pro에 반영되는지 살피고, 실행 중 등록 정보를 수집해야 하는 샘플이라면 Dobby 수집 경로도 확인하십시오. 정보가 끝까지 전달되면 자동화 연결이 제대로 작동하는지 알 수 있습니다.

JNI 연결 정보를 분석 도구에 옮기느라 시간을 쓴 적은 언제입니까?