MobSF

O MobSF (Mobile Security Framework) abre um app Android, iOS ou Windows por dentro e devolve um relatório de segurança. Ele aceita o binário ou o código-fonte e encontra permissões exageradas, chaves de API embutidas e chamadas sem criptografia que passaram pela revisão de código. Além da leitura estática, executa o app num ambiente instrumentado e observa o comportamento em tempo real.

Para que serve

• Revisar um APK, AAB, IPA ou APPX antes da publicação na loja, atrás de segredos, permissões e configurações fracas.
• Observar o app rodando em emulador, simulador ou aparelho físico, com inspeção de dados em execução e do tráfego web.
• Abrir um app suspeito numa investigação de malware sem instalá-lo em celular algum.
• Disparar análises por API REST dentro de um pipeline; para CI, o projeto aponta o mobsfscan, que é um repositório separado.

Como começar

A imagem Docker sobe a ferramenta com dois comandos:

docker pull opensecurity/mobile-security-framework-mobsf:latest
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest

A interface abre na porta 8000, com login padrão mobsf/mobsf; troque a senha antes de expor a instância na rede. A análise dinâmica exige mais preparo: emulador, Corellium ou aparelho configurado, e o README cita o Frida Gadget para Android sem root. Analise apenas apps seus ou de clientes que autorizaram o teste por escrito.

Licença e custo

A licença é a GPL-3.0, só na versão 3. Rodar, estudar e alterar o MobSF não custa nada. Se você distribuir uma versão modificada, ela precisa seguir sob a mesma GPL, acompanhada do código. O README não lista edição paga do software. O projeto vende suporte empresarial, com prioridade em pedidos de recurso e treinamento presencial, além de cursos com certificação.

Quando vale a pena

Se a empresa publica app próprio e ninguém examina o binário final antes da loja, o MobSF cobre essa lacuna e se instala em minutos. Em pentest mobile, o relatório serve de ponto de partida. Os achados chegam em volume e pedem triagem, e o texto sobre gestão de vulnerabilidades trata da ordem de correção. Para instrumentação manual, o Frida usado direto dá mais controle, ao custo de escrever scripts próprios.