Алена Склярова на AppsConf 2025

Android Runtime Resource Overlay: изменяем ресурсы приложений на лету

Deep dive

Архитектура платформы Google Android

Аппаратные и программными возможности мобильного устройства

Безопасность в мобильных приложениях

3 июня, 17:00, Зал «Andy»

Google Outlook Apple

Доклад принят в программу конференции

Мнение Программного комитета о докладе

Так ли хорошо мы знаем Android-платформу, как нам кажется? Так ли она безопасна (или, наоборот, небезопасна), как мы представляем? В докладе примерим на себя роль багхантера и раскопаем одну из слабозадокументированных возможностей системы, научимся ее использовать и оценим ее безопасность.

Целевая аудитория

Разработчики мобильных приложений, разработчики мобильных операционных систем. Все, кому интересно за безопасность операционной системы Android, а также тем, кто хочет узнать больше о незадокументированном функционале системы.

Тезисы

Android Runtime Resource Overlay (ARRO) — механизм, который позволяет приложению модифицировать собственные ресурсы и ресурсы других приложений на лету. В основном ARRO пользуются разработчики ОС для создания системных оверлеев для системных приложений. Однако и обычные приложения могут воспользоваться преимуществами оверлеев ресурсов.

В рамках доклада мы разберем:
* как работают оверлеи ресурсов под капотом;
* рассмотрим, как изменять ресурсы приложения на лету без необходимости повторной компиляции;
* реализуем обфускацию ресурсов приложения;
* разберем возможные векторы атак на мобильные приложения с использованием оверлеев ресурсов;
* поисследуем ОС и рассмотрим, как можно запретить установку своего приложения на определенных устройствах;
* разберем баг в ОС, позволяющий удалять свое приложение без взаимодействия с пользователем.

Алена Склярова

Positive Technologies

Исследователь безопасности операционной системы Android и мобильных приложений, реверс-инженер. Обнаружила несколько десятков уязвимостей безопасности в операционной системе Android, за что неоднократно получала благодарности от Google и Android Security Team.