Como avaliar fontes de APK com segurança: uma lista de verificação de segurança

Se você fizer sideload de aplicativos Android por motivos legítimos, instalando uma versão beta fornecida pelo desenvolvedor, reinstalando um aplicativo de código aberto cujo projeto hospeda suas próprias versões ou restaurando um backup de um aplicativo que você possui legalmente, você deve sempre verificar o arquivo antes de instalá-lo. Este guia explica os sinais técnicos que distinguem um APK confiável de um APK adulterado, sem nomear ou promover qualquer plataforma de download específica.

1. Comece com a fonte mais confiável

Para quase todos os usuários, a resposta é Google Play Store. Os aplicativos distribuídos lá são assinados por seus desenvolvedores originais, verificados pelo Google Play Protect e policiados quanto a comportamentos maliciosos. Se um aplicativo que você deseja estiver no Play, instale-o a partir daí, ponto final.

As exceções legítimas à regra “Jogue primeiro” são restritas:

• O aplicativo é de código aberto e o projeto distribui compilações assinadas de seu próprio site oficial, página de lançamentos do GitHub ou servidor de atualização auto-hospedado.
• Você é um desenvolvedor testando suas próprias compilações internas.
• Você está restaurando um APK exportado de um dispositivo seu.
• O editor distribui uma versão beta ou específica da região diretamente de seu domínio oficial (e você pode confirmar se o domínio corresponde à marca verificada do desenvolvedor).

Qualquer coisa fora desses casos, especialmente cópias “gratuitas” de aplicativos pagos, deve ser tratada como de alto risco e quase sempre é uma violação de direitos autorais.

2. Verifique a assinatura digital

Cada APK é assinado criptograficamente por seu editor. Se a assinatura de um arquivo não corresponder ao certificado de assinatura conhecido do editor, o arquivo foi alterado e não deverá ser instalado. Mesmo um único byte malicioso injetado em um APK invalidará a assinatura.

O que procurar:

• Esquema de assinatura v2/v3/v4 presente (o Android moderno exige isso).
• Impressão digital do certificado (SHA-256) corresponde a uma impressão digital publicada pelo desenvolvedor ou a uma cópia instalada anteriormente do mesmo aplicativo.
• O certificado é não expirou e a cadeia de assinatura está intacta.

Você pode executar esta verificação totalmente offline usando nosso Verificador de APK: arraste o .apk, veja o certificado de assinatura e a impressão digital SHA-256 e compare-o com o valor que o desenvolvedor publica.

3. Compare o hash SHA-256

Um hash SHA-256 é uma impressão digital fixa de 64 caracteres do conteúdo do arquivo. Se pelo menos um byte for alterado, o hash muda completamente. Desenvolvedores respeitáveis ​​publicam o SHA-256 de cada versão junto com o download.

Processo:

1. Calcule o SHA-256 do APK em sua máquina (a maioria dos sistemas operacionais inclui um comando sha256sum ou equivalente; você também pode usar nosso verificador de APK).
2. Compare-o caractere por caractere com o valor publicado pelo desenvolvedor em seu site oficial.
3. Se os valores corresponderem, o arquivo será idêntico em bytes ao que o desenvolvedor lançou. Se forem diferentes, não instale.

4. Revise o manifesto e as permissões antes de instalar

O sistema de permissão do Android é sua última linha de defesa. Antes de instalar qualquer coisa fora da Play Store, abra o pacote com nossa ferramenta Informações do APK e leia o manifesto. Fique atento para:

• Permissões desproporcionais. Uma calculadora offline simples não precisa de SMS, contatos, serviço de acessibilidade ou acesso de administrador do dispositivo. Qualquer coisa que exija muito mais do que o seu trabalho exige é suspeita.
• O malware Abuso do serviço de acessibilidade. frequentemente abusa do BIND_ACCESSIBILITY_SERVICE para ler o conteúdo da tela e clicar em botões em nome do usuário. Conceda isso apenas a aplicativos em que você confia e que realmente precisam dele (leitores de tela, gerenciadores de senhas, etc.).
• Administrador do dispositivo/Proprietário do dispositivo. Quase nenhum aplicativo de consumo precisa disso legitimamente. Se um aplicativo transferido por sideload solicitar isso, pare.
• Nome do pacote incompatível. Se o nome do pacote (por exemplo, com.example.app não corresponder ao pacote original do aplicativo, o arquivo está representando um produto real).
• Componentes exportados desconhecidos. Atividades, serviços ou receptores de transmissão que são exportados e parecem fora do lugar podem ser um backdoor.

5. Sinais de alerta comuns a fontes não confiáveis

Quer a fonte seja um site, um grupo de bate-papo ou um anexo de e-mail, trate-a como não confiável se você vir alguma das seguintes situações:

• Cópias gratuitas de aplicativos pagos ou versões "premium desbloqueadas" de aplicativos comerciais. Eles são pirateados, frequentemente modificados e frequentemente carregam malware.
• Marca "Mod" ou "crackeada". APKs modificados, por definição, falham na verificação de assinatura e podem conter qualquer coisa que o modder tenha adicionado.
• Vários botões confusos de "Download" que acabam sendo anúncios.
• Pop-ups agressivos, alertas falsos de "vírus detectados" ou redirecionamentos forçados.
• Sem HTTPS. Se a fonte não for veiculada por meio de uma conexão criptografada, seu download poderá ser trocado silenciosamente em trânsito.
• Nenhuma informação do editor, nenhum detalhe de assinatura, nenhum changelog. Uma versão legítima tem tudo isso.
• Pressão para desativar o Play Protect ou para conceder acessibilidade / device-admin "para fazê-lo funcionar".

6. Após a instalação: Fique atento

A verificação não é um evento único. Após uma instalação sideload:

• Deixe Google Play Proteger ativado. Ele verifica os pacotes instalados periodicamente.
• Fique atento a consumo inesperado de bateria, uso de rede ou sobreposições de pop-ups, assinaturas clássicas de malware.
• Abra Configurações → Aplicativos periodicamente e revise todos os aplicativos que você não usa mais; desinstale-os.
• Se um aplicativo for atualizado fora da Play Store, verifique se a assinatura da nova versão corresponde à instalada anteriormente. Uma incompatibilidade é uma emergência.

7. O que este site oferece (e não)

XAPK para APK é um conjunto de conversores e inspetores de formato de arquivo baseados em navegador. Não hospedamos arquivos APK, não vinculamos sites de download de APK e não facilitamos a pirataria. Cada ferramenta neste site processa arquivos localmente no seu navegador, sem upload, sem cópia, sem retenção. Consulte nosso Isenção de responsabilidade e política de Privacidade para obter detalhes completos.

Regras de ouro para verificar downloads de APK de terceiros

O sideload é um recurso legítimo e poderoso da plataforma Android, mas transfere a responsabilidade de segurança dos revisores do Google para você. Ao aderir à Play Store oficial para aplicativos pagos e de consumo, restringir o carregamento lateral a versões de software de desenvolvedores originais aos quais você já tem acesso legal e verificar a assinatura e o hash de cada pacote antes de instalar, você pode aproveitar essa flexibilidade sem comprometer a segurança ou infringir a lei.