Root et hooking
Protection contre le root et le hooking
Comment les appareils rootés et les frameworks de hooking sont utilisés contre les apps qui font circuler de l'argent, et ce qu'une app peut faire.
Réponse courte
Le root donne le contrôle total du système d'exploitation ; les frameworks de hooking comme Frida et Xposed réécrivent ce que fait une app pendant son exécution. Pour se protéger des deux, l'app combine plusieurs détections (traces de root, instrumentation, fonctions hookées, code modifié), décide de la réponse par politique et confirme les actions sensibles côté serveur.
Ce que le root change
Sur un appareil rooté, les protections du système d'exploitation ne tiennent plus : d'autres apps et outils peuvent lire les fichiers et la mémoire de votre app et modifier son comportement. Beaucoup d'utilisateurs avertis rootent leur téléphone pour des raisons légitimes : le root est un signal, pas un verdict.
Ce que fait le hooking
Un framework de hooking intercepte des fonctions dans votre processus : il peut faire renvoyer vrai à une vérification, lire un jeton avant son chiffrement ou changer le destinataire d'un virement. Il fonctionne sur les appareils rootés et, avec un gadget injecté, sur des copies reconditionnées de l'app.
Comment répondre
Détectez plusieurs signaux, pas un seul. Commencez par signaler, puis avertissez ou demandez une authentification supplémentaire, et ne bloquez que les actions qui comptent, comme les paiements. Gardez la décision dans une politique relue et confirmez les actions sensibles avec un verdict que le serveur peut vérifier.
Ce que disent les sources
Frida se décrit comme une boîte à outils d'instrumentation dynamique du code, la capacité utilisée pour hooker les fonctions d'une app en cours d'exécution.
Source · vérifié le
L'OWASP MASVS-RESILIENCE-2 demande que l'app mette en œuvre des mécanismes anti-falsification.
Source · vérifié le
Le verdict d'appareil de Play Integrity indique si l'appareil respecte l'intégrité de base, de l'appareil ou forte, ce qui aide le serveur à juger l'environnement.
Source · vérifié le
Ce que fait Moatgator
Runtime détecte les indices de root et de jailbreak, Frida server et gadget, Xposed et les frameworks similaires, ainsi que les fonctions système hookées.
Source · vérifié le
Chaque détection a sa propre réponse dans moatgator.yml, et toutes démarrent en mode surveillance.
Source · vérifié le
Attest s'appuie sur Play Integrity et ajoute les signaux d'exécution de Moatgator dans un verdict unique que votre backend vérifie.
Source · vérifié le
Les limites
Détecter le root et le hooking est une course : les outils évoluent et certains se cachent des vérifications. Aucune détection n'est parfaite, c'est pourquoi Runtime combine plusieurs signaux et fonctionne avec Shield et la vérification côté serveur.
Questions fréquentes
Faut-il bloquer tous les appareils rootés ?
En général, non. Le root est un signal ; beaucoup d'utilisateurs rootent pour des raisons légitimes. Bloquez les actions sensibles, pas toute l'app, et regardez d'abord les données.
Peut-on détecter Frida ?
Frida server, le gadget et les fonctions hookées laissent des traces que l'app peut détecter. Aucune de ces vérifications n'est parfaite seule, alors combinez-en plusieurs.
Et Magisk qui cache le root ?
Les outils qui cachent le root déjouent les vérifications simples. Associez les signaux de l'appareil à un verdict vérifié côté serveur, comme Play Integrity, que l'appareil ne peut pas simplement falsifier.
La détection ralentit-elle l'app ?
Les vérifications ont un coût. Mesurez-le sur votre app et choisissez quelles détections lancer et à quelle fréquence.
Voyez où en est votre app
Envoyez un APK, AAB ou IPA au Scan gratuit et obtenez une note, sans compte.