Root e hook
Proteção contra root e hook
Como aparelhos com root e frameworks de hooking são usados contra apps que movimentam dinheiro, e o que o app pode fazer.
Resposta curta
Root dá controle total do sistema operacional; frameworks de hooking como Frida e Xposed reescrevem o que o app faz enquanto roda. Para se proteger dos dois, o app combina várias detecções (rastros de root, instrumentação, funções com hook, código modificado), decide a resposta por política e confirma as ações sensíveis no servidor.
O que o root muda
Num aparelho com root, as proteções do sistema operacional deixam de valer: outros apps e ferramentas leem os arquivos e a memória do seu app e mudam o comportamento dele. Muita gente faz root no celular por motivos legítimos, então root é sinal, não veredito.
O que o hook faz
Um framework de hooking intercepta funções dentro do seu processo: faz uma verificação devolver verdadeiro, lê um token antes de ser cifrado ou troca o destino de uma transferência. Funciona em aparelhos com root e, com um gadget injetado, em cópias reempacotadas do app.
Como responder
Detecte vários sinais, não um só. Comece registrando, depois avise ou peça uma autenticação extra, e bloqueie só as ações que importam, como pagamentos. Mantenha a decisão numa política revisada e confirme as ações sensíveis com um veredito que o servidor consegue conferir.
O que dizem as fontes
O Frida se descreve como um kit de instrumentação dinâmica de código, a capacidade usada para fazer hook em funções de um app rodando.
Fonte · conferido em
O OWASP MASVS-RESILIENCE-2 pede que o app implemente mecanismos contra adulteração.
Fonte · conferido em
O veredito de aparelho do Play Integrity indica se o aparelho atende à integridade básica, de dispositivo ou forte, o que ajuda o servidor a julgar o ambiente.
Fonte · conferido em
O que a Moatgator faz
O Runtime detecta indícios de root e jailbreak, Frida server e gadget, Xposed e frameworks parecidos, e funções do sistema com hook.
Fonte · conferido em
Cada detecção tem a sua resposta no moatgator.yml, e todas começam em modo monitorar.
Fonte · conferido em
O Attest parte do Play Integrity e soma os sinais de runtime da Moatgator num veredito que o seu backend confere.
Fonte · conferido em
Onde termina
Detectar root e hook é uma corrida: as ferramentas mudam e algumas se escondem das verificações. Nenhuma detecção é perfeita, por isso o Runtime combina vários sinais e trabalha junto com o Shield e com a verificação no servidor.
Perguntas frequentes
Devo bloquear todo aparelho com root?
Em geral, não. Root é sinal; muita gente faz root por motivos legítimos. Bloqueie as ações sensíveis, não o app inteiro, e olhe os dados antes.
Dá para detectar o Frida?
O Frida server, o gadget e as funções com hook deixam rastros que o app consegue detectar. Nenhuma dessas verificações é perfeita sozinha, então combine várias.
E o Magisk escondendo o root?
Ferramentas que escondem o root derrubam verificações simples. Junte os sinais do aparelho com um veredito conferido no servidor, como o Play Integrity, que o aparelho não consegue simplesmente forjar.
A detecção deixa o app lento?
As verificações têm algum custo. Meça no seu app e escolha quais detecções rodar e com que frequência.
Veja como está o seu app
Envie um APK, AAB ou IPA para o Scan grátis e receba uma nota, sem cadastro.