Как проверить APK на вирусы перед установкой

Что такое SHA-256 и зачем сверять хеш

Хеш - это короткий отпечаток файла, который вычисляется по его содержимому. SHA-256 выдает отпечаток длиной 256 бит, который записывают строкой из 64 шестнадцатеричных символов: цифр от 0 до 9 и букв от a до f. Подобрать другой файл с тем же хешем на практике невозможно, поэтому совпадение строк означает, что у вас тот же файл.

Хеш защищает от двух проблем: подмены файла на зеркале или в пересылке и повреждения при загрузке. На standoff2mod.ru известный SHA-256 показан в карточке файла. Для внешних ссылок хэш может быть неизвестен, а результат VirusTotal публикуется только после доступной проверки. Файл из другого источника может называться так же, но иметь другой хеш, и тогда это уже другой файл.

Хеш не оценивает безопасность: он подтверждает только то, что у вас тот же файл, который прошел проверку на сайте. Оценку содержимого дают отчет VirusTotal и анализ разрешений.

Как посчитать SHA-256 на телефоне и компьютере

На Android подойдет файловый менеджер, который показывает контрольные суммы в свойствах файла, или отдельное приложение для хешей. В Windows хеш выдает командлет Get-FileHash в PowerShell, и по умолчанию он использует именно SHA-256. Другой вариант для Windows - команда certutil с ключом -hashfile и названием алгоритма SHA256. В macOS и Linux для этого есть команды shasum с параметром -a 256 и sha256sum.

Сравнивать нужно всю строку, а не первые и последние символы: подделка может совпадать с оригиналом по краям. Регистр букв значения не имеет, заглавные и строчные символы в записи хеша равнозначны. Удобно вставить обе строки в заметку и сравнить поиском, чтобы не ошибиться глазами.

Как проверить файл на VirusTotal

VirusTotal - онлайн-сервис, который проверяет файл десятками антивирусных движков и показывает результат каждого. Найти готовый отчет можно по SHA-256: если файл уже проверяли, повторно загружать его не нужно. Если отчета нет, файл загружают на сервис вручную и ждут окончания анализа.

Загруженные файлы VirusTotal передает партнерам из индустрии безопасности, и их могут скачать исследователи. Поэтому личные документы туда не отправляют, а для APK из открытого доступа это не проблема.

На standoff2mod.ru ссылка на отчет VirusTotal и дата скана отображаются в карточке, если результат проверки получен. Отсутствие отчета не означает, что файл безопасен. Отчет открывается без загрузки файла, и хеш в нем можно сравнить с хешем скачанного APK. Если хеши совпадают, отчет относится именно к вашему файлу.

Как читать результат «VirusTotal: X из Y»

X - это число движков, которые отметили файл как опасный, а Y - число движков, которые вернули результат. Ноль в первой части не доказывает безопасность: новый или хорошо спрятанный вредоносный код антивирусы могут еще не знать. Несколько срабатываний не всегда означают угрозу, поэтому важны названия детектов, а не только их число.

Дата скана тоже важна. Базы антивирусов обновляются, и повторный анализ старого файла может дать другой результат. На VirusTotal для этого есть кнопка повторного анализа, которая проверяет файл свежими базами.

Кроме списка детектов, отчет содержит вкладку с деталями: хеши, имя пакета, сертификат подписи и разрешения из манифеста. Если обновление мода подписано другим сертификатом, чем прошлая версия из того же источника, это повод насторожиться. Вкладка поведения, если она есть, показывает, к каким адресам обращалось приложение в песочнице.

Чем riskware и hacktool отличаются от trojan, stealer, banker и spyware

Для читов важнее не число детектов, а их тип. Riskware - метка для программ, которые сами по себе не вредят, но их функции можно использовать во вред. Hacktool - метка для инструментов взлома и модификации, включая читы, патчеры и инжекторы. Для чита такие детекты ожидаемы: он по определению вмешивается в чужую программу, и на сайте они отмечаются, но публикацию не блокируют.

Trojan - программа, которая под видом полезной выполняет скрытые вредоносные действия. Stealer крадет пароли, cookies, сессии и токены входа в игры, мессенджеры и соцсети. Banker охотится за банковскими данными: показывает поддельные окна поверх приложений банков и перехватывает SMS-коды. Spyware следит за владельцем телефона и отправляет его переписку, контакты, звонки и местоположение.

Детекты этих четырех типов блокируют публикацию файла на standoff2mod.ru. Если такое название встречается в отчете о стороннем файле, его не ставят, даже если остальные движки молчат. Также встречаются метки adware и PUA: первая означает навязчивую рекламу, вторая - потенциально нежелательное приложение.

Какие разрешения APK должны насторожить

Мод-меню для игры обычно нужны доступ в интернет и разрешение на показ окон поверх других приложений: через него рисуется плавающее меню. Остальные запросы сравнивают с тем, что заявлено в описании чита. Некоторые разрешения игровому моду не нужны почти никогда.

• Чтение и отправка SMS: так крадут коды подтверждения и подписывают на платные услуги.
• Доступ к специальным возможностям: с ним приложение видит экран и нажимает кнопки за пользователя.
• Права администратора устройства: они мешают удалить программу.
• Доступ к уведомлениям: через него читают коды из банков и мессенджеров.
• Контакты, журнал звонков, микрофон и местоположение: игровому моду эти данные не нужны.
• Установка других приложений: с этим правом программа может скачать и предложить к установке еще один APK.

Полный список разрешений до установки виден во вкладке деталей отчета VirusTotal. После установки выданные права показывает раздел «Разрешения» в настройках приложения. В Android 13 появились ограниченные настройки: приложению из файла система может не дать доступ к специальным возможностям без отдельного подтверждения. Если мод настойчиво просит снять это ограничение, это повод остановиться.

Почему ни одна проверка не дает полной гарантии

Антивирусы находят известный вредоносный код по сигнатурам и эвристике, а новые образцы какое-то время остаются незамеченными. Приложение может пройти проверку чистым и скачать вредоносный модуль уже после установки: VirusTotal проверяет только тот файл, который ему передали. Читы нередко запутывают код для защиты от античита, и такая обфускация усложняет анализ.

Поэтому проверка снижает риск, но не исключает его. Разумный порядок такой: сверить SHA-256, открыть отчет с датой скана, проверить разрешения и отозвать лишние права после установки. Для игр есть отдельный риск: античит Standoff 2 блокирует аккаунты за стороннее ПО, и чистый отчет VirusTotal от бана не защищает.

Как устроена проверка файлов на standoff2mod.ru

Сайт не пишет, не модифицирует и не собирает читы. Владелец загружает файлы или добавляет ссылки на внешнее хранилище; при внешнем хранении кнопка скачивания перенаправляет на файловый хостинг. Для файлов, загруженных на сервер сайта, вычисляется SHA-256. Проверка файла или внешней ссылки через VirusTotal выполняется при подключенном сервисе; хэш и размер внешнего файла могут быть неизвестны. На странице показывается реальный результат «VirusTotal: X из Y» со ссылкой на отчет и датой скана.

Детекты trojan, stealer, banker и spyware блокируют публикацию, а riskware и hacktool отмечаются на странице. Правила работы сайта описаны на странице о проекте standoff2mod.ru, а порядок установки проверенного файла - в пошаговой инструкции по установке APK. Файлы с этими данными собраны в разделе читы с отчетами VirusTotal для Android.