MobSF, pour Mobile Security Framework, est une plateforme d’audit de sécurité des applications mobiles. Elle examine une application Android, iOS ou Windows et en tire un rapport qui recense ses permissions, ses faiblesses probables, ses secrets mal protégés et ses échanges réseau. Le logiciel est libre, distribué sous licence GPL v3, et développé par une petite équipe où figurent Ajin Abraham, Magaofei, Matan Dobrushin et Vincent Nadal. Son dépôt GitHub affichait plus de 21 000 étoiles le jour de notre consultation.
La version 4.5.3 a été publiée sur PyPI le 21 septembre 2026, quelques semaines après la 4.5.2. Le projet sort plusieurs mises à jour par an, qui ajoutent des règles de détection et suivent l’évolution des outils de compilation Android.
À quoi sert MobSF
MobSF combine deux approches. L’analyse statique travaille sur le fichier sans l’exécuter : paquet APK pour Android, archive IPA pour iOS, paquet APPX pour Windows, ou directement le code source. L’outil décompile l’application, lit son manifeste, contrôle ses certificats, identifie les bibliothèques embarquées et cherche dans le code les erreurs courantes, comme des données stockées en clair, des protections réseau désactivées ou des clés d’accès écrites en dur. La version 4.5.2 a par exemple ajouté la détection de jetons GitHub, Slack, Stripe ou OpenAI oubliés dans les chaînes de caractères. Les résultats s’affichent dans une interface web servie par la machine locale.
L’analyse dynamique, elle, observe l’application en fonctionnement. MobSF la lance dans un émulateur Android, une machine virtuelle Genymotion, un appareil virtuel Corellium ou un iPhone débridé, puis enregistre son comportement : fichiers écrits, données manipulées, trafic réseau. Pour instrumenter l’application de l’intérieur, il s’appuie sur Frida, que l’on trouve aussi dans notre logithèque. L’auditeur voit ainsi ce que l’application fait réellement, et pas seulement ce que son code laisse supposer.
Sa place dans l’écosystème tient à cette automatisation. Un auditeur pourrait enchaîner à la main un décompilateur, Frida et un proxy comme Burp Suite Professional. MobSF regroupe ces étapes et livre rapidement une première cartographie, que l’expert approfondit ensuite avec des outils spécialisés. Une API REST et un utilitaire en ligne de commande permettent de l’intégrer dans une chaîne d’intégration continue, et le projet publie à côté mobsfscan, un analyseur de code plus léger prévu pour ces pipelines. Il sert enfin à l’analyse de logiciels malveillants, pour voir vite ce qu’une application suspecte réclame et avec quels serveurs elle communique.
Pour qui ?
MobSF vise les auditeurs chargés d’évaluer des applications mobiles, les équipes DevSecOps qui veulent un contrôle automatique à chaque nouvelle version, les développeurs qui souhaitent vérifier leur application avant publication et les analystes qui examinent des applications malveillantes. Son rapport détaillé se prête aussi à l’enseignement de la sécurité mobile.
Il faut en connaître les limites. Un rapport automatique contient des faux positifs et ne remplace pas le regard d’un spécialiste. L’analyse des applications iOS ne fonctionne que sous macOS, sous Linux ou dans un conteneur Docker, et celle des applications Windows exige un hôte ou une machine virtuelle Windows. L’analyse dynamique est plus exigeante encore : la documentation la limite à Android 11 sur les émulateurs et Genymotion, demande un système rooté, et suppose pour iOS un appareil débridé ou une instance Corellium, plateforme commerciale indépendante du projet. L’installation depuis les sources réclame Python 3.12, OpenJDK 21 et plusieurs dépendances système, ce qui pousse beaucoup d’utilisateurs vers l’image Docker.
Télécharger MobSF sans risque
Le code source se trouve sur le dépôt GitHub MobSF/Mobile-Security-Framework-MobSF et la documentation officielle sur mobsf.github.io. Deux voies d’installation existent : les scripts fournis pour Windows, macOS et Linux, ou l’image Docker opensecurity/mobile-security-framework-mobsf, qui pèse environ 940 Mo d’après Docker Hub. Le paquet est également publié sur PyPI sous le nom mobsf. Le logiciel est gratuit et toutes ses fonctions sont accessibles. L’équipe vend à côté des forfaits de support pour les entreprises et des formations en ligne via OpSecX, et propose une aide gratuite limitée sur Slack.
On confie à MobSF des applications parfois confidentielles, parfois malveillantes. Une image publiée par un compte inconnu ou une archive retouchée pourrait détourner ces fichiers ou compromettre la machine d’audit. Le compte opensecurity sur Docker Hub, l’organisation MobSF sur GitHub et le paquet mobsf de PyPI restent les seules sources à retenir.
Questions fréquentes
MobSF est-il gratuit ?
Oui. MobSF est publié sous licence GPL v3, sans fonction réservée à une édition payante. Seuls le support entreprise et les formations proposées par l’équipe sont facturés, et ils restent facultatifs.
Peut-on analyser une application iOS sans Mac ?
Oui pour l’analyse statique, qui fonctionne sous Linux ou dans le conteneur Docker. Elle n’est pas disponible sous Windows sans Docker. L’analyse dynamique demande en plus un iPhone débridé ou une instance Corellium.
Quel lien entre MobSF et Frida ?
MobSF utilise Frida pour instrumenter les applications pendant l’analyse dynamique, sur Android 5 à 11 comme sur Corellium iOS. Frida s’emploie aussi seul, quand un auditeur veut écrire ses propres scripts et aller plus loin que le rapport automatique.
