MobSF, sigla di Mobile Security Framework, è una piattaforma per valutare la sicurezza delle applicazioni mobili. Esamina un’app Android, iOS o Windows e ne ricava un rapporto con i permessi richiesti, le probabili debolezze, i segreti protetti male e il traffico di rete. Il software è libero, distribuito con licenza GPL v3 e sviluppato da un piccolo gruppo di cui fanno parte Ajin Abraham, Magaofei, Matan Dobrushin e Vincent Nadal. Il giorno della nostra verifica il suo repository GitHub superava le 21.000 stelle.
La versione 4.5.3 è comparsa su PyPI il 21 settembre 2026, poche settimane dopo la 4.5.2. Il progetto rilascia diversi aggiornamenti all’anno, che aggiungono regole di rilevamento e seguono l’evoluzione degli strumenti di compilazione Android.
A cosa serve MobSF
MobSF unisce due approcci. L’analisi statica lavora sul file senza eseguirlo: un APK per Android, un’IPA per iOS, un APPX per Windows oppure direttamente il codice sorgente. Lo strumento decompila l’app, legge il manifest, controlla i certificati, individua le librerie incluse e cerca nel codice gli errori più comuni, come dati salvati in chiaro, protezioni di rete disattivate o chiavi di accesso scritte nel codice. La versione 4.5.2, per esempio, ha aggiunto il rilevamento di token GitHub, Slack, Stripe o OpenAI dimenticati nelle stringhe. I risultati compaiono in un’interfaccia web servita dalla macchina locale.
L’analisi dinamica osserva invece l’app in funzione. MobSF la avvia in un emulatore Android, in una macchina virtuale Genymotion, in un dispositivo virtuale Corellium o su un iPhone con jailbreak, e ne registra il comportamento: file scritti, dati trattati, traffico di rete. Per strumentare l’app dall’interno si appoggia a Frida, presente anche nel nostro catalogo. Chi esegue la verifica vede così ciò che l’app fa davvero, non solo ciò che il codice lascia intuire.
Il suo ruolo nasce proprio da questa automazione. Un analista potrebbe concatenare a mano un decompilatore, Frida e un proxy come Burp Suite Professional. MobSF raccoglie questi passaggi e fornisce in poco tempo una prima mappa dell’app, che l’esperto approfondisce poi con strumenti specifici. Un’API REST e un’utilità a riga di comando consentono di inserirlo in una pipeline di integrazione continua, e il progetto pubblica anche mobsfscan, uno scanner di codice più leggero pensato per queste pipeline. Serve infine nell’analisi del malware, per capire in fretta che cosa chiede un’app sospetta e con quali server comunica.
Per chi è?
MobSF si rivolge a chi valuta la sicurezza delle app mobili per mestiere, ai team DevSecOps che vogliono un controllo automatico a ogni nuova build, agli sviluppatori che desiderano verificare la propria app prima della pubblicazione e agli analisti che studiano app malevole. I suoi rapporti dettagliati lo rendono utile anche nei corsi di sicurezza mobile.
Conviene conoscerne i limiti. Un rapporto automatico contiene falsi positivi e non sostituisce l’occhio di uno specialista. L’analisi delle app iOS funziona solo su macOS, su Linux o in un container Docker, mentre quella delle app Windows richiede un host o una macchina virtuale Windows. L’analisi dinamica è ancora più esigente: la documentazione la limita ad Android 11 su emulatori e Genymotion, richiede un sistema con root e, per iOS, un dispositivo con jailbreak o un’istanza Corellium, piattaforma commerciale estranea al progetto. L’installazione dai sorgenti chiede Python 3.12, OpenJDK 21 e diverse dipendenze di sistema, motivo per cui molti scelgono l’immagine Docker.
Scaricare MobSF in sicurezza
Il codice sorgente si trova nel repository GitHub MobSF/Mobile-Security-Framework-MobSF e la documentazione ufficiale su mobsf.github.io. Le strade per installarlo sono due: gli script forniti per Windows, macOS e Linux, oppure l’immagine Docker opensecurity/mobile-security-framework-mobsf, che secondo Docker Hub pesa circa 940 MB. Il pacchetto è pubblicato anche su PyPI con il nome mobsf. Il software è gratuito e tutte le funzioni sono incluse. Il team vende a parte pacchetti di assistenza per le aziende e corsi online tramite OpSecX, e offre un aiuto gratuito limitato su Slack.
A MobSF si affidano app talvolta riservate, talvolta malevole. Un’immagine caricata da un account sconosciuto o un archivio modificato potrebbe sottrarre quei file o compromettere la macchina di analisi. L’account opensecurity su Docker Hub, l’organizzazione MobSF su GitHub e il pacchetto mobsf su PyPI sono le uniche fonti da considerare.
Domande frequenti
MobSF è gratuito?
Sì. MobSF è distribuito con licenza GPL v3 e nessuna funzione è riservata a un’edizione a pagamento. Si pagano solo l’assistenza aziendale e i corsi proposti dal team, entrambi facoltativi.
Si può analizzare un’app iOS senza un Mac?
Sì per l’analisi statica, che funziona su Linux o nel container Docker. Su Windows non è disponibile senza Docker. L’analisi dinamica richiede inoltre un iPhone con jailbreak o un’istanza Corellium.
Che rapporto c’è tra MobSF e Frida?
MobSF usa Frida per strumentare le app durante l’analisi dinamica, sia su Android dalla versione 5 alla 11 sia sui dispositivi iOS di Corellium. Frida si può usare anche da solo, quando l’analista vuole scrivere script propri e spingersi oltre il rapporto automatico.
