progresso.md — registro de execução (permite retomada)

Atualizado em: 2026-10-30 (horário local BRT)

Etapa 1 — Preparação e capacidades

• [x] Arquivo conferido: C:\Users\ADM\Downloads\NFCLocator-.apk, 3.770.889 bytes
• [x] SHA-256: 21ccef318fed2f2013fda52603a0d3473aba1b75b8dcf0ce46f98460de98d205
• [x] Cópia de trabalho: analise-apk/NFCLocator-analysis.apk (mesmo SHA-256). Original preservado e não modificado.
• [x] Ferramentas instaladas inventariadas (ver limitacoes.md §Ferramentas)
• [x] Ferramentas ausentes registradas (jadx/apktool/apkanalyzer/rz-bin/strings/readelf/objdump)
• [x] Instalado durante a análise (via proxy, com verificação de SHA-256 quando publicado pelo upstream): jadx 1.5.6, apktool 3.0.3, jadx-headless-mcp 0.7.1
• [x] Capacidades REA descobertas: rea --help, providers jadx (0.7.1) e apktool (3.0.3)

Etapa 2 — Proxy

• [x] Proxy validado por consulta de IP de saída: 148.227.87.37 — São Paulo/SP/BR — AS14593 (Starlink)
• [x] Proxy usado somente para baixar ferramentas de análise (GitHub Releases). Análise estática 100% local.
• [x] Nenhuma chamada a endpoints do APK foi feita
• [x] Configuração temporária do proxy removida (arquivo de ambiente apagado, variáveis RPROXY/HTTP(S)_PROXY desfeitas); verificado: 0 ocorrências de credencial do proxy dentro de analise-apk/

Etapa 3 — Extração e identificação

• [x] Unzip completo em extraido/ (728 entradas)
• [x] Apktool 3.0.3: manifest legível, res/, smali/ em decompilado/apktool/
• [x] JADX 1.5.6: 3.028 arquivos .java em decompilado/jadx/ (7 classes com erro de decompilação)
• [x] REA: inspect-android-package, inspect-apk-signature, decode-android-resources, inspect-android-class, search-android-classes (saídas JSON em evidencias/rea-*.json)
• [x] Assinatura analisada (v1/v2/v3, 1 signer, certificado autoassinado)

Etapa 4 — Mapa da estrutura

• [x] Árvore de arquivos (evidencias/tree-apk.txt)
• [x] Inventário de classes por pacote (estrutura.md, dependencias.md)
• [x] Manifest: permissões, componentes, filtros, exportação (componentes-android.md)
• [x] Separação app vs terceiros (com ressalva de obfuscação — ver limitacoes.md)

Etapa 5 — Telas, fluxos, rede, armazenamento

• [x] Telas/layouts/strings e fluxos comprovados vs inferidos (telas-e-fluxos.md)
• [x] Strings cifradas decodificadas (base64+XOR e reversão) → domínios reais (api-e-integracoes.md)
• [x] Contrato WebSocket reconstruído a partir de vo5bwh / vn9w9z8k
• [x] Persistência: sem SharedPreferences/Room/Keystore; WebView DOM Storage (armazenamento.md)
• [x] Assets binários de alta entropia e não referenciados pelo código (achado relevante)

Etapa 6 — Reconstrução

• [x] Recompilação real do material recuperado com apktool b → projeto-reconstruido/NFCLocator-rebuilt-unsigned.apk
• [x] Assinado com chave de análise gerada localmente → NFCLocator-rebuilt-signed.apk
• [x] Verificado com apksigner verify (OK) e comparação de estrutura DEX/ARSC
• [x] Projeto Gradle compilável: considerado não recuperável (justificativa em limitacoes.md)

Etapa 7 — Documentação

• [x] README.md, inventario.csv, estrutura.md, componentes-android.md, telas-e-fluxos.md, api-e-integracoes.md, armazenamento.md, dependencias.md, limitacoes.md, evidencias/

Não executado (por decisão de escopo/segurança)

• APK não foi executado em emulador/dispositivo: não há ambiente isolado dedicado disponível nesta máquina para esta execução e não houve autorização específica (a autorização do pedido é condicional).
• Nenhuma chamada aos domínios do APK; nenhuma credencial do APK utilizada (não há token/segredo no APK).

Etapa 8 — Publicação

• [x] Site estático gerado (tools/build_site.py → site/, 35 arquivos), self-contained: CSS e Mermaid embutidos (tools/vendor/mermaid.min.js), zero CDN
• [x] Pacote de deploy dist/analise-nfclocator.tar.gz (75 arquivos) — sem binários do APK (checagem no package.sh)
• [x] VPS 185.95.159.46 (Ubuntu 24.04): nginx 1.24 + Basic Auth (bcrypt) + TLS Let's Encrypt (185.95.159.46.sslip.io, expira 2027-01-28) + certbot.timer
• [x] Deploy via deploy/scripts/install-debian.sh (idempotente)
• [x] Verificado de fora: 401 sem credencial / 200 com credencial / 301 HTTP→HTTPS / *.apk → 404 / CSP 'self'
• [x] Ambiente pré-existente da VPS (emulador Poc_03, adb, netsimd, MVP :8765) não foi tocado
• [x] Publicação anterior (tailscale serve local + tools/serve.py) desativada