134_ 移动恶意软件分析技术指南：从样本捕获到行为分析的完整流程

样本获取 → 静态分析 → 动态分析 → 行为分析 → 报告生成 → 防御策略

移动恶意软件发展趋势：
├── 攻击目标更加精准 (针对金融、医疗等特定行业)
├── 技术手段更加复杂 (反分析、混淆、多阶段感染)
├── 利用零日漏洞增加 (绕过传统安全防御)
├── 恶意软件变种快速演变 (逃避签名检测)
└── 结合社会工程学手段 (提高感染成功率)

分析环境要求：
├── 物理隔离网络 (避免样本外联)
├── 虚拟化分析平台 (Android模拟器/iOS模拟器)
├── 取证工具链 (内存取证、网络分析)
└── 快照功能 (快速重置分析环境)

法律与道德准则：
1. 仅在授权环境中分析样本
2. 避免样本泄露或意外传播
3. 尊重知识产权和隐私法规
4. 获得必要的法律授权
5. 承担保密责任

# 样本基本信息提取
file malware_sample.apk  # 确认文件类型
sha256sum malware_sample.apk  # 计算哈希值用于唯一标识
strings malware_sample.apk | grep -i "http\|command\|payload"  # 快速检查关键字

# 解压APK文件进行分析
mkdir malware_analysis
unzip malware_sample.apk -d malware_analysis

# 检查关键文件和目录
ls -la malware_analysis/

可疑元素检查：
├── AndroidManifest.xml (检查权限和组件)
├── classes.dex (检查恶意代码)
├── assets/ (检查隐藏资源)
├── lib/ (检查原生库)
└── META-INF/ (检查签名信息)

<!-- 可疑权限示例 -->
<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.READ_SMS" />
<uses-permission android:name="android.permission.RECEIVE_SMS" />
<uses-permission android:name="android.permission.READ_CONTACTS" />

<!-- 可疑组件示例 -->
<receiver android:name=".HiddenReceiver">
    <intent-filter>
        <action android:name="android.provider.Telephony.SMS_RECEIVED" />
    </intent-filter>
</receiver>

# 使用Apktool反编译APK
apktool d malware_sample.apk -o malware_decompiled

# 分析Smali代码中的可疑部分
find malware_decompiled/smali -type f -name "*.smali" | xargs grep -l "http\|exec\|Runtime"

# 使用dex2jar和JD-GUI查看Java代码
d2j-dex2jar.sh malware_sample.apk

# 使用MobSF进行静态分析
curl -F "file=@malware_sample.apk" http://localhost:8000/api/v1/upload -H "Authorization: YOUR_API_KEY"

# 使用APKiD识别打包工具和混淆技术
python3 apkid.py malware_sample.apk

# 使用Android Studio创建模拟器
# 或使用AVD Manager命令行

# 配置模拟器网络代理到分析工具
avdmanager create avd -n malware_analysis -k "system-images;android-28;google_apis;x86_64"
emulator -avd malware_analysis -http-proxy http://10.0.2.2:8080

# 使用Burp Suite捕获和分析HTTP/HTTPS流量
# 1. 在模拟器上安装Burp CA证书
# 2. 配置代理到Burp Suite

# 使用tcpdump捕获原始网络流量
adb shell tcpdump -i any -p -s 0 -w /sdcard/malware_traffic.pcap
adb pull /sdcard/malware_traffic.pcap .

# 使用inotifywait监控文件系统变化
adb shell "inotifywait -m -r /data/data/com.malware.package/"

# 检查应用创建或修改的文件
adb shell "find /data/data/com.malware.package/ -type f -mtime -1"

# 使用frida跟踪应用的系统调用
frida -U -f com.malware.package -l syscall_monitor.js --no-pause

# 使用strace监控原生库调用
adb shell strace -p [进程ID]

# 解压IPA文件
unzip malware_sample.ipa -d malware_ios_analysis

# 分析Info.plist中的可疑配置
plutil -convert xml1 malware_ios_analysis/Payload/example.app/Info.plist -o -

# 检查二进制文件中的字符串
strings malware_ios_analysis/Payload/example.app/example | grep -i "http\|command\|password"

# 在越狱设备上安装必要工具
ssh root@[设备IP]
apt-get update
apt-get install openssh cycript frida-server

# 启动Frida服务器
/usr/sbin/frida-server &

// frida_script.js示例：监控URL请求
Interceptor.attach(ObjC.classes.NSURLSession['-dataTaskWithURL:completionHandler:'].implementation, {
    onEnter: function(args) {
        var url = new ObjC.Object(args[2]).toString();
        console.log("URL请求: " + url);
    }
});

// 执行脚本
// frida -U -f com.malware.package -l frida_script.js --no-pause

// Frida脚本：绕过Root检测
Java.perform(function() {
    // 绕过常见的Root检测API
    var file = Java.use("java.io.File");
    file.exists.implementation = function() {
        // 检查是否在检测Root相关文件
        if (this.toString().includes("su") || 
            this.toString().includes("busybox") || 
            this.toString().includes("magisk")) {
            return false;  // 返回不存在
        }
        return this.exists();
    };
});

常见的代码混淆技术：
├── 类名/方法名混淆 (使用无意义的短名称)
├── 字符串加密 (运行时解密敏感字符串)
├── 控制流混淆 (插入无意义的控制结构)
├── 反射调用 (使用反射隐藏实际调用)
└── 多层嵌套解密 (使用多层解密掩盖真实代码)

# Android内存转储
adb shell am dumpheap [进程ID] /data/local/tmp/malware_heap.hprof
adb pull /data/local/tmp/malware_heap.hprof .

# iOS内存转储
ssh root@[设备IP]
ps -e | grep com.malware.package  # 查找进程ID
lldb -p [进程ID] -o "process save-core /tmp/malware_memory.dump" -o "quit"
scp root@[设备IP]:/tmp/malware_memory.dump .

# 使用YARA规则识别恶意软件家族
yara -r malware_rules.yar malware_sample.apk

# 使用VirusTotal API获取家族信息
curl -F "file=@malware_sample.apk" "https://www.virustotal.com/api/v3/files" -H "x-apikey: YOUR_API_KEY"

分析报告结构：
1. 执行摘要
2. 样本信息
   - 文件信息 (名称、大小、哈希值)
   - 基本属性 (包名、版本、签名信息)
3. 静态分析结果
   - 权限分析
   - 组件分析
   - 代码分析
4. 动态分析结果
   - 网络行为
   - 文件系统活动
   - 恶意行为观察
5. 技术细节
   - 感染机制
   - 持久化方法
   - 通信协议
6. 威胁评估
   - 危害等级
   - 潜在影响
   - 传播途径
7. 检测与防御建议

IOC类型：
├── 网络指标 (C2服务器地址、域名、IP地址)
├── 哈希值 (MD5、SHA1、SHA256)
├── 文件名和路径 (恶意文件名称和路径)
├── 注册表项 (Windows注册表项)
├── YARA规则 (自定义检测规则)
└── 行为指标 (特定的恶意行为模式)

# 1. 初步分析
file banker.apk
sha256sum banker.apk

# 2. 静态分析
apktool d banker.apk -o banker_decompiled

# 3. 检查可疑权限
cat banker_decompiled/AndroidManifest.xml | grep permission

# 4. 动态分析
# 在沙箱中安装并运行，监控网络流量和文件系统活动

# 1. 分析IPA文件
unzip ios_malware.ipa -d ios_analysis

# 2. 检查二进制文件
otool -l ios_analysis/Payload/MalwareApp.app/MalwareApp

# 3. 使用Hopper分析代码
# 4. 在越狱设备上使用Frida监控行为

# 识别加密机制
strings ransomware.apk | grep -i "encrypt\|decrypt\|key\|AES\|RSA"

# 分析加密目标文件
# 了解解密条件和方法