analyzing-android-malware-with-apktool

使用 Apktool 分析 Android 恶意软件

概述

以 APK 文件形式分发的 Android 恶意软件可以在不执行样本的情况下进行静态分析，提取权限、Activity、Service、Broadcast Receiver 以及可疑的 API 调用。本技能使用 androguard 进行程序化 APK 分析，识别危险权限组合、混淆代码模式、动态代码加载、基于反射的 API 调用以及网络通信指标。

何时使用

• 在调查需要分析 android malware with apktool 的安全事件时
• 在为此领域构建检测规则或威胁狩猎查询时
• 在 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

先决条件

• Python 3.9+ 及 androguard
• apktool（用于资源反编译）
• jadx（用于 Java 源代码恢复，可选）
• 隔离的分析环境（虚拟机或沙箱）
• 用于分析的样本 APK 文件

步骤

1. 使用 androguard 解析 APK 以提取清单元数据
2. 枚举请求的权限并标记危险组合
3. 从清单中列出 Activity、Service、Receiver 和 Provider
4. 扫描可疑的 API 调用（反射、加密、短信、电话）
5. 检测动态代码加载模式（DexClassLoader、Runtime.exec）
6. 从字符串中提取硬编码的 URL、IP 和 C2 指标
7. 生成带有 MITRE ATT&CK 移动端映射的风险评估报告

预期输出

• 包含权限分析、组件列表、可疑 API 调用、网络指标和风险评分的 JSON 报告
• 从 APK 中提取的字符串和潜在 IOC