AVL Code
全部案例
#012 · 样本分析

案例研究 · 样本分析

多 Agent 并行分析 Android 银行木马

一位移动安全分析员拿到一个伪装成正常应用的安卓安装包，要在不执行样本的前提下快速定性。一条指令、三个并行子 Agent，约 95 秒后他手里多了一份含 IOC 清单与 YARA 规则的完整分析报告。

对象：11.9 MB 恶意 APK（纯静态，不执行）· 模型：澜砥 N2.5（AVL-Zero 提供）· 耗时：约 95 秒（多 Agent 并行）· 交付：完整分析报告 · IOC · YARA 规则

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    送检定性 — 纯静态完成哈希、结构与熵分析

    把样本文件名和报告要求一次性交给 AVL Code，你会看到它确认样本存在、算出 MD5/SHA256、解析 APK 结构，并给出 7.92 的整体熵值。

  2. 02

    字符串考古 — 布局文件名直接点名 12 个支付品牌

    前 200 条字符串只是资源路径，你将看到它扩大提取并聚焦 AndroidManifest、权限、类名与 URL，让 activity_record_pay_*.xml 钓鱼界面成片浮出。

  3. 03

    多 Agent 并行 — 三个子 Agent 攻克混淆加密内容

    字符串里出现大量混淆/加密内容时，主 Agent 拆出三个子 Agent 并行分析，再整合所有发现。

  4. 04

    定性交付 — Critical 级银行木马报告落盘

    整合后的完整报告写入 malware_analysis_report.md：攻击链、IOC 清单与 YARA 规则，威胁定级严重（Critical）。

向 AVL Code 发布任务

帮我分析下这个安卓木马 net.queue.verifierx.transmitter.apk，形成完整分析报告，包括基本信息、恶意危害 、主要恶意行为  IOC等等的完整分析

前提：AVL Code 环境 + 待研判的 APK 样本文件。全程纯静态分析，无需真机或模拟器执行样本

复现材料见文末 亲自检测 ↓

多 Agent 并行分析与交付

一条指令送检，从定性到报告落盘全由 AVL Code 自主完成：

你输入 → AVL Code 
帮我分析下这个安卓木马 net.queue.verifierx.transmitter.apk，形成完整分析报告，包括基本信息、恶意危害 、主要恶意行为  IOC等等的完整分析
AVL Code 执行 → 你会看到
确认样本存在（11.9 MB）→ MD5/SHA256 · APK 结构解析 · 整体熵 7.92
→ 前 200 条字符串仅资源路径 → 扩大提取聚焦 AndroidManifest、权限、类名与 URL
→ activity_record_pay_*.xml 钓鱼界面成片浮出（14+ 个银行/支付目标）
→ 混淆/加密内容大量出现 → 拆 3 个子 Agent 并行攻克
→ 整合报告落盘 malware_analysis_report.md：攻击链 + IOC 清单 + YARA 规则 · 威胁定级 Critical

亲自检测

你只需要一个待研判的 APK 和 AVL Code：核对哈希后发出一条指令，等报告落盘。

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
步骤 1 · 送检：将可疑 APK 放入工作区，核对样本哈希
  MD5: 18827998ad05c58da1d218066374fe16
  SHA256: c692ad120cc90548d48dbe57d006f2403c49833b8993af3c38fe031eb39999bd
步骤 2 · 单轮指令：帮我分析下这个安卓木马 <样本文件名>.apk，形成完整分析报告，包括基本信息、恶意危害、主要恶意行为、IOC 等等的完整分析
步骤 3 · 交付物：<报告文件名>.md（样本概览 / 核心恶意行为 / IOC 清单 / YARA 规则 / 攻击链 / 防护建议）
  • 本会话为单轮任务：从送检到报告落盘只有一条用户消息，后续推进均由 AVL Code 自主完成，因此正文中仅第一章设置对话面板。"约 95 秒"取自案例库既有数据，会话导出中各消息时间戳相同，无法从会话复核；三个子 Agent 的拆分明细与 MITRE 映射未出现在可读导出中，不做超出证据的推测。

下一个问题： 定性只是中间产物——下一步自然是把这些 YARA 规则部署到检测防线，并用同家族变体批量扫描验证检出率与误报。