AVL Code
全部案例
#015 · 样本分析

案例研究 · 样本分析

Android 远程访问控制木马（RAT）分析

移动安全分析员把一个商业级壳混淆的 Android APK 用一句自然语言指令送检 AVL Code，在样本沙箱只读、VT 未启用、无法脱壳的约束下，仅凭熵值与字符串/资源静态分析识别出针对华为、小米、OPPO、vivo、三星五大品牌的银行木马/RAT，拿到判定 Critical 的完整报告——IOC 清单、YARA 检测规则与五条处置建议当天可用。

AVL Code · 澜砥 N2.5-Flash（AVL-Zero 提供）· Android · 4,917,977 字节 APK · 整体熵 7.72· 约束：VT 未启用 · 样本沙箱只读 · 无法解包脱壳· 交付：完整分析报告 · IOC 清单 · YARA 规则· 威胁等级 严重（Critical）

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告

概览

  1. 01

    送检初探 — 熵 7.72 钉死"加壳 APK"

    你把 MD5 命名的样本交给 AVL Code：格式探测定 APK、字符串提取量熵值，7.72 加满屏随机乱码把"商业级壳"钉死，同时预告解包路线会碰壁。

  2. 02

    破局取证 — 三轮解包降级，一条品牌字符串改写走向

    你看着它依次尝试 Python、PowerShell、7z 全部落空，回到内置字符串引擎后，huawei,hinova,tianyi 这条品牌检测字符串把定性方向扭转。

  3. 03

    证据成链 — 五类恶意行为与五大品牌对上号

    连续多轮 sec.strings 定向提取，伪锁屏、录屏、偷拍、悬浮窗、无障碍配置逐个浮出，五大品牌图标坐实界面伪装能力。

  4. 04

    定性交付 — Critical 报告 + IOC + YARA

    你收到整合成册的分析报告：RAT/银行木马定性、攻击链推测、哈希与组件路径 IOC、可直接部署的 YARA 规则与五条处置建议。

向 AVL Code 发布任务

帮我分析 a94f85b04bafce6a961d989f46f481e8 形成完整分析报告，包括基本信息、恶意危害 、主要恶意行为 IOC等等的完整分析

前提：样本文件（以 MD5 命名）已导入工作区且为只读；AVL Code 已登录。会话中 VT 未启用、Python 与解包工具链不可用，均不阻断主流程——解包碰壁后自动转入字符串/资源取证路线

复现材料见文末 亲自检测 ↓

送检初探

一句指令送检，AVL Code 拿到样本后没有先跑沙箱——VT 未启用，它直接改走文件格式探测加纯静态分析：

你输入 → AVL Code 
帮我分析 a94f85b04bafce6a961d989f46f481e8 形成完整分析报告，包括基本信息、恶意危害 、主要恶意行为 IOC等等的完整分析
AVL Code 执行 → 你会看到
VT 未启用 → 改走文件格式探测 + 静态分析
→ 文件头 PK — ZIP/APK，Material Design 3 组件库的 Android APK
→ 整体熵 7.72 · 可打印字符串 99% 为随机乱码
→ 判定：高度加壳/混淆的商业级壳 APK，常规解包路线预期受阻

解包与降级

熵值判定已经预告了解包会受阻，但路线还是要走一遍才算数。同一句指令执行中，AVL Code 开始连环尝试并连环碰壁：

你输入 → AVL Code 
帮我分析 a94f85b04bafce6a961d989f46f481e8 ……（同一条指令执行中，未追加新输入）
AVL Code 执行 → 你会看到
连环尝试解包：Python → PowerShell → 7z 均未果，Manifest 明文未获
→ 回到内置能力：sec.strings 多轮定向提取可读字符串
→ 关键字符串浮出：huawei / hinova / tianyi 品牌定向检测 + 伪装资源清单
→ 顺藤挖出 xiaomi / redmi 与 activity_* 系列可疑组件名

资源取证

方向定下之后，字符串提取变成按图索骥，壳加密不到的资源目录名把恶意功能一件件交了出来：

你输入 → AVL Code 
……包括基本信息、恶意危害 、主要恶意行为 IOC等等的完整分析
AVL Code 执行 → 你会看到
sec.strings 持续定向提取，组件与资源证据成链
→ 伪锁屏 / 录屏 / 偷拍 / 钓鱼页 / 诱导授权等 activity 组件
→ 悬浮窗三件套 · 无障碍滥用配置 · 绕过隐私机制路由
→ 品牌图标：华为 / 小米 / OPPO / vivo / 三星
→ 末轮专搜 URL 与网络通信字符串：壳内未见网络 IOC

定性交付

证据链闭合，AVL Code 把全部发现归档后整合成册，你验收的是一份可以直接进工单的报告：

你输入 → AVL Code 
……形成完整分析报告
AVL Code 执行 → 你会看到
memory.memorize 归档全部发现 → 整合成完整分析报告
→ 定性：Android 远程访问木马（RAT）/ 银行木马 · 威胁等级 严重（Critical）
→ 攻击链（推测）：诱导无障碍授权 → 后台监听/自动点击 → 悬浮窗覆盖 + 伪锁屏 → 偷拍/录屏 → 数据外传
→ IOC：3 个文件哈希 + 可疑组件路径 + 字符串特征 · YARA 规则 1 条（10 个特征命中 5 个即报）
→ 处置建议 5 条：哈希入黑名单 / 脱壳深逆 / 监控无障碍权限 / 官方渠道下载 / 排查已装设备

亲自检测

复现本案例只需一条指令：把样本（以 MD5 命名）导入工作区后粘贴以下指令，或下载会话导入工作区回放完整过程：

查看会话内容 下载会话存档 可导入 AVL Code 工作区回放完整对话 查看案例报告 
› 帮我分析 <样本MD5> 形成完整分析报告，包括基本信息、恶意危害 、主要恶意行为 IOC等等的完整分析
  • 会话中 VT 未启用、样本沙箱只读、无法解包脱壳——这三条约束不影响主流程：AVL Code 会在解包碰壁后自动降级到字符串/资源取证路线，复现时解包工具可用与否只改变中间路径，不改变最终产出形态。若你的环境威胁情报通道可用，可再补一路在线佐证。会话导出为摘要版（工具调用折叠为计数），组件与资源明细以随案例发布的 report.pdf 为准。

下一个问题： 报告把"提取壳内原始 DEX 深度逆向"列为第 2 条处置建议——下一个任务自然是如何拿到脱壳后的 DEX，还原 C2 通信与外传通道，把这份报告里的字符串特征升级为网络层 IOC。