案例研究 · 樣本分析
多 Agent 並行分析 Android 銀行木馬
一位行動安全分析員拿到一個偽裝成正常應用的安卓安裝包，要在不執行樣本的前提下快速定性。一條指令、三個並行子 Agent，約 95 秒後他手裡多了一份含 IOC 清單與 YARA 規則的完整分析報告。
對象：11.9 MB 惡意 APK（純靜態，不執行）· 模型：瀾砥 N2.5（AVL-Zero 提供）· 耗時：約 95 秒（多 Agent 並行）· 交付：完整分析報告 · IOC · YARA 規則
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
送檢定性 — 純靜態完成雜湊、結構與熵分析
把樣本檔名和報告要求一次性交給 AVL Code，你會看到它確認樣本存在、算出 MD5/SHA256、解析 APK 結構，並給出 7.92 的整體熵值。
- 02
字串考古 — 佈局檔名直接點名 12 個支付品牌
前 200 條字串只是資源路徑，你將看到它擴大提取並聚焦 AndroidManifest、權限、類名與 URL，讓 activity_record_pay_*.xml 釣魚介面成片浮出。
- 03
多 Agent 並行 — 三個子 Agent 攻克混淆加密內容
字串裡出現大量混淆/加密內容時，主 Agent 拆出三個子 Agent 並行分析，再整合所有發現。
- 04
定性交付 — Critical 級銀行木馬報告落盤
整合後的完整報告寫入 malware_analysis_report.md：攻擊鏈、IOC 清單與 YARA 規則，威脅定級嚴重（Critical）。
向 AVL Code 發布任務
幫我分析下這個安卓木馬 net.queue.verifierx.transmitter.apk，形成完整分析報告，包括基本資訊、惡意危害 、主要惡意行為 IOC等等的完整分析前提：AVL Code 環境 + 待研判的 APK 樣本檔案。全程純靜態分析，無需實機或模擬器執行樣本
復現材料見文末 親自檢測 ↓
多 Agent 並行分析與交付
一條指令送檢，從定性到報告落盤全由 AVL Code 自主完成：
幫我分析下這個安卓木馬 net.queue.verifierx.transmitter.apk，形成完整分析報告，包括基本資訊、惡意危害、主要惡意行為 IOC 等等的完整分析確認樣本存在（11.9 MB）→ MD5/SHA256 · APK 結構解析 · 整體熵 7.92
→ 前 200 條字串僅資源路徑 → 擴大擷取聚焦 AndroidManifest、權限、類別名稱與 URL
→ activity_record_pay_*.xml 釣魚介面成片浮出（14+ 個銀行/支付目標）
→ 混淆/加密內容大量出現 → 拆 3 個子 Agent 並行攻克
→ 整合報告落盤 malware_analysis_report.md：攻擊鏈 + IOC 清單 + YARA 規則 · 威脅定級 Critical親自檢測
你只需要一個待研判的 APK 和 AVL Code：核對雜湊後發出一條指令，等報告落盤。
步驟 1 · 送檢：將可疑 APK 放入工作區，核對樣本雜湊 MD5: 18827998ad05c58da1d218066374fe16 SHA256: c692ad120cc90548d48dbe57d006f2403c49833b8993af3c38fe031eb39999bd步驟 2 · 單輪指令：幫我分析下這個安卓木馬 <樣本檔名>.apk，形成完整分析報告，包括基本資訊、惡意危害、主要惡意行為、IOC 等等的完整分析步驟 3 · 交付物：<報告檔名>.md（樣本概覽 / 核心惡意行為 / IOC 清單 / YARA 規則 / 攻擊鏈 / 防護建議）- 本會話為單輪任務：從送檢到報告落盤只有一條使用者訊息，後續推進均由 AVL Code 自主完成，因此正文中僅第一章設置對話面板。「約 95 秒」取自案例庫既有資料，會話匯出中各訊息時間戳相同，無法從會話複核；三個子 Agent 的拆分明細與 MITRE 對應未出現在可讀匯出中，不做超出證據的推測。
下一個問題： 定性只是中間產物——下一步自然是把這些 YARA 規則部署到檢測防線，並用同家族變種批量掃描驗證檢出率與誤報。