案例研究 · 樣本分析
Android 遠端存取控制木馬（RAT）分析
行動安全分析員把一個商業級殼混淆的 Android APK 用一句自然語言指令送檢 AVL Code，在樣本沙箱唯讀、VT 未啟用、無法脫殼的約束下，僅憑熵值與字串/資源靜態分析識別出針對華為、小米、OPPO、vivo、三星五大品牌的銀行木馬/RAT，拿到判定 Critical 的完整報告——IOC 清單、YARA 檢測規則與五條處置建議當天可用。
AVL Code · 瀾砥 N2.5-Flash（AVL-Zero 提供）· Android · 4,917,977 位元組 APK · 整體熵 7.72· 約束：VT 未啟用 · 樣本沙箱唯讀 · 無法解包脫殼· 交付：完整分析報告 · IOC 清單 · YARA 規則· 威脅等級 嚴重（Critical）
會話回放與報告為簡體中文原始記錄 · 生成依據：AVL Code + 瀾砥大模型
概覽
- 01
送檢初探 — 熵 7.72 釘死「加殼 APK」
你把 MD5 命名的樣本交給 AVL Code：格式探測定 APK、字串提取量熵值，7.72 加滿屏隨機亂碼把「商業級殼」釘死，同時預告解包路線會碰壁。
- 02
破局取證 — 三輪解包降級，一條品牌字串改寫走向
你看著它依次嘗試 Python、PowerShell、7z 全部落空，回到內建字串引擎後，huawei,hinova,tianyi 這條品牌檢測字串把定性方向扭轉。
- 03
證據成鏈 — 五類惡意行為與五大品牌對上號
連續多輪 sec.strings 定向提取，偽鎖屏、錄影、偷拍、懸浮視窗、無障礙配置逐個浮出，五大品牌圖示坐實介面偽裝能力。
- 04
定性交付 — Critical 報告 + IOC + YARA
你收到整合成冊的分析報告：RAT/銀行木馬定性、攻擊鏈推測、雜湊與元件路徑 IOC、可直接部署的 YARA 規則與五條處置建議。
向 AVL Code 發布任務
幫我分析 a94f85b04bafce6a961d989f46f481e8 形成完整分析報告，包括基本資訊、惡意危害 、主要惡意行為 IOC等等的完整分析前提：樣本檔案（以 MD5 命名）已匯入工作區且為唯讀；AVL Code 已登入。會話中 VT 未啟用、Python 與解包工具鏈不可用，均不阻斷主流程——解包碰壁後自動轉入字串/資源取證路線
復現材料見文末 親自檢測 ↓
送檢初探
一句指令送檢，AVL Code 拿到樣本後沒有先跑沙箱——VT 未啟用，它直接改走檔案格式探測加純靜態分析：
幫我分析 a94f85b04bafce6a961d989f46f481e8 形成完整分析報告，包括基本資訊、惡意危害 、主要惡意行為 IOC等等的完整分析VT 未啟用 → 改走檔案格式探測 + 靜態分析
→ 檔案頭 PK — ZIP/APK，Material Design 3 元件庫的 Android APK
→ 整體熵 7.72 · 可列印字串 99% 為隨機亂碼
→ 判定：高度加殼/混淆的商業級殼 APK，常規解包路線預期受阻解包與降級
熵值判定已經預告了解包會受阻，但路線還是要走一遍才算數。同一句指令執行中，AVL Code 開始連環嘗試並連環碰壁：
幫我分析 a94f85b04bafce6a961d989f46f481e8 ……（同一條指令執行中，未追加新輸入）連環嘗試解包：Python → PowerShell → 7z 均未果，Manifest 明文未獲
→ 回到內建能力：sec.strings 多輪定向提取可讀字串
→ 關鍵字串浮出：huawei / hinova / tianyi 品牌定向檢測 + 偽裝資源清單
→ 順藤挖出 xiaomi / redmi 與 activity_* 系列可疑元件名資源取證
方向定下之後，字串提取變成按圖索驥，殼加密不到的資源目錄名把惡意功能一件件交了出來：
……包括基本資訊、惡意危害 、主要惡意行為 IOC等等的完整分析sec.strings 持續定向提取，元件與資源證據成鏈
→ 偽鎖屏 / 錄影 / 偷拍 / 釣魚頁 / 誘導授權等 activity 元件
→ 懸浮視窗三件套 · 無障礙濫用配置 · 繞過隱私機制路由
→ 品牌圖示：華為 / 小米 / OPPO / vivo / 三星
→ 末輪專搜 URL 與網路通訊字串：殼內未見網路 IOC定性交付
證據鏈閉合，AVL Code 把全部發現歸檔後整合成冊，你驗收的是一份可以直接進工單的報告：
……形成完整分析報告memory.memorize 歸檔全部發現 → 整合成完整分析報告
→ 定性：Android 遠端存取木馬（RAT）/ 銀行木馬 · 威脅等級 嚴重（Critical）
→ 攻擊鏈（推測）：誘導無障礙授權 → 背景監聽/自動點擊 → 懸浮視窗覆蓋 + 偽鎖屏 → 偷拍/錄影 → 資料外傳
→ IOC：3 個檔案雜湊 + 可疑元件路徑 + 字串特徵 · YARA 規則 1 條（10 個特徵命中 5 個即報）
→ 處置建議 5 條：雜湊入黑名單 / 脫殼深逆 / 監控無障礙權限 / 官方管道下載 / 排查已裝設備親自檢測
重現本案例只需一條指令：把樣本（以 MD5 命名）匯入工作區後貼上以下指令，或下載會話匯入工作區回放完整過程：
› 幫我分析 <樣本MD5> 形成完整分析報告，包括基本資訊、惡意危害 、主要惡意行為 IOC等等的完整分析- 會話中 VT 未啟用、樣本沙箱唯讀、無法解包脫殼——這三條約束不影響主流程：AVL Code 會在解包碰壁後自動降級到字串/資源取證路線，重現時解包工具可用與否只改變中間路徑，不改變最終產出形態。若你的環境威脅情報通道可用，可再補一路線上佐證。會話匯出為摘要版（工具呼叫摺疊為計數），元件與資源明細以隨案例發佈的 report.pdf 為準。
下一個問題： 報告把「提取殼內原始 DEX 深度逆向」列為第 2 條處置建議——下一個任務自然是如何拿到脫殼後的 DEX，還原 C2 通訊與外傳通道，把這份報告裡的字串特徵升級為網路層 IOC。