18、恶意软件分析：深入探究命令控制与无障碍 API 滥用

恶意软件分析：命令控制与无障碍API滥用解析

oo7890

于 2025-08-26 10:53:54 发布

阅读量79

点赞数

CC 4.0 BY-SA版权

分类专栏：解密安卓恶意软件文章标签：恶意软件分析命令控制无障碍 API

本文链接：https://blog.youkuaiyun.com/oo7890/article/details/151298812

解密安卓恶意软件专栏收录该内容

31 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

恶意软件分析：深入探究命令控制与无障碍 API 滥用

1. 动态分析日志洞察

在对恶意软件进行动态分析时，日志记录能提供大量有价值的信息。例如，部分日志显示：

"<instance: android.content.Context,
$className: com.sniff.sibling.Services.KingService>", "ANCT")
12348 ms     |    |    |    | <= "simpleyo5.tk"
...
12530 ms     |    | ApiVerifyController.sendRequest(
    "<instance: android.content.Context,
    $className: com.sniff.sibling.Services.KingService>")

从这些日志中，我们可以看到 com.sniff 相关的类和包名，还能了解到恶意软件从 ring0.xml 配置文件读取命令控制 URL 并使用加密的过程。而神秘的 KingService 类似乎将这些操作串联起来。

不过，大多数恶意软件没有像示例中那样的执行阻止机制（如无障碍请求窗口），这可能导致在 frida - trace 附加到目标进程之前错过重要的方法调用。我们可以在互联网上找到一些自定义脚本，让整个分析过程更简单。