【电子数据取证】Android APK静态分析与动态分析

文章关键词：电子数据取证、手机取证、安卓取证、云取证、APK分析

当前手机用户量增长越来越快，尤其是中国，手机用户量已超10亿，即大约75%的中国人拥有自己的手机。正因为手机越来越智能化，携带也方便，因此许多人将隐私信息存储在手机上，且在多处场景下无形地公开化，而这些信息正是许多病毒作者所热衷的。在移动终端上的安全也将比电脑终端越来越重要，移动安全也已成为安全领域的另一新战场。

Android常见恶意软件行为

1、恶意扣费：病毒在后台发送扣费短信、拨打电话进行恶意扣费，同时会对服务商发回的服务短信进行屏蔽，破坏系统的正常功能，同时对用户造成资费损失；

2、隐私窃取：病毒通过后台服务窃取用户隐私信息，包括通话录音、短信内容、IMEI、IMSI、地理位置、通讯录、浏览器历史记录等信息，然后上传到黑客控制的远程服务器；

3、远程控制：病毒在后台开机自动，并与C&C服务器进行通讯，并从中获取加密的指令，解密后执行相应的恶意操作，也有通过SMS进行控制，构造出botnet，从而大规模地远程控制用户的手机。比如之前著名的AnserverBot病毒，就是通过新浪博客进行远程控制，也是首个利用第三方站点作为C&C服务器的Android病毒；

4、系统破坏：病毒通过系统漏洞进行ROOT提权，并执行高权限操作，在后台静默安装子程序包，或者通过伪造成杀毒软件、提示更新等方式欺骗用户安装第三方恶意程序。病毒可能会更改网络状态、APN，或者替换系统文件、添加恶意书签、屏蔽运营商短信、中止杀软进程等方式进行系统破坏。

Android沙盘原理

本文主要介绍一款Android恶意软件行为自动分析平台——MalDroidAnalyzer，其主要结合静态分析和动态分析技术来实现恶意软件行为自动化分析。MalDroidAnalyzer是笔者使用Perl语言编写的，用于辅助分析Android软件行为，提高恶意软件的分析效率。

首先，MalDroidAnalyzer直接以apk文件作为输入，整个分析过程主要分析两部分：静态分析和动态分析。静态分析会通过反编译apk文件，分析其中的权限、组件、敏感函数等信息，这些可以弥补动态分析中因未触发恶意行为而漏掉的行为。动态分析主要通过在模拟器运行Android软件，然后再对软件进行一些操作以触发尽可能多的恶意行为，接着输出到log中，再通过脚本对日志进行分析。由于Android系统默认情况下，一些输出日志里面缺乏我们所需的信息，比如发送短信时，只在log中记录手机号，而没有短信内容，此时就需要通过修改Android源码或者反汇编system.img中的相关类或者库进行修改，可以在短信发送函数sendTextMessage（位于system.img中的framework/framework.jar）里面添加短信内容的日志输出：

一、静态分析

沙盘MalDroidAnalyzer主要在电脑端对APK进行静态分析，通过apktool先进行反编译处理。正常的APK文件主要是以zip格式进行压缩捆绑的文档，里面主要包含AndroidManifest.xml、Classes.dex和res等文件。在反编译后会得到明文的AndroidManifest.xml，里面定义各组件、组件权限和启动位置、软件基本信息等，通过对该xml文件的分析，可以获取到软件名称、包名等基本信息，同时对包含的各个组件进行分析，特别是Broadcast Receiver组件的触发条件，可能就包含有开机自启动项用于启动后台服务，这些在报告中都会被高亮显示出来。

在动态分析过程中，可能由于恶意行为的时间限制，或者模拟器的功能限制（比如蓝牙、Wifi），导致病毒的一些恶意行为无法触发。此时，我们通过检测Android软件调用的API函数可弥补这里的不足，比如发送扣费短信通常会调用sendTextMessage()函数，执行外部命令可能会调用java.lang.Runtime.exec()。下面是收集整理的一些敏感API函数列表：

二、动态分析

动态分析是Android沙盘的主要功能，主要使用Google Android模拟器作为沙盘环境，同时以前面修改过的system.img来启动模拟器，以在操作过程中生成我们所需的日志信息：

这里的root-system.img是经过root的，默认情况下，Android模拟器是没有root权限的，需要自己手工修改。这样在一些需要root权限的病毒才能正常的模拟器运行，以触发更多的恶意行为。

启动模拟器后，利用adb安装APK到模拟器上。业界多数沙盘是通过monkey去自动操作软件以触发恶意行为，但这种做法过于盲目，不容易触发恶意行为，同时当操作过于频繁时容易导致程序崩溃，因此在MalDroidAnalyzer中选择由用户自主手工操作，操作时间由用户自己把握。手工操作可能更有利于触发恶意行为，因为病毒作者通常会更多地依赖用户的操作习惯来触发恶意行为，比如点击、拨打电话等行为。

生成日志后，MalDroidAnalyzer会去分析日志，生成统计图数据，然后生成报告。下面是一些真实病毒样本的恶意行为记录：

关于apk文件及MalDroidAnalyzer的工作流程如下图所示：

窃取通讯录：

通话录音：

Root提权：