Android恶意软件混合与匹敌技术专题
颁布功夫 2024-11-25第一章 概 述
近年来，Android恶意软件数量不休攀升，其选取的攻击和匹敌技术也变得越来越复杂�！Ｎ似サ邪踩治�，绕过安全检测，窃取敏感数据或粉碎系统安全，恶意软件利用各类匹敌技术来假装和暗藏其恶意行为和代码逻辑�！Ｕ庑┢サ屑际踔�，针对资源、、文件、、字节码指令及机械码指令的混合技术被宽泛地引入到恶意软件中，成为高级黑客与逆向工程师匹敌的重要战场�！�
混合技术的主题指标是增长分析复杂性来匹敌逆向工程，同时也能提高免杀能力，重要匹敌指标蕴含逆向工程师、、静态分析工具、、动态调试工具以及自动化检测系统�！；旌霞际跬ü柚梅治鱿葳�、、扭转文件结构、、增长指令复杂度、、虚构化指令、、暗藏代码和资源等各类繁芜的技术来覆盖其行为特点和攻击意图，同时给分析人员尽可能大的制作分析阻碍，延后其恶意行为露出的功夫�！Ｍ�，恶意软件通过组合使用各类各样的混合与分析匹敌技术，对现有安全检测工具和防护机制形成了严格挑战�！Ｕ獗匾恍莞骼嗉际醯姆⒄�，对新的伎俩进行深刻钻研，制订有效且急剧的应对步骤，强化分析工具和检测工具，同时也有助于急剧应对高级且复杂的恶意软件攻击�！�
随着移动安全领域匹敌的不休升级，Android 恶意软件的混合技术也经历了显著的发展，从单一的标识符混合逐步演进到复杂的虚构化�；ぃ╒MP）技术，出现出由浅入深、、逐步升级的趋向�！Ｎ宄旱乩斫庹庖槐涠�，我们将混合技术的发展大体划分为早期、、中期和当前阶段，并从分歧层面进行具体解析�！�
2.1 早期阶段：基础假装与单一加密
在早期，恶意软件的混合技术重要以覆盖代码和资源内容为指标，伎俩较为单一向接，其混合技术重要集中于Java层，利用Android利用以Java说话开发的个性，通过单一的混合伎俩躲避安全分析和检测�！Ｔ谡庖皇逼�，恶意软件起头索求文件体式有关的混合战术�！＠�，通过批改ZIP体式的APK伪加密，以及2012年黑帽大会上初次提出的利用DEX头暗藏代码的技术，这一战术随后被Syrup恶意软件所选取�！Ｍ�，木马Obad利用贸易混合工具DexGuard（ProGuard的加强版）实现了Manifest字段的复杂混合以及基于clinit步骤的动态代码解密，被誉为“史上最强Android木马”�！�
这一阶段，短信拦截类和锁机勒索类恶意软件宽泛选取多种混合伎俩，蕴含代码混合、、字符串加密、、代码宰割、、垃圾代码注入，以及贸易加固工具的使用�！Ｕ庑┘际踔还芟喽曰�，但在其时的安全环境中，已经显著提高了恶意软件的荫蔽性和抗检测能力�！Ｏ峦颊故玖艘豢疃绦爬菇啬韭淼幕旌铣尚��！�
图1 一个短信拦截木马的混合示例
2.2 中期阶段：逻辑复杂化与动态匹敌
随着安全检测技术的不休提升，恶意软件逐步引入越发复杂的混合伎俩，以提高荫蔽性并有效躲避分析�！Ｎ惚芫蔡治�，它们利用动态加载和反射机制，通过反射动态挪用暗藏的关键代码�！Ｍ�，恶意软件选取多重加密与解压战术，对关键代码进行多档次加密，并在运行时通过复杂的解密过程逐步开释真实的恶意逻辑�！＠�：在我们颁布的分析汇报《新型Android银行木马“MoqHao”利用社交网络暗藏C&C服务器》中，恶意软件将真正的恶意dex文件加密后，以Base64编码的大局保留在原始APK的assets目录下�！Ｔ谡庵智榭鱿�，原始APK仅作为一个外壳存在，其在运行时会动态解密并加载真正的恶意dex文件，以实现其攻击主张，其过程如下图所示：
图2 Java层混合dex文件的示例
为了侵扰分析蹊径，恶意软件引入节制流混合技术�！Ｍü迦胛薰氐姆种�、、循环和跳转语句，恶意软件使代码执行蹊径越发复杂，故障分析人员还原其逻辑�！６诮岷厦骋准庸探饩龉婊�，通过内存加载、、指令抽取和指令转换等技术，进一步提升了匹敌分析的能力，使得分析人员难以正确还原其现实的执行逻辑�！�
随着反混合技术的进取和现代化反编译工具的遍及，恶意软件逐步将混合战术向Native层转移，以进一步提升逆向分析的难度�！Ｆ涑Ｓ眉际踉毯曰峄笆菁用芤栽し烂舾行畔⑿孤�、、加密关键函数体以暗藏恶意行为、、插入花指令滋扰反汇编工具分析、、利用LLVM框架执行复杂的代码混合，以及通过反调试技术检测和阻止调试器染指�！Ｕ庑┱绞跸喔ㄏ喑�，不仅显著增长了逆向工程的复杂性，也进一步提高了安全钻研人员分析的技术门槛�！＠�：在我们颁布的《一款通过SO进行自�；さ囊蠥PP劫持木马深度分析汇报》中，具体分析了该木马的运行行为�！＞咛宥�，libload.so�？檎乒芙饷懿⒓釉叵质档亩褚獯��！８媚？槔肑ava反射机制挪用javax.crypto包中的加解密函数，对存储在assets目录下的mycode.so文件进行AES解密�！＝饷芎蟮奈募ü越缢档腄exClassLoader加载并执行，执行结束后，解密的文件会被删除�！Ｕ庑┚纳杓频幕旌霞苛┯行О挡亓硕褚庑形�，显著增长了安全分析的复杂性，使得恶意软件的检测和分析变得越发难题�！＜釉豊ative解密库的部门代码如下图所示：
图3 Natvie层混合示例
此外，针对文件体式的混合战术也变得越发多样和复杂�！Ｋ瞧婷罾� Android系统对某些文件体式字段宽松校验的个性，同时借助反编译工具对文件体式的严格解析逻辑，设计了多种滋扰和暗藏机制�！Ｍü哉庑┪募迨降慕媒堇�，恶意软件得以实现更高水平的荫蔽性，进一步提高了逆向分析和检测的难度，同时也为混合技术的持续发展奠定了基础�！�
2.3 当前阶段：复杂混合与多层匹敌
在当前阶段，恶意软件的混合技术已经高度复杂化，宽泛结合动态和静态匹敌伎俩，以加强荫蔽性并匹敌多种检测步骤�！Ｍü獼ava层代码混合、、动态加载与Native层加壳技术融合使用，恶意软件将主题逻辑散布于分歧档次中，大幅提高了检测和分析的复杂性�！Ｒ韵率悄壳俺＜幕旌险绞�：
Java层与Native层相结合：恶意软件通过将Java层的代码混合、、动态加载、、VMP等技术与Native层的代码混合伎俩相结合，将恶意逻辑分散在分歧档次中�！Ｕ庵挚绮慊旌险绞跸灾龀ち思觳夂头治龅母丛佣�，要求分析人员同时把握多种技术，能力全面理解其运行机制�！� 使用其他开发说话：恶意软件常利用Lua、、GoLang、、Flutter、、易说话等非传统的 C/C++ 说话进行开发，从而显著增长逆向分析的难度�！Ｕ庑┧祷肮忠斓母鲂越徊教岣吡朔治龅母丛有�，同时减弱了传统逆向分析工具的效能和成效�！� 运行环境检测及反调试：恶意软件通过查抄设备的系统属性、、文件系统结构、、系统权限状态等，判断指标设备是否为仿照器或已获取Root权限，并在检测到这些特点时阻止恶意逻辑的运行�！Ｍ�，它们挪用系统API查抄调试状态，监测调试工具特有的行为，甚至自动引发异常以捕获调试工具的反映，有效阻止动态分析工具的滋扰�！� 贸易加固�；ぜ际�：一些恶意软件使用贸易加固�；ぜ际�，进一步加强了代码的抗逆向能力，使得传统的安全工具和分析步骤难以见效�！� 代码虚构化技术：通过将代码翻译为自界说的虚构指令集，并在运行时通过嵌入的虚构机诠释执行，这种技术极大地提高了逆向分析的难度�！�
例如，某恶意软件通过使用Native代码实现对Frida和IDA的检测，其代码如下：
图4 Natvie层检测调试器的代码示例
Android恶意软件的混合技术已经从单一的代码混合逐步发展到如今复杂的跨层结合大局，其荫蔽性持续加强，技术伎俩也愈发多样化�！Ｕ庵址⒄骨飨蚨源嘲踩觳夤ぞ叨允茄细竦奶粽�，同时也促使钻研人员必须不休创新应对战术，以此来应对恶意软件日益复杂的混合伎俩�！Ｔ诖瞬季跋�，深刻相识并解析常见的混合技术，是提升恶意软件分析和检测能力的关键�！＝酉吕�，我们将通过现实工作中常遇到的恶意软件混合技术进行具体分析，探求这些技术的利用方式及相应的防备对策�！�
在分析Android恶意软件时，安全钻研人员通常必要从静态分析和动态分析两方面动手�！＞蔡治鐾亲钕冉械牟街�，而混合技术通过批改代码的结构和表白方式（如字符串加密、、代码拆分、、动态加载等），使恶意软件的分析难度显著增长�！１疚慕园踩暄腥嗽狈治鯝PK文件的过程为切入点，逐步介绍各类反混合战术，援手钻研人员有效应对分歧档次的混合技术挑战�！�
3.1 APK反编译工具的匹敌
在分析Android利用时，首先必要使用APK反编译工具（如Apktool、、Jadx）提取APK文件中的源代码和资源�！Ｈ欢�，恶意软件往往会通过多种混合伎俩对APK进行�；�，以滋扰反编译过程�！＠�，恶意软件可能利用Android在解析APK文件时未严格校验ZIP体式的某些字段，从而通过篡改APK文件的ZIP体式字段来绕过基于ZIP体式解析的反编译工具�！Ｕ庵旨苛┯绕涑＜谝恍┗贏ndroid的银行木马（如BianLian、、Cerberus和TeaBot）中，主张是阻止安全钻研人员和自动化分析平台有效提取APK文件内容，进而匹敌静态分析和反病毒检测�！�
为了更好地理解恶意软件的混合战术，尤其是若何通过篡改ZIP体式字段来滋扰反编译过程，有必要相识一些ZIP文件结构的根基信息�！９倘籞IP体式的具体结构超出了本文的会商领域，但我们能够单一介绍一些常见的、、恶意软件时时篡改的字段�！Ｎ颐且� Python 的zipfile.py �？橹械� ZipInfo 类为例，展示了 ZIP文件元数据中的多个关键字段�！＞咛遄侄渭捌湓⒁馊缤妓�：
图5 Zipinfo类的结构信息
其中，compress_type、、extract_version、、reserved和flag_bits都是恶意软件时时篡改的字段�！Ｕ庑┡哪芄坏贾路幢嘁牍ぞ咴诮馕鑫募背鱿置蠡蛭薹ㄕ范寥∥募谌�，从而有效地故障静态分析过程�！Ｍü鄹恼庑┳侄�，恶意软件不仅可能躲避常见的反编译工具，还能增长被检测的难度，提高其在静态分析中的荫蔽性�！�
在相识了恶意软件若何通过篡改ZIP体式字段来匹敌静态分析后，接下来我们必要关注Android利用中另一个常见的反编译伎俩——AndroidManifest.xml文件（以下简称“清单文件”）�！Ｇ宓ノ募欠幢嘁牍讨斜匦虢馕龅墓丶棵�，它蕴含了利用的主题配置，如组件、、权限等信息�！Ｒ蚨�，提取、、读取和分析清单文件是静态分析APK样本时的首要步骤�！Ｎ硕惚芊幢嘁牍ぞ叩募�，恶意软件通常通过精心篡改清单文件来滋扰其正常解析�！Ｓ捎谇宓ノ募诰蔡治鲋械闹匾院透丛有�，它成为了恶意软件常用的反编译匹敌伎俩之一�！Ｈ羰嵌琳叨郧宓ノ募木咛褰峁共惶嗍�，能够自行接见以下链接（https://bbs.kanxue.com/thread-194206.html）查阅有关信息�！�
接下来，我们将介绍几种常见的清单文件混合伎俩，探求恶意软件是若何通过这些伎俩匹敌反编译工具并暗藏其恶意行为的：
（1）批改XML文件的魔术：恶意软件通过篡改清单文件中的魔术字段，使得静态分析工具在解析时出现谬误�！Ｕ庑┡耐ǔ２换嵊跋炖玫恼Ｔ诵�，但会导致分析工具无法正确解析清单文件的结构，甚至可能引发反编译工具的异常谬误，从而阻止反编译过程，无法提取源代码�！�
图6 左图为正常的魔术，右图为混合的魔术示例
（2）篡改关键字段：恶意软件可能会篡改清单文件中的关键字段，例如通过批改StringPool中字符串的个数�！９倘籄ndroid系统在运行时并不依赖这个字段来推算字符串的个数，而是通过动态推算来处置字符串，但一些反编译工具却会依赖这个字段来解析XML文件中的内容�！Ｍü鄹恼飧鲎侄�，恶意软件能够滋扰反编译工具的正常解析，导致工具读取到谬误的字符串个数，从而无法正确解析清单文件的结构，进而影响静态分析的正确性和齐全性�！Ｕ庵旨苛┯行г龀ち司蔡治龉ぞ叩姆治瞿讯�，提升了恶意软件的荫蔽性�！�
图7 篡改StringPoolSize的混合示例
在上图中，我们能够看到，stringCount的值为2907，而StringOffsets起头于偏移地位36，巨细为 11628�！tringOffsets是一个蕴含每个字符串在字符串池中的相对偏移量的数组，其巨细为 stringCount * 4，即 11628�！７幢嘁牍ぞ咭勒栈旌虾蟮膕tringCount值推算StringOffsets巨细，并进行解析，因而解析了局犯错�！Ｕ庵植灰恢滦允堑贾路幢嘁牍ぞ呓馕鍪О艿脑��！Ｈ欢�，Android系统在处置清单文件时并未直接依赖stringCount字段的值�！Ｍü榭� Android 源码能够发现，Android系统在运行时凭据现实数据动态推算 stringPoolSize，而非直接使用文件中提供的数值�！�
图 8 Android系统源码中推算mStringPoolSize的代码示例
（3）插入脏数据：有些恶意软件会有意在清单中插入一些脏数据�！Ｕ庵质莶换岜幌质凳褂�，但会粉碎清单文件的体式，使得解析工具难以鉴别其中的有效信息�！�
图9 左图显示`startEle0`内容，右图展示`startEle0`和`startEle1`的偏移量及巨细
上图展示了一个混合后的清单文件�！Ｔ谧笸贾�，第一个startElement的巨细字段为196，但header中的size字段为224，意味着startElement后附加了28字节的未知数据�！Ｓ彝贾�，第二个startElement的肇始地位为0x15A4，正好位于插入的这28字节垃圾数据之后（右图中绿色部门所示）�！Ｕ庑┯杏嗟�28字节会导致反编译工具在后续解析时犯错�！ndroid系统可能正常解析，是由于系统推算每个startElement的地位时，仅依赖上一个startElement的肇始地位和巨细字段，从而自动跳过垃圾数据�！�
（4）插入超长字符串或特殊字符：为了滋扰静态分析工具的正常解析，恶意软件可能会在特定字段中插入超长字符串、、特殊符号、、emoji表情或不私见字符�！Ｕ庑┳址倘徊换嵊跋炖玫恼Ｖ澳�，但它们显著增长了分析工具的处置难度�！Ｈ羰欠幢嘁牍ぞ叩娜荽砟芰喜�，这些批改可能导致工具崩�；蛭薹ㄕ方馕銮宓ノ募�，从而使静态分析变得越发难题�！�
图10 通过不私见字符实现超长利用名称（label）的示例
上图中，清单文件中的label字段从string.xml中的app_name字段读取，而app_name字段则蕴含了不私见字符（如\u0000）和超长字符串�！Ｍü庵址绞�，恶意软件能够有效滋扰反编译工具的解析过程�！Ｈ羰亲远治銎教ǖ娜荽砘撇患�，如数据库字段对app_name或version字段长度有限度，这些篡改可能导致异常，进而使恶意软件在自动化分析平台上“隐身”，难以被检测到�！�
在正常的清单文件中，Start Namespace Chunk通常存储定名空间信息，其中Prefix是一个4字节的索引，指向字符串池中相应的字符串，用于标识定名空间前缀；Uri也是一个索引，指向字符串池中暗示定名空间URI的字符串�！＠�，在一个未经过混合的清单文件中，我们能够看到Prefix的值对应的字符串为android，即它引用了尺度的Android定名空间�！�
图11 正常的prefix前缀示例
然而，通过对恶意软件中发Prefix字段进行恶意篡改，攻击者能够导致反编译工具在解析时产生谬误�！Ｕ庵只旌戏绞嚼昧朔幢嘁牍ぞ叨訮refix的依赖，使得其在解析时产生异常，滋扰分析人员对恶意软件的判断�！Ｏ峦际且桓鼍旌系那宓ノ募��！�
图12 混合后的prefix示例
从图中能够看到，定名空间的Prefix显示为非尺度字符串�！refix的索引值指向字符串池中的地位67，而Uri显示正常�！２榭醋址刂兴饕�67的内容，我们发现该字符串是一段长度为20470的乱码字符�！Ｈ缦峦妓�：
图13 索引值67处的prefix字符串的值示例
这种超长字符串会导致Apktool在反编译时崩溃�！Ｔ贏pktool的谬误日志中，显示了“Array Size”异常信息�！�
图14 Apktool反编译时出现的异常谬误示例
经过对崩溃问题的绕过处置后，天生的AndroidManifest.xml文件达到了16.7MB，且蕴含大量乱码，难以阅读�！�
图15 蕴含大量垃圾字符的AndroidManifest.xml文件示例
一个有效的处置步骤是将Prefix的索引值指向字符串池中较短的字符串，以便天生的清单文件内容正常显示，便于后续分析和阅读�！�
此外，一些恶意软件会在清单中插入符号或表情符号，若反编译工具在解析时未正确处置这些特殊字符，也可能导致反编译工具崩溃�！２迦氡砬榉沤谢旌系那宓ト缦峦妓�：
图16 通过表情符号进行混合的示例
除了通过篡改ZIP体式字段和混合清单文件来匹敌反编译工具外，恶意软件还时时选取一种强有力的战术——混合resources.arsc文件�！esources.arsc文件是Android利用中存储资源映射关系的主题文件，它守护了资源ID与现实资源文件之间的映射�！６褚馊砑ü鄹恼飧鑫募�，可能有效滋扰反编译工具对资源的正确解析，甚至可能导致反编译工具崩�；蛞斐Ｍ顺��！＠�，BOOMSLANG（树蚺）移动诓骗家族就利用这一战术匹敌Apktool的反编译过程，下图是其反编译失败时Apktool提醒的谬误信息�！�
图17 混合后的BOOMSLANG样本导致Apktool反编译失败
3.2 代码混合与反混合技术
一旦钻研人员突破了APK包的初步混合，接下来便会进入到代码层面的分析�！Ｔ谡庖徊忝�，恶意软件通常选取各类混合技术，大幅地增长了静态和动态分析的难度�！�
3.2.1 标识符混合
标识符重定名是代码混合中最常见且最有效的技术之一，旨在通过将有意思的包名、、类名、、步骤名和变量名代替为无意思的、、随机天生的名称，从而滋扰逆向工程师的分析过程�！４送�，标识符混合还能有效避开一些自动化分析平台，这些平台通常依赖于标识符来制订检测规定�！Ｍü旌媳晔斗�，恶意软件可能躲避基于标识符的检测，削减被识此外风险�！３＜谋晔斗旌险绞踉毯褂盟婊址楹希ㄈ缡�、、字母或特殊符号）、、选取非英语说话的标识符（如中文、、日语、、韩语、、俄文等）、、使用超长字符标识符，或通过代替状态类似但寓意分歧的字符（如字母“O”与数字“0”、、字母“I”与小写字母“l”等）来滋扰分析�！Ｕ庑┗旌险绞跏苟褚馊砑赡苡行О挡仄渲澳懿⒃龀つ嫦蚍治龅哪讯�，从而延缓被检测和识此外功夫�！Ｎ擞Χ哉庵只旌�，安全钻研人员能够使用带有反混合职能的反编译工具，如Gda、、Jeb、、Jadx等，这些工拥有助于急剧复原被混合的代码并援手鉴别恶意行为�！１晔斗旌鲜纠缦峦妓�：
3.2.2 字符串加密
恶意软件通常选取编码或加密伎俩对代码中的敏感字符串进行处置，以预防恶意关键字（如恶意URL、、号令或其他敏感数据）在反编译过程中被直接露出�！Ｕ庑┘际跤行У刈柚沽朔治鋈嗽贝臃幢嘁肓司种刑崛」丶畔�，尤其在匹敌自动化分析平台的静态分析时，拥有较强的防护成效�！３＜淖址旌喜街柙毯址鸱趾捅嗦牖旌��！Ｗ址鸱纸舾凶址赘畛啥喔霾棵�，法式在运行时再拼接成齐全的字符串；而编码混合则通过对字符串进行加密或使用编码技术（如Base64编码、、单一加密算法等），在法式运行时再进行解码�！Ｕ庑┘苛┎唤鲈龀ち司蔡治龅哪讯�，也使得分析工具无法直接鉴别出恶意行为�！Ｕ庵旨际跏沟镁蔡治龉ぞ呶薹ㄖ苯涌吹焦丶��！０踩暄腥嗽蹦芄皇褂枚治龉ぞ�，如Frida，来捉拿运行时的解密过程，揭示恶意软件在运行时所做的操作�！Ｗ址用苁纠缦峦妓�：
3.2.3 节制流混合
节制流混合技术通过插入无意思的节制结构（如有余的前提分支、、循环或冗余代码），有意扭转法式的执行蹊径，代码块重新排序等伎俩使得分析工具在尝试解析法式时，陷入过于复杂的代码结构中，导致无法正确地还原法式的真实逻辑�！Ｓ捎诮谥屏骰旌弦肓舜罅坎挥靡闹葱絮杈�，静态分析工具可能无法有效提取出法式的现尝试为�！�
为了应对这种混合，安全钻研人员通常必要通过仿照执行以及动态分析技术来辅助手动追踪法式的执行流，逐步还原法式的真实逻辑�！Ｏ峦颊故玖艘桓龅ヒ坏慕谥屏骰旌鲜纠�，展示了在混合前后的节制流结构差距�！�
图20 节制流混合前后的差距对比
3.2.4 反射机制与动态加载
动态加载机制是恶意软件常用的反静态分析技术，重要蕴含本地震态加载和远程动态加载两种方式�！１镜卣鹛釉赝ü釉乇镜卮娲⒌亩饣騞ex文件，动态挪用步骤或类，使得恶意行为在静态分析阶段无法被发现�！Ｔ冻潭釉卦蛲ü谠诵惺贝釉冻谭衿飨略囟饣騞ex文件来加载并执行恶意代码，这种方式进一步躲避了静态分析工具的检测，由于恶意代码并未呈此刻apk文件中�！６褚馊砑ü瓷浼际踅岷隙釉�，利用运行时的反射挪用机制暗藏恶意行为，使得初期静态分析无法鉴别这些恶意活动�！Ｎ擞Χ哉庖惶粽�，安全钻研人员通常依赖动态分析伎俩，如通过Frida注入剧本、、使用调试工具动态跟踪或通过日志分析捉拿反射挪用的过程，从而揭示恶意代码的真尝试为�！Ｕ庑┒治霾街杩赡苋乒蔡治龅南薅�，鉴别通过反射和动态加载暗藏的恶意行为�！�
接下来，我们来看一个利用本地震态加载的恶意代码示例�！Ｏ峦颊故玖烁枚褚獯氲哪柯冀峁��！�
图21 目录树信息
固然从理论上看，该目录仅蕴含几个步骤，但深刻分析后发现，恶意代码通过attachBaseContext步骤挪用了一个名为b的步骤，进一步实现了从assets目录加载加密的代码文件�！８梦募旎蚪饷芎�，通过动态挪用的方式被加载并执行，代码如下图所示：
3.2.5 Native混合
Native混合技术是通过多种伎俩加大对恶意软件逆向分析的难度，常见的技术蕴含以下几种：
（1）JNI接口混合：恶意软件通过JNI（Java Native Interface）将关键逻辑转移到.so文件中，并通过混合的JNI接口挪用本地代码�！Ｍü厩宄旱谋敬λ嫖抟馑嫉姆呕蛩婊址�，恶意代码的职能和结构变得越发难以理解和追踪�！�
图23 JNI接口混合示例
（2）Session加密：将关键步骤存储在自界说的.section中，并对这些自界说的.section内容进行加密�！Ｓ捎�.so文件在加载时会优先执行.init_array段，因而将解密逻辑嵌入到.init_array中�！Ｔ谠诵惺�，通过解密步骤获取内存中各个.section的肇始地址和巨细，对加密的.section进行解密还原，从而复原关键步骤的正常执行�！�
图24 Session加密的示例
（3）函数加密：解析.so文件，通过步骤名定位指标步骤后，对其进行加密�！Ｔ诩釉�.so文件时，通过指定步骤的地址挪用解密逻辑，将加密的步骤动态解密还原，以实现对关键逻辑的�；��！�
图25 JNI加解函数经解密还原的部门代码示例
（4）字符串加密与动态解密：恶意软件通过加密关键字符串（如URL、、号令、、密钥等），并在运行时通过动态解密复原其原始内容�！＜用艿淖址ㄍ４娲⒃诰蔡萸�，而解密则通过特定算法或在内存中动态实现，从而使得静态分析工具无法直接提取恶意信息�！�
图26 Native解密字符串示例
（5）花指令与垃圾代码插入：通过在代码中插入伪指令或无效代码，恶意软件可能混合法式的现尝试为�！Ｕ庑┗ㄖ噶蠲挥邢质抵澳�，但增长了逆向工程的复杂性�！＠氩唤鲈龀ち朔ㄊ降奶寤�，还使得追踪和理解恶意代码变得越发难题�！�
图27 一个单一的垃圾指令示例
（6）代码加壳与自批改代码：在Native层，恶意软件时时使用加壳技术来暗藏主题恶意代码�！＜涌呛�，恶意代码以加密或压缩大局存储，只有在运行时才会解密或解压�！Ｗ耘拇爰际踉蛟市矶褚馊砑谠诵惺倍焐�、、批改和执行代码，进一步阻止静态分析工具鉴别齐全的恶意行为�！�
图28 通过Hook批改代码的示例
（7）反调试与仿照器检测：为了抵抗动态分析，恶意软件往往会在Native层嵌入反调试机制，例如通过检测调试器的存在（如gdb或Frida）来中断分析过程�！４送�，恶意软件也会进行仿照器检测，通过查抄设备是否运行在仿照器或沙盒环境中来预防被动态分析工具捉拿�！�
图29 检测仿照器示例
（8）节制流混合：节制流混合通过扭转法式的执行蹊径，使得分析人员难以理解法式的现实流程�！３＜牟街柙毯迦胛扌У慕谥屏鳎ㄈ缣�、、分支语句）、、无用的循环和函数挪用，侵扰分析工具追踪指令的挨次�！�
图30 一段节制流混合代码示例
（9）LLVM混合：LLVM是一种壮大的编译器框架，恶意软件通过使用LLVM技术来对Native代码进行复杂的混合处置�！LVM混合能通过优化编译过程，天生难以阅读和理解的二进制文件，同时对文件巨细影响较小�！Ｕ庵旨际跤行г龀ち四嫦蚬こ痰母丛佣��！�
图31 LLVM混合前后对比示例
这些Native混合技术通常被组合使用，构建多档次的�；せ�，从而使传统的静态分析和动态分析步骤面对巨大的挑战�！＝柚庑┘际�，恶意软件可能有效暗藏其真尝试为，躲避安全钻研人员的检测以及防护系统的拦截�！４送�，贸易加固�；そ徊教嵘朔阑さ娜嫘��！６褚馊砑＠妹骋准庸滩范宰陨斫斜；�，甚至黑灰产软件也频仍选取此类技术进行防护，如下图所示：
3.2.6 代码虚构化
代码虚构化是目前最先进的混合伎俩之一，它通过将原始代码转换为自界说的虚构机指令，极大地提高了代码复杂度和分析难度�！Ｓ氪车慕谥屏骰旌戏制�，虚构化技术将关键代码的执行逻辑封装在虚构机中，使得主题职能和节制流险些无法通过通例反编译伎俩还原�！Ｒ韵麓覦EX虚构化和SO虚构化两个维度进行分析：
DEX虚构化技术重要针对Android利用中的Dalvik字节码�！Ｕ庵旨际跬ü獶EX中的字节码转换成自界说的虚构机指令，而后由Native层虚构机诠释执行，从而�；す丶牒椭魈饴呒��！Ｕ庵肿皇沟么车姆幢嘁牍ぞ吣岩曰乖氲脑悸呒�，由于它们无法鉴别转换后的指令集�！＠�，某电商平台通过缝隙提权执行恶意行为，并为暗藏其主题代码逻辑，选取了一套基于JVM构建的虚构机�；ぃ╒MP）技术对代码进行加固�！Ｏ峦颊故玖似浔；ず蟮亩颇谌�，能够显著看出，代码已被虚构化为高度抽象的虚构机指令，使得传统的反编译和静态分析步骤险些无效�！�
图33 解析经vmp�；さ膁ex文件示例
SO虚构化技术则关注于�；だ弥械腘ative代码，即SO文件�！Ｕ庵旨际跄芄煌ü挡胤疟�、、资源加密等方式来�；O文件中的职能不被等闲分析和篡改�！＠�，Virbox Protector提供了对SO文件的�；ぱ∠�，蕴含暗藏符号表和对特定SO文件的加密�；��！Ｍü庵址绞�，即便攻击者可能接见到SO文件，也无法等闲理解文件中的函数和逻辑，从而�；ち死玫陌踩��！�
图34 某贸易加固产品对DEX和SO的虚构化�；そ樯�
3.3 其他混合伎俩
一些恶意软件通过奇妙利用Windows和Android文件系统的差距性，有效匹敌静态分析和逆向工程�！Ｔ赪indows系统中，文件名不分辨巨细写，但会保留其原始体式，而Android文件系统则分辨巨细写�！Ｕ庵植罹嗍沟媚承┰赪indows系统上可能引发矛盾或谬误的文件名，可能在Android设备上正常使用�！４送�，Windows系统对文件名中的特殊字符（如 > < : " / \ | * ?）有严格限度，而Android系统允许这些字符的存在�！６褚馊砑Ｍü谖募星度胝庑┨厥庾址�，滋扰基于Windows的分析工具，导致文件无法读取或处置，从而增长逆向分析的难度�！�
不仅如此，恶意软件还可能利用Android文件系统允许同名文件和文件夹共存的个性，进一步增长分析的复杂性�！＠�，在Android中，一个名为AndroidManifest.xml的文件和一个名为AndroidManifest.xml的文件夹能够同时存在，但在Windows系统中则会因定名矛盾而无法实现�！Ｕ庵植罹嗫赡艿贾禄赪indows的分析工具处置这些结构时犯错或跳过解析这些关键文件或文件夹，进而为恶意软件提供假装�！＠�，BOOMSLANG恶意软件的一个在野样本选取了特殊字符混合和同名文件与文件夹共存的匹敌技术，其APK文件在使用ZIP工具打开时如图所示：
图35 同名文件和文件夹混合示例
从图中能够看出，恶意软件会同时创建 “\AndroidManifest.xml”和“AndroidManifest.xml”目录，以及 “\classes.dex” 和“classes.dex”目录�！Ｕ庵植僮骰嵩赪indows系统上导致文件夹相互覆盖，造成文件内容迷失，从而影响反编译的齐全性�！４送�，恶意软件还会使用犯法文件名，导致这些文件在使用apktool反编译时被忽略，如下图所示：
图36 apktool忽略犯法文件名的示例
一些恶意软件还会在文件中嵌入同名但巨细写分歧的文件，通过利用Windows文件名不分辨巨细写的个性滋扰分析工具，造成解析谬误或异常�！Ｒ韵峦计故玖艘焕毯尴感捶制缥募亩褚釧PK示例�！�
图37 Windows文件系统不分辨文件名巨细写的示例
在Android恶意软件中，资源混合是一种常见的匹敌技术，宽泛利用于assets和res等文件夹中的资源文件�！３＜淖试椿旌霞苛┰毯�：对assets目录中的资源文件进行加密处置，创建深层嵌套的目录结构或使用畸形目录名称，插入大量无用文件或假装资源文件，将关键资源与无效资源混合在一路，从而增长分析难度；对res目录中的资源文件进行混合，例如篡改资源映射关系、、删除资源文件名或更改文件扩大名等�！Ｕ庑┘苛┲荚谧倘欧治龉ぞ叩慕馕龉�，使得分析人员难以急剧定位和鉴别关键数据，进一步提高逆向工程的难度�！Ｏ峦际且桓霾迦肜试吹氖纠�：
图38 插入垃圾资源示例
一些恶意软件通过将原始DEX文件宰割成多个小的DEX文件或插入垃圾代码，增长静态和自动化分析的难度�！Ｔ赘頓EX文件使分析工具必要逐个处置，增长了分析功夫和复杂度，且这些文件通常通过动态加载技术在运行时才会归并，难以在静态分析中鉴别�！４送�，插入的垃圾代码不执行现实操作，但通过虚伪的逻辑和复杂的节制流滋扰分析，覆盖恶意职能�！４死嗾绞跏沟枚褚馊砑男形椒⒁癖�，迫使分析人员选取更复杂的动态分析和手动逆向工程步骤�！Ｒ桓鯽pk中蕴含大量dex的例子如下图所示：
图39 宰割多个dex示例
除了上面提到的混合技术，还有一些其他常见但未具体介绍的技术，这些技术能进一步加强恶意软件的逆向分析难度�！Ｒ韵率且徽呕旌瞎ぞ叩氖纠计�，其中展示了多种混合职能，如：增长包体积、、内建独立署名证书、、DEX代码混合、、资源混合、、APK防篡改等多个职能�！�
为了更好地理解混合技术的现实利用，以下是几个常见的Android恶意软件的混合技术案例�！�
4.1 Joker恶意软件混合步骤
Joker（中文名称“小丑”，也被称为Bread）是一个在Google Play商店中极为活跃的恶意软件家族�！Ｗ�2016年12月初次被检测到以来，Joker家族的活动一向在持续，并且其恶意软件的变种数量也在不休增长�！１驹伦钚屡兜腉oogle Play商店中Joker样本信息如下：
图41 GooglePlay上的Joker木马信息
Joker家族的恶意软件可能反复进入Google官方利用市场，其关键原因在于其选取了多种高级代码混合技术，从而绕过了Google Play Store的安全检测和审查机制�！Ｕ庑┗旌霞际踉毯幌抻�：
（1）字符串加密：通过加密关键字符串，如API要求和配相信息，预防静态分析工具的直接鉴别�！�
（2）动态加载：将恶意代码分离到单独的Payload文件中，仅在运行时加载，以躲避静态代码扫描�！�
（3）反射挪用：利用反射机制动态挪用步骤，暗藏关键职能挪用蹊径�！�
（4）动态下发配置：通过网络要求动态获取配置或恶意指令，降低被静态检测的风险�！�
（5）利用第三方服务：使用Github页面和存储库存储恶意配置或代码，进一步混合起源和流量�！�
这些技术的组合使Joker恶意软件可能成功躲避静态分析检测，其真尝试为往往暗藏在复杂的动态流程中�！Ｎ私沂酒湫形�，分析人员通常必要依赖动态调试和运行时解密技术�！Ｕ攵哉庑┗旌霞苛�，安全钻研人员能够借助动态分析工具（如Frida和Xposed）追踪解密过程，提取关键数据并鉴别恶意 API 挪用，从而全面还原其恶意行为�！�
4.2 BadPack的混合伎俩
BadPack是恶意软件通过篡改ZIP文件结构头，使Apktool和Jadx等分析工具无法正常解析�！Ｆ渫ü褂梅浅叨鹊难顾跛惴ɡ醋倘欧幢嘁牍ぞ叩恼Ｔ诵��！＞�010 Editor分析该APK文件体式，发现其压缩步骤值为0xF753，如下图所示：
图42 篡改apk文件压缩算法标识示例
这一数值并不属于任何已知的尺度压缩步骤，因而导致反编译工具无法鉴别和处置该文件�！Ｆ揪莩叨萙IP体式规范，压缩步骤的取值通常如图所示�！�
图43 ZIP支持的各压缩步骤的标识值示例
凭据Android系统源代码，当系统遇到非COMP_DEFLATE（即 0x08）压缩步骤时，会默认将输入文件按 “未压缩” （COMP_STORED，即 0x00）方式处置�！＞咛宥�，系统会直接读取文件的未压缩数据长度，并以此进行解析�！Ｒ蚨�，恶意软件利用了Android系统对ZIP体式的容错机制，通过使用犯法的压缩算法进行混合，从而达到躲避反编译工具的主张�！Ｕ庵只旌霞际醯ヒ蝗从行��！Ｔ诜治鯝ndroid恶意软件时，若遇到类似情况，可将压缩步骤批改为0以便正确解压和分析�！�
APK伪加密通过批改ZIP文件的头部，将加密标志设置为true，但并未现实对文件内容进行加密�！Ｕ庵旨际趵昧薃ndroid系统在处 ZIP文件时不会验证头部的加密标志，而通常的解压软件则会检测该标志�！＠�，当使用RAR工具解压该APK文件时，会提醒用户输入密码，如下图所示：
图44 伪加密的混合示例
由于Jeb和Jadx都使用尺度的ZIP库，因而无法正常解压并反编译该文件�！Ｋ堑姆幢嘁朊笮畔⑷缦峦妓�：
图45 无法使用Jadx和Jeb打开的混合APK示例
通过选取BadPack技术，恶意软件将自身假装为异常体式的文件，利用反编译工具对文件解析的严格性触发异常，从而显著增长静态分析的难度�！Ｕ庵终绞跤行ё倘帕税踩暄腥嗽钡姆治隽鞒�，提升了恶意软件的荫蔽性�！�
针对这一技术，能够通过以下步骤进行应对：
（1）使用订正后的ZIP库：通过批改ZIP解压库的解析逻辑，忽略非尺度字段或异常体式，确保文件内容可能正确解压�！�
（2）编写修复剧本：分析BadPack文件的异常字段，针对特定体式设计剧本，自动修改文件结构，使其复原为尺度体式以便后续分析�！�
这些应对措施可能有效绕过BadPack技术的混合伎俩，为静态分析提供靠得住的数据支持�！�
4.3 SpyNote恶意软件混合战术
SpyNote是一种间谍软件，常通过短信和垂钓网站等方式进行传布�！９セ髡咄ǔ７⑺驮毯褚饬唇拥腟MS新闻或创建假装成合法网站的垂钓页面，诱导指标用户点击链接并下载假装成合法利用法式的恶意软件�！Ｗ�2016年在恶意软件论坛初次曝光以来，SpyNote一向作为一种持续威胁的恶意工具在全球领域内活跃�！９菹允�，今年1月和2月期间，SpyNote的新增样本数量已超过3400个，批注其威胁活动仍在急剧扩散�！Ｗ钚屡兜耐驳ㄏ允�，SpyNote假装成安全利用法式执行攻击，其重要指标是加密钱币账户，窃取私钥和余额信息，尤其针对比特币、、以太坊和Tether等热点数字资产�！Ｓ泄毓セ魇挛袢缦峦妓�：
图46 SpyNote仿冒安全软件执行攻击
SpyNote 除了通过多种渠道进行传布，还选取了一系列高级混合与暗藏战术，以躲避检测和分析�！Ｒ韵率瞧渲匾旌霞际醯募蛞攀�：
（1）篡改 APK 文件的 ZIP 体式，从而导致反编译APKTool在解析时失败，如下图所示：
图47 批改zip体式导致Apktool反编译失败的示例
（2）篡改清单文件魔术、、插入垃圾字符串�！Ｅ牡哪跏纠缦峦�：
图48 批改魔术混合示例
（3）利用相近字符实现代码混合，如下图所示：
图49 相近字符代码混合示例
（4）对resources.arsc文件混合，使jadx反编译工具在分析时犯错，如下图所示：
图50 Jadx无法解析resources.arsc文件
Android恶意软件的混合技术不休进化，从单一的代码重定名到复杂的动态加载与反调试技术，恶意软件通过这些伎俩极大地提升了恶意代码的荫蔽性和分析难度�！Ｋ孀呕旌霞际醯牟恍莘⒄�，安全钻研人员也必要不休更新自己的分析伎俩，从静态分析扩大到动态分析、、行为分析等多维度的分析步骤�！�
将来，随着机械学习、、人为智能等技术的引入，混合技术和逆向分析技术将持续出现出越发复杂和高效的态势�！Ｔ谡庵智榭鱿�，开发更壮大的自动化检测和分析工具将是破解恶意软件防护的关键�！Ｍ�，开发者和安全专家也应加强对混合技术的钻研，制订出更具针对性的应对战术，以确保Android平台的安全性�！�
通过持续的钻研和技术创新，我们有望可能更好地匹敌恶意软件的混合技术，�；び没У囊杂氚踩��！�
OG东方厅积极防御尝试室（ADLab）
ADLab成立于1999年，是中国安全行业最早成立的攻防技术钻研尝试室之一，微软MAPP打算主题成员，“黑雀攻击”概念首推者�！＝刂聊壳�，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙5000余个，持续维持国际网络安全领域一流水准�！３⑹允易暄蟹较蚝腔“踩暄�、、数据安全钻研、、5G安全钻研、、人为智能安全钻研、、移动安全钻研、、物联网安全钻研、、车联网安全钻研、、工控安全钻研、、信创安全钻研、、云安全钻研、、无线安全钻研、、高级威胁钻研、、攻防系统建设�！Ｗ暄谐删屠糜诓分魈饧际踝暄�、、国度重点科技项目攻关、、专业安全服务等�！�
京公网安备11010802024551号