扫描项目中发现AndroidOS.Agent、Android/SmsThief.LI!tr

Question

如题,在使用VirusTotal,但是检查代码,并无短信相关内容,求指点查询方向

Answer 1

引自免费微信小程序：皆我百晓生

针对您在项目中遇到的Android恶意软件检测问题，具体为VirusTotal报告中检测到AndroidOS.Agent与Android/SmsThief.LI!tr，但您在代码审查过程中并未发现明显的短信相关功能，以下是我为您提供的一套详尽分析与查询方向建议：

1. 理解检测结果: 首先，理解VirusTotal上不同安全厂商对样本的检测标签。例如，Fortinet识别为Android/SmsThief.LI!tr，表明该样本可能具备窃取短信的功能。而Ikarus将其标记为Trojan-Dropper.AndroidOS.Agent，暗示其可能是一个用于部署其他恶意组件（如短信窃取模块）的木马下载器。这些标签有助于我们了解样本可能的行为模式。

2. 深入代码审查: 虽然您目前未在代码中找到短信相关的功能，但应进一步排查以下可能性：

   • 隐藏代码：恶意软件作者可能使用加密、混淆、字符串解密、动态加载等技术隐藏敏感功能。仔细检查是否有可疑的解密函数、反射调用、JNI调用等，这些可能是隐藏短信窃取功能的手段。
   • 外部资源：检查是否从网络或其他外部来源动态加载代码或配置文件。这可能包括下载额外的APK、DEX文件，或者通过HTTP请求获取指令集。此类行为通常出现在网络通信、服务初始化、BroadcastReceiver等部分。
   • 第三方库：审视项目依赖的第三方库，确认其来源可信且无潜在风险。恶意代码可能被嵌入在第三方库中，需确保所有库均来自官方渠道，并查阅其源码或已知安全报告。

3. 静态分析工具辅助: 使用专业的Android逆向与静态分析工具（如Apktool、dex2jar、JD-GUI、 JADX、Frida、MobSF等）进行深度分析，它们可以帮助揭示隐藏代码、解密字符串、识别恶意API调用等。例如，使用jadx反编译APK并搜索与短信（如SMS, smsManager, sendTextMessage等）相关的关键词。

   jadx --deobf your_app.apk
   grep -rni --include=*.java "SMS|smsManager|sendTextMessage" path/to/decompiled/sources
   

4. 动态分析: 在受控环境中（如Android沙箱或虚拟机）安装并运行应用，使用如 Frida、Xposed框架、Android Debug Bridge (ADB) 等工具进行动态监控与调试：

   • 日志监控：使用adb logcat捕捉运行时日志，关注与短信、网络通信、文件操作等相关的行为。
   • 函数 hooking：使用Frida注入JavaScript脚本，hook疑似涉及短信操作的API（如android.telephony.SmsManager的方法），观察其参数与调用栈。
   • 权限检查：确认应用申请的权限中是否包含SEND_SMS, READ_SMS, RECEIVE_SMS等敏感权限。即使代码中未直接体现，恶意软件也可能利用已获取的权限进行攻击。

5. VirusTotal情报利用:

   • 匹配规则：点击VirusTotal报告中的“Matches rule ET INFO Android Device Connectivity Check at Proofpoint Emerging Threats Open”，查看具体匹配的IDS规则细节，了解其判断恶意行为的依据。
   • 社区讨论与报告：浏览“Community”部分，查看其他研究人员对该样本的分析、讨论或共享的报告，可能提供直接线索或分析思路。

6. 联系安全厂商: 若以上方法仍无法定位问题，可尝试联系报告检测结果的安全厂商（如Fortinet、Ikarus），询问其检测原理与依据，看是否能获取更详细的分析报告或样本行为记录。

综上所述，解决您的问题需要结合代码审查、静态分析、动态监控等多种手段，并充分利用VirusTotal提供的情报。遵循上述步骤进行深度排查，应能帮助您找到导致误报或确证存在短信窃取行为的原因。