文章目錄

• 一、基于插件化引擎 的 惡意應用 與 良性應用 區別
• 二、惡意插件化應用特征

一、基于插件化引擎 的 惡意應用 與 良性應用 區別

---

在 【Android 插件化】VAHunt 引入 | VAHunt 原理 | VAHunt 識別插件化引擎 和
【Android 插件化】VAHunt 檢測插件化引擎的具體細節 博客中 , 簡單介紹了如何檢測插件化引擎 ;

下一步就需要在檢測出插件化引擎之后 , 檢測該應用是否是惡意應用 ;

大多數基于插件化的 惡意應用 , 都會對 惡意插件 加密 , 或從網絡中下載 ;

惡意軟件的宿主應用 , 一般會以靜默方式加載插件 , 并且將下載或解密后的惡意插件 , 隱藏起來 ;

下圖是 基于插件化引擎 的 惡意應用 與 良性應用 區別 :

• 良性應用 : 獲取到插件應用后 , 會讓用戶選擇是否安裝運行插件 , 如果用戶同意 , 安裝運行插件 , 如果用戶拒絕 , 不安裝插件 ; 執行插件 APK 時 , 以正常的 UI 界面執行 ;
• 惡意應用 : 獲取到插件 APK 路徑后 , 不經過用戶同意 , 以靜默方式安裝運行插件 , 并且將插件隱藏起來 ;
  

二、惡意插件化應用特征

---

惡意軟件 解密 或 下載 惡意插件后 , 通常會隱藏惡意插件 ;

加載 APK 插件的常用路徑 :

• 從自定義路徑加載插件 : 從如下路徑中獲取插件 APK ;
  
• 從系統路徑加載插件 : 獲取安裝的應用 getInstalledPackages() , 或執行 Runtime().exec(“pm list packages”) 命令 , 獲取安裝的 APK 文件 ;

靜默執行插件的行為總結 : 靜默安裝和執行惡意插件 ;

• 安裝應用 : 不經過用戶同意 , 調用 installApp()/installPackage() 安裝應用 , 并且靜默安裝 ;
• 靜默執行應用 :
  • 調用 public void setComponentEnabledSetting (ComponentName componentName, int newState, int flags) 方法 , 設置組件 ;
  • 為宿主應用窗口設置 FLAG_NOT_TOUCH_MODAL 標識 , 不阻塞觸摸事件 , 運行時避免被用戶發現 ;

總結

以上是生活随笔為你收集整理的【Android 插件化】基于插件化引擎的“恶意应用“与“良性应用“区别 | 恶意插件化应用特征的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。