分类目录归档：Android

针对之前Malwarebenchmark前天文章中提到的Android “switcher”流量劫持软件，小编第一时间拿到了样本，并进行了分析，下面将本样本和读者分享一下。

其实前一篇文章已经把主要的恶意行为写清楚了，这里小编再把这个样本的一些有趣之处以及分析方法写出来分享。

基本信息：

在我们开发的App中，我们可能不希望它被运行在模拟器上，所以我们需要一种手段去检测模拟器，当当前设备被检测为模拟器时，我们就直接结束掉App进程。目前常见的检测模拟器手段主要被应用在游戏领域和加固领域。

通常我们去检测模拟器时会利用一些Android系统的运行特征，但这些方式比较复杂也比较难以理解，需要对Android系统有比较深入的了解，如何有一种办法比较高容错率并且检测效果还不错呢，之前，一般的检测模拟器的手段都是通过检测一些系统特定属性，如检测当前设备手机号，设备DeviceId，dev下是否存在socket/qemud和qemu_pipe两个文件，以及build.prop下的一些属性，在分析某赚软件时，它正是使用的这种检测方式，但是当当前设备被root后，就可以通过安装一些修改设备信息的软件来躲避这种检测方式，最近在看到某款游戏的检测手段时，看到了基于文件特征的检测方式，在这个基础上我又加了一些检测方式用来判断模拟器。

目前市面上流行的Android模拟器主要有Genymotion，天天模拟器，夜神模拟器，海马玩模拟器，畅玩模拟器，itools模拟器，逍遥模拟器，文卓爷模拟器，原生Android模拟器，BlueStacks，我们都知道除了原生模拟器之外，大部分Android模拟器都是基于VirtualBox的，这是重要的检测点之一，其次相比于手机，模拟器上少了一些重要特征，如蓝牙功能，温度传感器等等，这些都是可以用来检测模拟器的依据，同时，每种定制版本的模拟器上，都会有一些它特有的可执行文件，如下是我在测试多种模拟器时收集的特征文件：

if (anti("/system/lib/libdroid4x.so")) {   //文卓爷
}
if (anti("/system/bin/windroyed")) 

本文主要讲解Android虚拟机动态调试背后涉及到的技术原理，除了JDWP协议细节，还包括任意位置断点、堆栈输出、变量值获取等基础调试功能的具体实现。另外本文提供了一款新的android动态调试工具——AVMDBG，提供调试API接口，支持python脚本扩展。作为android调试技术研究过程中的实验项目，AVMDBG功能尚不完善，开源出来仅供参考，如过有bug或其他疑问反馈欢迎提交issue。

一、Android动态调试方案

在讲解android动态调试实现之前，先回顾下针对apk进行动态调试常用的几种方法，比较下不同解决方案的特点和存在的问题：

1）smali插桩大法，反编译apk后在关键位置插入smali代码，通过打印日志的形式进行调试跟踪。但是这个方法非常繁琐，除了需要编写smali代码外，每次新增日志输出点都需要重新解包重打包，而且经常会遇到apk保护导致解包失败的问题需要解决。

2）IDA在6.6版本以后支持dex文件的动态调试，但是部分功能并不完善，比如监视寄存器变量的值，需要通过watch窗口手动添加并指定类型，而且单步过程中需要留意类型变化，可能导致虚拟机意外崩溃，导致这个问题的原因在后续文章中会分析到。

3）JEB，堪称apk静态分析的神器，在2.0版本以后开始加入动态调试的功能，最新版本同时支持smali代码和native代码的调试，功能可以说非常强大，如果说缺点可能只有一个，和IDA一样都是商业软件，收费不菲。

4）andbug开源项目，5年前的项目原作者已经不再维护，原项目只支持linux环境，动态调试关键功能也有缺失，例如不支持任意代码位置断点等。使用过程中也碰到过一些bug，类似shell的交互方式使用起来并不是很顺手。后来有国内开发者anbc…

ELF病毒背景

1.Android病毒发展趋势

自 2010 年开始，全球进入了移动互联网时代，作为主流移动操作系统Android也得到了迅猛发展。Android病毒也从简单到复杂，从单纯的dex病毒转向为elf病毒（其中elf是Linux下的可执行程序）。这一发展趋势有几个原因：

• 经过多年发展程序编写人员水平普遍提高，大量的linux程序移植到android系统，病毒也随之发展。
• android系统碎片化严重，提取漏洞不断累积导致病毒攻击方式多元化 ，
• elf文件具有比dex程序更难分析的特点。