一、 前言

VirtualApp（以下稱VA）是一個App虛擬化引擎（簡稱VA）。VirtualApp創建了一個虛擬空間，你可以在虛擬空間內任意的安裝、啟動和卸載APK，這一切都與外部隔離，如同一個沙盒。運行在VA中的APK無需在Android系統中安裝即可運行，也就是我們熟知的多開應用。

VA免安裝運行APK的特性使得VA內應用與VA相比具有不同的應用特征，這使得VA可用于免殺。此外，VA對被多開應用有較大權限，可能構成安全風險。

本報告首先簡要介紹VA的多開實現原理，之后分析目前在灰色產業的應用，針對在免殺的應用，安全云對此的應對，并給出色情應用作為例子。另一方面，通過對樣本分析，展示了VA對于安裝在其內應用的高度控制能力，及其帶來的安全風險。最后對本報告進行總結。

二、 VirtualApp原理

Android應用啟動Activity時，無論通過何種API調用，最終會調用到ActivityManager.startActivity()方法。該調用為遠程Binder服務(加速該調用，Android應用會先在本地進程查找Binder服務緩存，如果找到，則直接調用。VA介入了該調用過程，通過以下方式：

1. 替換本地的ActivityManagerServise Binder服務為VA構造的代理對象，以接管該調用。這一步通過反射實現。

2. 接管后，當調用startActivity啟動多開應用時，VA修改Intent中的Activity為VA中己聲明的占位Activity。這一步的目的是繞過Android無法啟動未在AndroidManifest.xml中聲明Activity的限制。

3. 在被多開應用進程啟動后，增加ActivityThread.mH.mCallback的消息處理回調。這一步接管了多開應用主線程的消息回調。

在以上修改的基礎上，多開應用的Activity啟動過程可分為以下兩步驟：

步驟一 修改Activity為己聲明的StubActivity

步驟二 mCallback從Intent中恢復Acitivty信息

AMS：Android系統的ActivityManagerService，是管理Activity的系統服務

VAMS：VA用于管理多開應用Activity的服務，大量API名稱與AMS雷同。

VApp：被多開應用所在的進程，該進程實際為VA派生的進程。

由圖可知，VA在AMS和VApp中通過增加VAMS對啟動Intent進行了修改，實現了對Android系統的欺騙，而當應用進程啟動后，還原Activity信息。通過自定義Classloader令使得Android加載并構造了未在VA的AndroidManifest.xml中聲明的Activity。

以上是啟動過程的簡化描述，實際上，VA對大量Android 系統API進行了Hook，這使得運行在其中的應用在VA的控制下，為VA的應用帶來可能性。

三、 在灰色產業的應用

3.1 免殺

VA等多開工具將Android系統與VA內的應用隔離，使得應用的靜態特征被掩蓋，目前己有惡意應用使用VA對自身重打包，重打包后的應用包名、軟件名與原應用不同，從而實現免殺。安全云使用動態檢測關聯惡意應用和VA的方式應對該免殺技術。

免殺的常見做法是：惡意應用加密后打包在VA內，由VA在運行時解密APK，將惡意應用的APK安裝到VA內并運行。

經過打包后，VA用的包名、證書可以與惡意應用不同，資源文件、二進制庫文件與惡意應用相互獨立。基于包名、證書等特征維度的靜態檢測方式的準確性受到影響。

如圖，當靜態引擎對VA應用檢測時，獲得的應用信息（包名、證書、代碼等）是VA的信息，沒有惡意特征。而當VA運行時，可以解密惡意應用APK，通過反射等技術欺騙Android系統運行未安裝在系統中的APK，實現了免殺。

傳統靜態檢測方式

針對該免殺方式，安全云的APK動態檢測實現了VA內應用APK的自動化提取，可將VA母包與惡意應用APK子包進行關聯查殺。

如圖，動態引擎安裝并啟動APK，當識別出是VA應用時，提取出VA內的己解密的子包，對提取的子包進行檢測。根據子包檢測結果綜合判定母包安全性，并對母包的安全風險進行標記查殺。

動態檢測查殺示意圖

免殺案例 色情應用

2017年8月以來，安全云監測到部分色情應用使用VA的對自身打包，以達到繞過安全檢測的目的。這些應用使用了隨機的包名和軟件名，并且均對惡意應用子包進行了加密。部分包名如表所示：

從動態檢測引擎提取的子包看，一個色情應用子包對應的帶VA殼的母包（SHA1維度）數量從1到529不等。27個色情APK共對應1464個VA母包。

該類應用會以各種理由誘導用戶升到更高等級的VIP不斷支付：

讀取用戶短信收件箱：

并且可以通過遠程服務器控制應用是否運行，控制支付寶和微信支付的開啟以逃避支付平臺打擊：

目前該類色情應用的VA母包和子包均己被標記為灰色。

3.2 重打包

相較于以往反編譯后插入代碼進行打包編譯的方式，使用VA進行重打包具有以下優點：

1. 不需要對原應用進行反編譯修改。

由于VA是多開工具，這一優點是顯然的。傳統的重打包方式是對應用進行反編譯成Smali代碼，對Application類或Activity進行修改，插入廣告展示等代碼，再重編譯打包回去。而VA重打包的應用只要讓應用運行在VA內即可。

2. 有效規避重打包檢測

應用可能通過檢測簽名、包名等方式檢查是否被修改。而VA對Android系統的API進行了Hook，其中包括PackageManager的API，這些API用于獲得包括簽名在內的軟件包信息。

3. 通用性強

同樣的VA代碼未經修改就可打包眾多應用，可批量制造多開應用。

4. 功能眾多

由于應用運行在VA進程內，VA代碼具有與應用等同的權限，從下面的例子可知VA能做到包括但不限于：模擬點擊、截圖、在Activity創建時插入廣告。以

以某一類重打包樣本為例，應用被重打包后啟動界面增加一個插屏廣告，如圖：

點擊插屏廣告后，將下載對應的應用（圖中為“斗地主”及”炸金花”）并安裝到VA中，并在桌面添加圖標。區別于其他應用推廣方式，此種方式安裝的應用不必通過Android的包管理器進行安裝，必要時也可靜默安裝。

除了增加啟動時的插屏廣告，該應用還有以下行為

1. 檢查反病毒軟件

檢查手機上是否安裝了反病毒軟件，如果存在，則不連接服務器獲取命令。

反病毒軟件列表由服務器下發：

內容如下：

主流的手機安全應用如30、QQ手機管家、LE安全大師等均在該列表中。

如果存在，則不連接服務器讀取命令腳本：

2. 啟動應用

可由服務器下發指令控制運行VA內的指定應用：

3. 模擬點擊

可對運行在VA內的應用進行點擊。

1) 當VA內應用啟動時注冊Broadcast Receiver：

2) 接收服務器腳本，發送廣播

3) 執行點擊腳本

（1） 獲得DecorViews，該View為Android應用的底層View。因為被多開的應用跑在VA內，因此VA有權限對應用類進行操作。

（2） 對(1)獲得的View，調用View.dispatchTouchEvent()模擬觸摸操作，支持的操作有，ACTION_DOWN（按下）、ACTION_MOVE（按下和抬起之間的操作）、ACTION_UP（抬起）。

（3） 值得注意的是，只有當用戶不存在（未點亮屏幕，未鎖屏）時，服務器的任務才會執行：

4. 部分版本可對應用界面進行截圖

實現方式與模擬觸摸操作類似，先獲得DecorView，之后調用Android系統提供的方法進行截屏：

對廣播進行響應，并保存截圖：

相應的上傳截圖功能：

5. 在Activity創建時顯示廣告

VA對Activity的生命周期函數進行了Hook，因此可以方便地在Activity調用onCreate函數時顯示廣告：

6. 上傳設備信息

包括設備的型號、Android Id、分辨率等信息。

7. 上傳己安裝應用列表

3.3 免Root Hook

VA可在應用Application類創建時執行代碼，這些代碼先于應用執行。通過結合Hook框架（如YAHFA、AndFix）、VA可以方便對應用進行Hook，其Hook能力與Xposed框架等同。與Xposed框架比較如表所示：

相較于Xposed框架，通過此方式Hook具有如下優點：

1. 不需要Root權限

2. 不需要重啟系統就可以重新加載Hook代碼，重啟應用即可

3. 可與Native Hook框架結合，Hook二進制庫。實際上VA本身己使用Native Hook框架對應用的IO操作進行了重定向

VA的免Root Hook能力對于被多開應用是一種安全威脅。VA可做到的包括但不限于：

1. Hook密碼相關函數，截取用戶輸入的密碼

2. Hook網絡通信函數，監聽網絡通信

3. Hook Android API。偽造Android設備信息、GPS定位記錄等。

下面分析某微信搶紅包應用，以展示VA免Root Hook的能力。

該樣本是一個微信搶紅包應用。目前流行的搶紅包功能實現上有兩種方案，一種是通過Android AccessiblityServices監測用戶窗口，當紅包關鍵字出現時，點擊對應的View對象；一種是使用Xposed框架對紅包相關的函數進行Hook，這種方案需要Root權限，但是不必打開微信界面即可搶紅包。此應用搶紅包也使用Hook紅包相關函數的方式，但是不需要Root。

1. 注入代碼

VA實現了插件化的注入模塊，其中一個注入模塊為FixBug_AppInstrumentation，該模塊替換了ActivityThread的mInstrumentation對象：

mInstrumentation對象會在應用Application類及Activity類創建時被執行相應的回調，該應用了修改了其中一個回調callApplicationOnCreate，在Application執行了紅包代碼：

其中LuckyMoneyDispatcher為紅包功能模塊。

函數LuckyMoneyDispatcher.andFixForLuckMoney()實現了方法替換：

使用開源熱修補框架AndFix替換com.tencent.mm.booter.notification.b.a()為LuckMoneyMethProxy.a()，并將被替換函數保存為LuckMoneyMethProxy.aOriginal()。

2. 模擬點擊紅包消息

LuckMoneyMethProxy.a()為替換后的函數，當微信接收到消息時被調用。

函數先判斷消息類型，當確定是紅包（436207665）后，解析消息，構造Intent并發送。這一步模擬了點擊紅包消息時的彈窗。

3. 模擬拆開紅包

上一步的彈窗是一個Activity，當彈出時（對應Activity的onResume），mInstrumentation將被回調：

onLuckyMoneyResume根據版本號確定要反射調用的“拆開紅包按鈕”（包括BUTTON_OPEN、OBJECT_OPEN、METHOD_OPEN）

最終由MonitorHandler反射調用拆開紅包函數：

四、 總結

VirtualApp作為開源的多開應用框架，可以被任何人使用。它在Android系統和被多開應用間增加了中間層。這帶來了兩方面問題，一方面，VA可掩蓋應用的靜態特征（包名、證書、資源文件、代碼等），使得單純的靜態檢測方法失效，應用具有了一定免殺的能力。同一個惡意應用可以有眾多VA母包，且母包不包含惡意特征，這給檢測引擎識別惡意應用帶來了難度。安全云通過動態檢測在VA母包運行時動態提取VA應用中的子包，并結合子包的惡意情況對母包的惡意情況進行綜合判定，可有效對惡意應用的VA母包進行標記查殺。

另一方面，由于多開應用運行在VA中，VA對被多開應用具有不弱于Root的權限，可方便有效介入應用運行流程。例如：當應用運行時展示廣告，對多開應用進行截屏、模擬點擊。更進一步的，VA可通過Hook修改應用的執行流程，獲得應用的隱私數據，包括但不限于密碼、與服務器的數據通信、照片等。應用應當對運行在VA或其他多開應用內的帶來的安全風險有所了解并加以防范，特別是金融、通訊類應用。

安全云己對相關VA應用進行監測，并及時對新型安全威脅作出響應。

https://www.cnblogs.com/h2zZhou/p/7759889.html

總結

以上是生活随笔為你收集整理的VirtualApp技术黑产利用研究报告的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。