一、基于插件化引擎 的 恶意应用 与 良性应用 区别

---

在 【Android 插件化】VAHunt 引入 | VAHunt 原理 | VAHunt 识别插件化引擎 和
【Android 插件化】VAHunt 检测插件化引擎的具体细节 博客中 , 简单介绍了如何检测插件化引擎 ;

下一步就需要在检测出插件化引擎之后 , 检测该应用是否是恶意应用 ;

大多数基于插件化的 恶意应用 , 都会对 恶意插件 加密 , 或从网络中下载 ;

恶意软件的宿主应用 , 一般会以静默方式加载插件 , 并且将下载或解密后的恶意插件 , 隐藏起来 ;

下图是 基于插件化引擎 的 恶意应用 与 良性应用 区别 :

• 良性应用 : 获取到插件应用后 , 会让用户选择是否安装运行插件 , 如果用户同意 , 安装运行插件 , 如果用户拒绝 , 不安装插件 ; 执行插件 APK 时 , 以正常的 UI 界面执行 ;
• 恶意应用 : 获取到插件 APK 路径后 , 不经过用户同意 , 以静默方式安装运行插件 , 并且将插件隐藏起来 ;
  

二、恶意插件化应用特征

---

恶意软件 解密 或 下载 恶意插件后 , 通常会隐藏恶意插件 ;

加载 APK 插件的常用路径 :

• 从自定义路径加载插件 : 从如下路径中获取插件 APK ;
  
• 从系统路径加载插件 : 获取安装的应用 getInstalledPackages() , 或执行 Runtime().exec(“pm list packages”) 命令 , 获取安装的 APK 文件 ;

静默执行插件的行为总结 : 静默安装和执行恶意插件 ;

• 安装应用 : 不经过用户同意 , 调用 installApp()/installPackage() 安装应用 , 并且静默安装 ;
• 静默执行应用 :
  • 调用 public void setComponentEnabledSetting (ComponentName componentName, int newState, int flags) 方法 , 设置组件 ;
  • 为宿主应用窗口设置 FLAG_NOT_TOUCH_MODAL 标识 , 不阻塞触摸事件 , 运行时避免被用户发现 ;