Vaishnavi-07823/Mobile-Malware-Forensics-Methodology
GitHub: Vaishnavi-07823/Mobile-Malware-Forensics-Methodology
一套从实战中提炼的移动恶意软件静态取证流程，专门用于分析金融诈骗类 Android 应用中的危险权限和恶意模式。
Stars: 0 | Forks: 0
# 移动恶意软件取证方法论
### 聚焦金融诈骗与 UPI 向量分析
本仓库记录了我在**那格浦尔警察局网络犯罪部门**实习期间，用于分析金融犯罪中恶意 Android 应用（APK）的技术方法论。
---
## 阶段一：静态分析（清单审计）
第一步是反编译 APK，检查 `AndroidManifest.xml` 中用于实施银行诈骗的危险权限请求：
* **短信拦截：** `READ_SMS` 和 `RECEIVE_SMS` —— 被骗子用来窃取 OTP。
* **覆盖攻击：** `SYSTEM_ALERT_WINDOW` —— 用于在银行应用上方创建虚假登录界面，窃取凭证。
* **无障碍服务：** `BIND_ACCESSIBILITY_SERVICE` —— 用于记录按键输入或阻止用户卸载应用。
## 阶段二：工具集与工作流程
分析使用以下取证环境进行：
1. **Apktool：** 将 APK 反编译为可读的目录结构。
2. **MobSF（移动安全框架）：** 用于自动化安全扫描，识别硬编码的 C2（命令与控制）服务器地址。
3. **Dex2Jar：** 将 `.dex` 文件转换为 `.jar`，以便检查 Java 源代码中的恶意逻辑。
## 阶段三：金融诈骗指标
在调查与 UPI 相关的诈骗过程中，我识别出以下常见的恶意模式：
* **VPA 冒充：** 旨在模仿官方银行界面的应用。
* **通讯录窃取：** 窃取联系人列表，通过短信/WhatsApp 传播钓鱼链接。
* **隐藏图标逻辑：** 安装后立即隐藏应用图标的代码，以保持持久性。
---
*注：本文档基于实际调查中使用的方法论，仅供教育和研究用途。*
标签：Apktool, APK分析, Assetfinder, C2服务器, DAST, Dex2Jar, MobSF, SMS拦截, UPI分析, UPI欺诈, URL提取, VPA冒充, 云安全监控, 反编译, 取证方法, 安卓安全, 恶意软件分析, 数字取证, 权限分析, 移动恶意软件, 网络安全, 网络犯罪, 联系人窃取, 自动化脚本, 覆盖攻击, 辅助功能滥用, 金融欺诈, 隐私保护, 隐藏图标, 静态分析