APKiD项目对DPT Shell保护器的检测能力分析

背景介绍

DPT Shell是一种Android应用保护工具，它通过多种技术手段对APK文件进行加固和保护，以防止逆向工程和分析。近期，安全研究人员在分析一个恶意软件样本时，发现该样本使用了DPT Shell进行保护，并提交给APKiD项目以增强其检测能力。

技术分析

DPT Shell的保护机制

DPT Shell采用了多层保护策略，主要包括以下几个技术特征：

1. 原生库保护：

   • 在assets目录下存放了不同架构的原生库文件，路径模式为/assets/vwwwwwvwww/<arch>/libdpt.so
   • 这些原生库使用了Obfuscator-LLVM 9.x版本进行混淆处理
   • 实现了反钩子技术(syscalls)

2. DEX层保护：

   • 使用了自定义的Application类com.nashsiqiu.shell.ProxyApplication
   • 采用了r8编译器进行代码优化和混淆
   • 在assets目录下存放了多个特殊命名的文件，如app_name、app_vcf和OoooooOooo

3. 多架构支持：

   • 提供了arm、arm64、x86和x86_64四种架构的支持
   • 每种架构都有对应的保护实现

APKiD的检测方法

APKiD项目通过Yara规则来识别各种保护器和混淆器。针对DPT Shell，APKiD实现了以下检测规则：

1. DEX层检测规则：

   • 检测特定的字符串模式，如"dpt-libs"、"dpt_JniBridge"和"libdpt.so"
   • 这些字符串是DPT Shell在DEX文件中留下的特征标记

2. 原生库检测规则：

   • 检测libdpt.so文件的存在
   • 识别Obfuscator-LLVM的混淆特征
   • 检测反钩子技术的实现

3. 文件结构检测：

   • 检查assets目录下的特定文件结构
   • 识别特殊的文件命名模式

检测结果对比

最初版本的APKiD未能完全识别DPT Shell的所有特征，仅能检测到Obfuscator-LLVM和r8编译器。经过规则更新后，最新版本的APKiD已经能够全面识别DPT Shell的保护特征，包括：

1. 正确识别主保护器为"DPT Shell"
2. 检测到assets目录下各架构的libdpt.so文件
3. 识别出DEX文件中的特定字符串模式
4. 标记出反钩子技术的使用

技术意义

这项检测能力的提升对于Android安全分析具有重要意义：

1. 恶意软件分析：帮助分析人员快速识别使用DPT Shell保护的恶意软件
2. 应用安全评估：评估商业应用使用的保护技术强度
3. 逆向工程：为逆向工程师提供保护技术的识别信息
4. 安全研究：促进对新型保护技术的研究和理解

结论

APKiD项目通过持续更新其检测规则，保持了对各种Android保护技术的识别能力。对DPT Shell的检测能力提升，展示了开源社区在应对新型保护技术方面的快速响应能力。安全研究人员和分析工具需要不断跟进各种保护技术的发展，才能有效应对日益复杂的Android应用保护方案。