场景：2026年10月下旬，某虚拟手机号服务商官网下载的安卓安装包被植入后门，疑似供应链投毒。安全团队在用户侧异常外联告警触发后介入，回溯整条攻击链。
攻击 / 事件时间线
初始访问：安装包植入
攻击者入侵服务商构建流水线，在官网分发的 APK 中注入恶意 classes.dex，伪装成正常 SDK 初始化逻辑。恶意代码延迟 30 分钟执行以规避沙箱，并在启动时校验设备是否为模拟器，命中则静默退出。安装后回连硬编码域名，使用 DGA 生成备用 C2 域名池。
ApktooljadxDGA算法
命令执行：首条可见指令
当日首条可见攻击命令通过 HTTPS 下发，采用 JSON 封装 + Base64 二次编码，指令集包含设备信息采集、通讯录与短信读取、屏幕截图。C2 通信伪装为正常统计上报路径 /api/v2/stat，UA 伪造为系统 WebView。约 4 小时 07 分后进入清痕阶段，删除本地日志与临时文件。
Cobalt Strike自研Android RATBase64混淆
横向与数据聚合
恶意样本在受控设备上枚举已安装应用，重点识别银行、政务类 App，通过无障碍服务窃取输入。采集数据压缩后分片外传，单包控制在 200KB 以内以规避流量检测。服务端聚合后按设备指纹归档，形成可售卖的“养号数据包”。
Accessibility Service分片上传设备指纹
清痕与反溯源
攻击者在 C2 侧关闭会话前下发清痕指令，删除 APK 释放的临时 dex、清除 SharedPreferences 中的配置痕迹，并重置无障碍权限开关。同时替换官网 CDN 上的旧版安装包，制造“从未存在恶意版本”的假象。
清痕脚本CDN回源覆盖
蓝队视角 · 发现与处置
SOC 侧由威胁情报平台命中恶意域名告警触发，NDR 发现多台内网测试机对同一 DGA 域名发起周期性 HTTPS 外联。蓝队提取样本后跑 YARA 规则命中恶意 dex 特征，结合 Sysmon 与移动端 MDM 日志还原安装来源为官网 APK。研判为供应链投毒后，立即下架官网安装包、吊销相关签名证书，并对已安装设备推送强制卸载指令，同步封禁 C2 域名与 IP。
涉及关键技术 / 工具
APK 注入恶意 dex 并延迟执行规避沙箱检测DGA 域名池 + 伪装统计接口的 C2 通信无障碍服务窃取输入与分片外传规避流量检测
防护经验总结
- 对官网分发安装包建立签名校验与哈希比对机制，构建流水线接入制品完整性扫描，任何构建产物变更需双人复核后方可上线
- 移动端 MDM 强制开启应用安装来源白名单，禁用非商店侧载，并对无障碍服务授权做二次确认与日志审计
- 在出口侧部署 DGA 检测与周期性外联行为基线，对伪装为统计接口的异常 UA 与固定路径请求建立告警规则
#供应链攻击#移动端安全#应急响应