Communitygithub.com

Apktool을 이용한 안드로이드 악성코드 분석

Apktool을 이용한 리소스 디컴파일, jadx를 이용한 자바 소스 복구, androguard를 이용한 매니페스트 검사, 위험한 권한 조합 탐지, 난독화된 코드 식별, 동적 코드 로딩 및 리플렉션 기반 API 호출을 통해 안드로이드 APK 악성코드를 정적으로 분석합니다. APK를 실행하지 않고 의심스러운 APK를 정적으로 분류하거나 모바일 악성코드 탐지 규칙을 구축하는 데 사용합니다.

Apktool을 이용한 안드로이드 악성코드 분석란 무엇인가요?

이 스킬은 Apktool, jadx, androguard와 같은 도구를 사용하여 안드로이드 APK 악성코드에 대한 정적 분석을 수행하는 방법을 제공합니다. androguard를 사용하여 APK 파일을 프로그래밍 방식으로 분석하고, 위험한 권한 조합, 난독화된 코드 패턴, 동적 코드 로딩, 리플렉션 기반 API 호출 및 네트워크 통신 지표를 식별합니다. 이 접근 방식은 분석가가 실제 실행 없이 APK 내부 구조를 이해할 수 있게 해주어, 보안 사고 대응, 탐지 규칙 구축 및 위협 헌팅 쿼리 작성에 매우 유용합니다. 분석 환경은 Python 3.9+와 androguard가 필요하며, 격리된 분석 환경(예: VM 또는 샌드박스)에서 APK 샘플을 분석하는 것이 권장됩니다. 최종 출력으로는 권한 분석, 구성 요소 목록, 의심스러운 API 호출, 네트워크 지표 및 위험 점수를 포함한 JSON 보고서와 잠재적인 IOC(침해 지표) 문자열이 생성됩니다.

지원 대상~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/analyzing-android-malware-with-apktool
원본 보기→모든 스킬 둘러보기

즐겨 사용하는 AI에게 물어보기

이 에이전트 스킬이 미리 로드된 새 채팅을 엽니다.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

문서

Apktool을 이용한 안드로이드 악성코드 분석은(는) 무엇을 하나요?

개요

APK 파일로 배포되는 안드로이드 악성코드는 샘플을 실행하지 않고도 권한, 액티비티, 서비스, 브로드캐스트 리시버 및 의심스러운 API 호출을 추출할 수 있도록 정적으로 분석될 수 있습니다. 이 스킬은 androguard를 사용하여 APK를 프로그래밍 방식으로 분석하여 위험한 권한 조합, 난독화된 코드 패턴, 동적 코드 로딩, 리플렉션 기반 API 호출 및 네트워크 통신 지표를 식별합니다.

사용 시기

  • Apktool을 사용한 안드로이드 악성코드 분석이 필요한 보안 사고를 조사할 때
  • 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
  • SOC 분석가가 이러한 유형의 분석을 위한 구조화된 절차가 필요할 때
  • 관련 공격 기술에 대한 보안 모니터링 범위를 검증할 때

사전 요구 사항

  • Python 3.9+ 및 androguard
  • apktool (리소스 디컴파일용)
  • jadx (자바 소스 복구용, 선택 사항)
  • 격리된 분석 환경 (VM 또는 샌드박스)
  • 분석할 APK 샘플 파일

단계

  1. androguard를 사용하여 APK를 파싱하고 매니페스트 메타데이터 추출
  2. 요청된 권한을 열거하고 위험한 조합 플래그 지정
  3. 매니페스트에서 액티비티, 서비스, 리시버 및 프로바이더 나열
  4. 의심스러운 API 호출(리플렉션, 암호화, SMS, 전화 통신) 스캔
  5. 동적 코드 로딩 패턴(DexClassLoader, Runtime.exec) 탐지
  6. 문자열에서 하드코딩된 URL, IP 및 C2 지표 추출
  7. MITRE ATT&CK 모바일 매핑을 포함한 위험 평가 보고서 생성

예상 출력

  • 권한 분석, 구성 요소 목록, 의심스러운 API 호출, 네트워크 지표 및 위험 점수가 포함된 JSON 보고서
  • APK에서 추출된 문자열 및 잠재적 IOC

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-disk-image-with-autopsy

Perform comprehensive forensic analysis of raw (dd), E01, or AFF disk images with Autopsy and The Sleuth Kit, recovering deleted files, examining metadata and embedded artifacts, keyword searching, and building investigation timelines with visual reports. Use for structured analysis of a forensic disk image or when stakeholders need visual reports from evidence.

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

analyzing-docker-container-forensics

Investigate compromised Docker containers by analyzing images, layers,

관련 스킬

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community