analyzing-android-malware-with-apktool
使用 apktool 进行反编译、jadx 恢复 Java 源码、androguard 进行权限分析，对 Android APK 恶意软件样本执行静态分析，包括清单检查和可疑 API 调用检测。
Best use case
analyzing-android-malware-with-apktool is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
使用 apktool 进行反编译、jadx 恢复 Java 源码、androguard 进行权限分析，对 Android APK 恶意软件样本执行静态分析，包括清单检查和可疑 API 调用检测。
Teams using analyzing-android-malware-with-apktool should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/analyzing-android-malware-with-apktool/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How analyzing-android-malware-with-apktool Compares
| Feature / Agent | analyzing-android-malware-with-apktool | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
使用 apktool 进行反编译、jadx 恢复 Java 源码、androguard 进行权限分析，对 Android APK 恶意软件样本执行静态分析，包括清单检查和可疑 API 调用检测。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 使用 Apktool 分析 Android 恶意软件 ## 概述 以 APK 文件形式分发的 Android 恶意软件可通过静态分析提取权限、Activity、Service、广播接收器和可疑 API 调用，无需执行样本。本技能使用 androguard 进行编程化 APK 分析，识别危险权限组合、混淆代码模式、动态代码加载、基于反射的 API 调用以及网络通信指标。 ## 前置条件 - Python 3.9+，安装 `androguard` - apktool（用于资源反编译） - jadx（用于 Java 源码恢复，可选） - 隔离分析环境（虚拟机或沙箱） - 待分析的 APK 样本文件 ## 工作流程 1. 使用 androguard 解析 APK，提取清单元数据 2. 枚举所请求的权限，标记危险权限组合 3. 从清单中列出 Activity、Service、Receiver 和 Provider 4. 扫描可疑 API 调用（反射、加密、短信、电话） 5. 检测动态代码加载模式（DexClassLoader、Runtime.exec） 6. 从字符串中提取硬编码 URL、IP 和 C2 指标 7. 生成包含 MITRE ATT&CK 移动端映射的风险评估报告 ## 输出格式 - JSON 报告，包含权限分析、组件列表、可疑 API 调用、网络指标和风险评分 - 从 APK 中提取的字符串和潜在 IOC
Related Skills
testing-android-intents-for-vulnerabilities
测试 Android 进程间通信（IPC）中 Intent 的安全漏洞，包括 Intent 注入、未授权组件访问、 广播嗅探、PendingIntent 劫持和 ContentProvider 数据泄露。适用于评估 Android 应用导出组件 攻击面、测试 Intent 数据流或评估 IPC 安全性的场景。适合涉及 Android Intent 安全、IPC 测试、 导出组件分析或 Drozer 评估的相关请求。
reverse-engineering-rust-malware
使用 IDA Pro 和 Ghidra 对 Rust 编译的恶意软件进行逆向工程，掌握处理非空终止字符串、提取 crate 依赖项和 Rust 特有控制流分析的专项技术。
reverse-engineering-malware-with-ghidra
使用 NSA 的 Ghidra 反汇编器和反编译器对恶意软件二进制文件进行逆向工程，在汇编和伪 C 代码层面理解其内部逻辑、密码学例程、C2 协议和规避技术。适用于恶意软件逆向工程、反汇编分析、反编译、二进制分析或理解恶意软件内部机制等请求。
reverse-engineering-dotnet-malware-with-dnspy
使用 dnSpy 反编译器和调试器对 .NET 恶意软件进行逆向工程，分析 C#/VB.NET 源代码，识别混淆技术，提取配置信息，理解包括信息窃取器、远程访问木马（RAT）和加载器在内的恶意功能。适用于 .NET 恶意软件分析、C# 恶意软件反编译、托管代码逆向工程或 .NET 混淆分析等请求。
reverse-engineering-android-malware-with-jadx
使用 JADX 反编译器对恶意 Android APK 文件进行逆向工程，分析 Java/Kotlin 源代码，识别包括数据窃取、C2 通信、权限提升和覆盖攻击在内的恶意功能。检查 Manifest 权限、Receiver、Service 及原生库。适用于 Android 恶意软件分析、APK 逆向工程、移动端恶意软件调查或 Android 威胁分析等请求。
performing-static-malware-analysis-with-pe-studio
使用 PEStudio 对 Windows PE（可移植可执行文件）恶意软件样本进行静态分析， 检查文件头、导入表、字符串、资源和指标，无需执行二进制文件。 识别可疑特征，包括加壳、反分析技术和恶意导入。适用于静态恶意软件分析、 PE 文件检查、Windows 可执行文件分析或执行前恶意软件分级等请求场景。
performing-malware-triage-with-yara
使用 YARA 规则对文件模式、字符串、字节序列和结构特征进行匹配，快速分级和分类恶意软件样本， 识别已知恶意软件家族及可疑指标。涵盖规则编写、扫描和与分析流程的集成。适用于 YARA 规则创建、 恶意软件分类、模式匹配、样本分级或基于签名的检测等请求场景。
performing-malware-persistence-investigation
系统性地调查 Windows 和 Linux 系统上的所有持久化机制，以识别恶意软件如何在重启后存活并维持访问。
performing-malware-ioc-extraction
恶意软件 IOC（失陷指标）提取是指通过分析恶意软件，识别可操作的失陷指标，包括文件哈希、网络指标（C2 域名、IP 地址、URL）、注册表修改、互斥体名称、嵌入字符串和行为产物。
performing-malware-hash-enrichment-with-virustotal
使用 VirusTotal API 富化恶意软件文件哈希，获取检测率、行为分析、YARA 匹配和上下文威胁情报，用于事件分类和 IOC 验证。
performing-firmware-malware-analysis
分析固件镜像中嵌入的恶意软件、后门和未授权修改，目标包括路由器、IoT 设备、UEFI/BIOS 和嵌入式系统。涵盖固件提取、文件系统分析、二进制逆向工程和 Bootkit 检测。适用于固件安全 分析、IoT 恶意软件调查、UEFI Rootkit 检测或嵌入式设备入侵评估等请求场景。
performing-dynamic-analysis-of-android-app
使用 Frida、Objection 和 Android Debug Bridge 对 Android 应用进行运行时动态分析， 在执行过程中观察应用行为、拦截函数调用、修改运行时值，并识别静态分析遗漏的漏洞。 适用于测试 Android 应用的运行时安全缺陷、Hook 敏感方法、绕过客户端保护措施 或分析混淆应用。适合 Android 动态分析、运行时 Hook、Frida Android 插桩或实时应用行为分析相关请求。