用途：面向防御性分析，用于分析用户提交或事件响应中发现的可疑移动应用，监控企业移动设备中的恶意应用指标，对 APK/IPA 样本做恶意软件初筛，以及调查移动应用的数据外泄或未授权设备访问。不用于创建、增强或传播恶意软件。
主要能力：静态指标分析（哈希、VirusTotal 查询、aapt 提取权限并识别高风险权限组合）；用 MobSF 做自动化静态与动态扫描，识别硬编码 C2、动态代码加载、反射调用、加密混淆载荷、root/反模拟器检测；网络行为监控（tcpdump、mitmproxy），关注可疑 DNS、C2 连接、数据外泄、信标、非标准端口与 DGA 模式；用 Frida 进行运行时行为监控（短信、文件写入、网络连接、DexClassLoader、命令执行、摄像头、ContentResolver 查询）；按行为模式分类恶意软件类型（银行木马、间谍软件、勒索软件、广告软件、Rootkit、短信蠕虫、凭证窃取、挖矿）。
必要用法：需隔离分析环境（专用设备或模拟器，不连生产网络）及 MobSF、Frida/Objection、Wireshark/tcpdump、Android 模拟器或 Genymotion、VirusTotal API Key。示例命令：sha256sum suspicious.apk；curl -s "https://www.virustotal.com/api/v3/files/<SHA256>" -H "x-apikey: <VT_API_KEY>" | jq '.data.attributes.last_analysis_stats'；aapt dump permissions suspicious.apk；curl -F "file=@suspicious.apk" http://localhost:8000/api/v1/upload -H "Authorization: <API_KEY>"；tcpdump -i any -w malware_traffic.pcap；mitmproxy --mode transparent。
适用场景：移动恶意软件分类与初筛、事件响应、企业移动设备安全监控、数据外泄调查。
限制：高级恶意软件会检测模拟器、调试器和 Frida，宜用硬件设备与隐蔽配置；存在延时触发载荷，需长时间监控并模拟多种条件；加密 C2 需 TLS 拦截或内存检查；多阶段载荷需关注动态代码加载与文件下载。具体价格与平台支持资料暂未提供。