用途：对可疑或被标记为恶意的 Android APK 进行逆向分析，适用于银行木马、间谍软件、短信窃取器与广告软件样本，判断应用收集哪些数据、发送到何处、滥用哪些权限，并提取 C2 地址、加密密钥与配置数据。不适用于分析 APK 内混淆的原生 .so 库，此类分析应使用 Ghidra 或 IDA。
主要能力：提取 APK 元数据与权限；用 apktool 反汇编出 smali 与资源；用 androguard 自动化分析权限与组件；用 JADX 反编译 Java/Kotlin 源码并支持去混淆；检索网络通信、短信操作、悬浮窗攻击、无障碍服务滥用、数据外传、加密操作与动态代码加载等可疑模式；提取 C2 URL、IP 与 Base64 字符串；检查原生库；最终形成含 IOC 的分析报告。
使用方式：先安装 JADX 1.5+、Android SDK（aapt2、adb）、apktool、Python 3.8+ 与 androguard，可选 Frida 与隔离模拟器。用 aapt2 dump badging malware.apk 查看基本信息，apktool d malware.apk -o apk_extracted/ -f 提取清单，再用 androguard 脚本输出包名、版本、SDK 与危险权限、组件。用 jadx-gui malware.apk 或 jadx -d jadx_output/ malware.apk --show-bad-code 反编译，配合 --deobf 等参数去混淆。随后在 jadx_output/sources/ 中用 grep 检索 HttpURLConnection、SmsManager、SYSTEM_ALERT_WINDOW、AccessibilityService、getDeviceId、DexClassLoader、Base64.decode 等模式，并用 Python 正则提取 URL、IP 与 Base64 字符串。用 unzip -l malware.apk | grep ".so$" 检查原生库，必要时导入 Ghidra。
适用场景：分析通过短信钓鱼传播的银行木马，识别目标银行、C2 基础设施与数据窃取机制；追踪短信拦截接收器如何窃取 2FA 验证码；检查 assets/ 中的加密配置或网页注入文件。
限制：资料未提供具体收费、价格或平台支持信息；分析需在隔离环境进行；动态加载的 DEX 与原生库可能绕过静态分析，需结合动态分析工具。