Google上架之业界大佬

这篇文章转自我的知乎：https://zhuanlan.zhihu.com/p/2039457370045149749

好久没有分析Google马甲包了，今天分析一个业界大佬的包。

com.fh0dazl.jufd9dl32bn 下载次数1M+，在架时间173天

com.lmcudywksxoi.spxifuem 下载次数100k+，在架时间118天

org.nagkh.ylplssl.azwgfe 下载次数500k+，在架时间117天

com.hz9jfalj.dsaou92auj 下载次数100k+，在架时间117天

大佬上的包是在是太多了，上面只是冰山一角。

今天就从技术角度分析一下com.hz9jfalj.dsaou92auj，看大佬是怎么做的。

1.简单的A/B判断，主要是ip地址

2.解密并加载下面的dex文件

3. 依次进行下面的A/B判断

3.1 root检查

– isSystemTimeValid() 是否 < 900000ms

– isVirtualDevice()

– isEmulator()

– hasDebuggingTools()

– isRootedByFileCheck()

– isRootedBySuCommand()

– isRootedByBuildTags()

– isMagiskPresent()

3.2 install ref检查，这个比目前我们看到的所有APP的检查都要更严格

– 是否为空

– 是否命中广告关键词：具体包括utm_medium=cpc/display/banner/video/social/paid/referral 、 utm_campaign= 、 gclid= 、 fbclid= 、 ttclid= 、 msclkid=

– 是否命中自然关键词：具体包括utm_medium=organic 、 utm_medium=(not 、 utm_medium=not 、 utm_medium=(null) 、 utm_medium=null

– 兜底规则：包含 utm_source=(not 且不包含 utm_medium= ，也判为自然量。

3.3 根据服务端控制开关做进一步检查

– 服务端开关层客户端可见条件：llatsnl 是 “hundred” 还是 “eleven”

– SIM卡国家码是否为空或具体值

– 当前 UTC 时区偏移

– 服务端返回的 rkubfgaggfg 是否等于 sqklnattwl

– 服务端返回的变体是否为 hjkl / abcd / fgh

3.4 Adjust 层条件

服务端返回了一个控制开关，用于控制对流量判断的严格程度

– 当参数是 true （也就是 abcd ）时：

– network == null 、空串、 Organic 、 Unattributed -> 判为自然量。

– 其他任何非空网络名 -> 判为非自然量。

– 当参数是 false （也就是 fgh ）时：

– network == null 、空串、 Organic -> 判为自然量。

– Unattributed 以及其他任何非空网络名 -> 判为非自然量。

最后，附上关键代码片段：