剖析‘共享屏幕骗局’最新样本：某视频会议软件 SDK 线索分析

将 APK 文件上传至大狗平台进行自动化分析，从解析出的 APK 专业报告中可以发现：

1、这里已经明确了，要分析的实时音视频 SDK 在源码中的文件路径为：lib/armeabi-v7a/libliteavsdk.so。所以，直接去资源文件 lib 中查看相关的 so 文件信息，进行确认。

2、找到 so 文件后，可以在网上搜索库文件的名字，查找相关的文章或信息。这个样本中，第三方库文件名称为 libliteavsdk.so ，搜索结果显示为国内某厂商提供的 实时音视频SDK。

3、接下来，去看该 SDK 提供商的开发者文档，查看它是如何初始化的。初始化过程中是否需要Key，或者某些ID等标识，我们需要获取的就是这个 ，了解后便可以开始进行下一步了。

 ● 2.2. 找SDK初始化位置

阅读开发者文档可以发现， 当调用 enterRoom时需要传递一个叫 TRTCParams的参数，里面有一个字段叫SDKAppID（如图3），这个就是我们要找的，继续下一步。

当知道在调用哪个函数会携带 SDK ID 信息时，就可以在 Jadx 中全局搜索这个函数名字，帮助我们快速定位该函数在哪些位置发生了调用，这里搜索 enterRoom （如图4）。

可以看到，匹配到很多结果，可以检查调用， 查看有哪些地方调用了SDK。不过种方式很难定位并找到 APP ID，因此尝使用 Frida Hook 来查找。

let TrtcCloudJni = Java.use("com.tencent.liteav.trtc.TrtcCloudJni");
TrtcCloudJni["nativeEnterRoom"].implementation = function (j, enterRoomParams, i) {
  console.log(`TrtcCloudJni.nativeEnterRoom is called: j=${j}, enterRoomParams=${enterRoomParams}, i=${i}`);
  this["nativeEnterRoom"](j, enterRoomParams, i);
};

图5 直接Hook enterRoom 函数

从运行结果可以看出，Hook 后并没有按预期来执行，尝试在界面上点击加入房间并输入任意房间号之后，提示: 网络错误, 请检查网络!  猜想可能的原因如下：

1、是因为网络不通?

结合之前 APK 分析报告中，识别到数字天堂（DCloud）开发工具SDK，查看 AndroidManifest.xml 发现其入口是 DCloud-uniapp 平台下的前端应用的框架（如图6）。

图6  AndroidManifest.xml 文件

查看 uni-app 平台的开发文档发现，具体业务逻辑可以通过编写 JS 代码来实现，整个框架都是基于 H5 来做的。接着，通过搜索找到这个框架打包出来的 APK 结构信息（如图7）。

图7 uni-app框架打包的APK结构信息

之后开始着手看这些文件，发现真实业务逻辑代码经过了混淆，让其难以看懂和理解。

于是就想到，既然这样有没有可能使用到 WebView，带着这个问题，通过编写 Frida 脚本来 Hook WebView 的loadUrl 函数，发现确实使用到了 WebView（如图8）。

  let WebView = Java.use("android.webkit.WebView");
  WebView.loadUrl.overload("java.lang.String").implementation = function (url) {
    console.log(url)
    return this.loadUrl(...arguments);
  };

紧接着，开始分析前端代码。做法比较简单：通过 Frida 把 loadUrl 的参数改写，直接访问自己起的服务，这样就可以达到调试的效果。

结果还是不行，因为这些并不是业务代码，还需要继续分析，对错误提示的字符串进行全局搜索（如图9）。

图9 全局搜索

function traceStack() {
  let stackString = Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Exception").$new());
  console.log(stackString);
}

Java.use("java.io.File").$init.overload("java.lang.String").implementation = function () {
  // console.log('call ', arguments[0])
  if (arguments[0].endsWith("app-service.js")) {
    traceStack();
  }
  return this.$init(...arguments);
};

图10 打印读文件函数堆栈

let WXViewWrapper = Java.use("io.dcloud.feature.weex.WXViewWrapper");
WXViewWrapper["render"].implementation = function (template, options, jsonInitData) {
  console.log(
    `WXViewWrapper.render is called: template=${template}, options=${options}, jsonInitData=${jsonInitData}`
  );
  this["render"](template, options, jsonInitData);
};

现在的问题是：如何修改这个 JS 代码？由于代码是混淆无法读懂，更别说修改了。再次去网上查找相关反混淆的工具，功夫不负有心人，找到一个可以用的 Github – kuizuo/js-deobfuscator。解密后，所有逻辑一目了然, 可以不用继续 Hook 下去了。

图12 检查函数

请求时会调用 isTrueVersion 这个函数来检查（图12），里面检测的并不是网络错误， 网络错误只是一个误导。这里检查的是当前日期，需要的日期是 “20240701” 。由于分析的时候已经是第二天了，时间不匹配，因此就会报这个错误。然后将其它几个函数也还原了，最后发现 APP ID 是从服务器返回的（图13）。

图13 从服务器返回 APP ID

图14 传递SDK转化为 APP ID

图15 加入房间触发 enterRoom 函数调用