免责声明本文仅用于个人设备自查、学习Android安全技术。1. 无线ADB调试属于安卓开发者功能仅可在自己拥有所有权的手机上操作禁止对他人设备进行调试、扫描、卸载应用。2. 开启无线调试后在公共WiFi环境存在安全风险操作完成后务必关闭无线调试。3. 操作前建议备份手机重要数据操作失误导致的任何问题作者不承担任何责任。4. 本文仅用于恶意程序排查不提供任何黑客、入侵相关技术。前言近期网上流传一款名为 systemservice 的安卓木马包名一般为 com.systemservice 。该木马伪装成系统服务申请设备管理员、无障碍权限可以后台录音、截图、读取验证码普通手机管家很难彻底清除部分情况卸载后会自动恢复。注意区分安卓原生系统进程 system_server 是正常系统核心进程不是病毒病毒是第三方安装包 systemservice 。本文提供两套方案推荐方案Termux 无线ADB免Root完整扫描手机全部应用备选简易方案仅Termux容器内有很大局限性仅做学习测试。无需电脑直接在手机内排查、定位、卸载该恶意程序。方案一【推荐】Termux 无线ADB免Root完整查杀一、手机开启开发者选项 无线调试1. 设置 → 关于手机 → 连续点击版本号7次输入锁屏密码开启开发者模式2. 返回设置找到【开发者选项】3. 打开 无线调试4. 点击【使用配对码配对设备】截图保存 IP:配对端口 6位配对码配对端口 和 后续adb connect的连接端口不是同一个每次打开无线调试端口会变化配对弹窗一旦切页面会消失不要退出页面。这里曾经也是给作者搞崩溃过二、Termux安装adb工具打开Termux依次执行pkg update pkg upgrade -ypkg install android-tools -y验证安装成功adb version输出版本号即为安装完成三、ADB配对配对窗口保持打开格式 adb pair IP:配对端口 6位配对码eg:adb pair 192.168.1.105:37000 123456(注意空格)提示 Successfully paired 代表配对成功。四、建立ADB连接回到无线调试主页面复制页面上的IP地址与连接端口执行adb connect 192.168.1.105:41327 ip只是示例输出 connected to xxx 代表连接成功。五、进入安卓shell扫描systemservice木马adb shell1. 查找第三方恶意包重点pm list packages -3 | grep -i systemservice-3 参数只列出第三方安装包系统自带程序不会显示。如果返回 package:com.systemservice 说明已经找到木马。2. 查看木马是否正在后台运行ps -ef | grep -i systemservice3. 查看该APP申请的权限无障碍/设备管理员dumpsys package com.systemservice注重点查看 Device Admin 、 Accessibility 无障碍权限。4. 卸载恶意程序pm uninstall com.systemservice卸载失败原因木马获取了设备管理员权限。解决手机设置 → 安全 → 设备管理员先取消该APP的管理员权限再执行卸载。5. 查看木马网络连接是否后台联网外传数据netstat -tunlp一键扫描脚本直接复制到adb shell运行echo 扫描systemservice相关包pm list packages -3 | grep -i systemserviceecho 查找运行进程ps -ef | grep -i systemserviceecho 网络连接netstat -tunlp六、操作收尾必做# 退出adb shellexit# 断开adb连接adb disconnect方案二【备选简易方案】纯Termux容器内扫描不推荐用于查杀重要限制Termux是独立容器该方式只能查看Termux容器内部进程无法读取手机系统其他APP进程大概率搜不到安卓系统上的 systemservice 木马仅适合简单学习测试不能作为正式查杀手段。直接在Termux终端执行pkg install grepps -ef | grep -i systemservice如果有输出代表Termux容器内存在相关进程无输出不代表手机没有病毒只是容器内没有。七、常见踩坑汇总1. adb connect连不上重新打开无线调试页面获取新的连接端口每次打开无线调试端口会变。2. 配对码弹窗消失重新点击【使用配对码配对设备】。3. 提示权限拒绝确认无线调试已打开手机弹窗点击允许调试。4. Termux被系统杀后台给Termux关闭电池优化允许后台活动。5. 区分正常进程 system_server 是系统核心进程不要删除 systemservice 第三方包才是木马。八、补充说明Termux本身容器内只能看到Termux内部进程不能直接读取手机全局APP进程所以必须依靠无线ADB方案才能扫描手机全部应用。如果卸载后反复自动安装说明木马存在附属下载器需要继续查找其他可疑第三方包。结语Android安全自查是很好的学习方向平时不要随意安装来源不明的APK不要随意授予APP无障碍、设备管理员权限。
