Android 移动安全：以 CRaxsRat 为例解析无障碍服务（AccessibilityService）滥用与防御

在 Android 移动安全领域AccessibilityService无障碍服务原本是 Google 为方便残障人士使用手机而设计的系统级 API。然而由于该 API 具备极高的系统权限——能够读取屏幕 UI 节点、监听按键事件以及模拟用户点击它也成为了近年来诸多 Android 远程控制软件如 CRaxsRat 等典型远控家族重点滥用的核心机制。本文将以此类远控木马常见的技术特征为例结合 cat / logcat 命令行分析工具深入剖析无障碍服务被滥用的底层逻辑并提供针对性的防护与检测方案。一、 无障碍服务滥用机制解析像 CRaxsRat 这类移动端远控工具其核心控件能力很大程度上依赖于对无障碍服务的权限获取与事件监听。系统通过事件驱动机制将 UI 状态传递给服务进程[系统 UI 变更 / 用户交互]│▼[AccessibilityEvent 广播]│▼[远控服务进程接收] ──► [解析 AccessibilityNodeInfo] ──► [执行模拟点击 / 窃取文本]获批 AccessibilityService 权限后恶意进程通常会实施以下操作1. 自动化权限提权Auto-Granting 当应用通过后台申请其他敏感权限如读取 SMS、定位、悬浮窗时无障碍服务会监听系统权限弹窗瞬间自动点击“允许”或“确认”实现静默提权。2. 界面数据捕获UI Scraping 遍历 AccessibilityNodeInfo 节点树绕过常规输入框的安全防护直接截取屏幕上显示的明文文本如验证码、账号信息。3. 模拟用户交互** 调用 performAction(AccessibilityNodeInfo.ACTION_CLICK) 模拟点击或滑动绕过二次身份验证2FA弹窗。二、 命令行工具cat / logcat在样本分析中的应用在对可疑 APK 进行动态分析或安全排查时终端命令行工具是最直观的检测手段。安全人员可通过 logcat 和 cat 命令监控系统状态与服务绑定情况。1. 使用 logcat 捕捉异常服务日志当无障碍服务被激活或频繁触发 UI 事件时系统日志会输出对应记录。分析人员可以通过以下命令进行实时过滤bash# 过滤 AccessibilityManager 相关的系统输出查看是否有未授权服务绑定adb logcat | grep -i AccessibilityManager# 监听特定包名触发的 UI 节点变更日志adb logcat -v time *:E | grep -i Accessibility2. 通过 cat 检查系统激活服务配置在具备调试权限的测试环境中可以使用 cat 查看当前系统已开启的无障碍服务列表比对是否存在异常包名bash# 进入 adb shelladb shell# 使用 cat 读取当前系统的 Secure Settings 节点cat /data/system/users/0/settings_secure.xml | grep enabled_accessibility_services# 或直接调用 settings 命令查询settings get secure enabled_accessibility_services若 cat 返回的字符串中包含未知或非系统内置的包名例如与已知 CRaxsRat 变种相关联的随机生成包名则说明系统已被植入高风险服务。三、 开发者与系统的防御与检测实践面对无障碍服务的滥用风险移动端安全防御需要结合**系统级限制**与**应用层自防护**。1. Android 系统级的安全演进针对 CRaxsRat 等木马对无障碍服务的滥用Google 在近期的 Android 版本中做出了多项安全限制| Android 版本 | 安全防护改进 ||---|---|| **Android 12** | 引入 isAccessibilityTool 属性强制声明应用是否为合规的辅助工具。 || **Android 13** | 引入 **Restricted Settings受限设置**默认禁止侧载APK 直接安装应用开启无障碍权限。 || **Android 14** | 限制无障碍服务读取特定敏感 UI 节点如密码框、凭据管理器的能力。 |### 2. 应用层风险检测防御代码示例对于高安全性应用如金融、支付类 App建议在关键业务流程中加入无障碍服务状态检测javaimport android.content.Context;import android.provider.Settings;import android.text.TextUtils;import android.util.Log;public class SecurityCheckUtil {private static final String TAG SecurityCheck;/*** 检查当前系统是否启用了非预期的无障碍服务*/public static boolean isUnsafeAccessibilityServiceEnabled(Context context) {int accessibilityEnabled 0;try {accessibilityEnabled Settings.Secure.getInt(context.getContentResolver(),Settings.Secure.ACCESSIBILITY_ENABLED);} catch (Settings.SettingNotFoundException e) {Log.e(TAG, Error finding accessibility setting: e.getMessage());}if (accessibilityEnabled 1) {String enabledServices Settings.Secure.getString(context.getContentResolver(),Settings.Secure.ENABLED_ACCESSIBILITY_SERVICES);if (!TextUtils.isEmpty(enabledServices)) {Log.d(TAG, Enabled Accessibility Services: enabledServices);// TODO: 对比合法应用白名单拦截异常包名如 CRaxsRat 等生成的恶意存根return true;}}return false;}}3. 敏感 UI 节点防护在 Android 14 及以上版本开发者可在敏感控件中增加 accessibilityDataSensitive 属性防止外部无障碍服务读取内容xmlEditTextandroid:idid/et_sensitive_dataandroid:layout_widthmatch_parentandroid:layout_heightwrap_contentandroid:accessibilityDataSensitiveyes /四、 总结以 CRaxsRat 为代表的 Android 远控木马其核心生存空间建立在系统权限的滥用与用户防范意识的薄弱之上。在安全研究与运维排查中熟练运用 cat 与 logcat 等工具能够快速定位潜在威胁而在应用开发层面积极适配系统的最新安全特性如 Restricted Settings 及 accessibilityDataSensitive则是保障应用与数据安全的关键。有需求请回复rat