【天穹】OpenHarmony恶意HAP动态行为沙箱检测能力速览
星图实验室 2026-08-18 16:57 北京
天穹沙箱团队基于 OpenHarmony 5.0.2 环境构建了 恶意 HAP 动态行为检测沙箱：在隔离虚拟环境中自动安装并运行待测 HAP，实时采集 进程、文件、网络、屏幕 等证据，输出一体化分析报告。
一、概述
随着 OpenHarmony / 鸿蒙生态应用加速落地，HAP（Harmony Ability Package）已成为移动端恶意软件的新传播形态。相较于传统 PE / APK，HAP 的静态特征往往不足以及时暴露真实意图，攻击者可通过 Ability 拉起、原生库调用、外联通信等动态手段完成驻留与窃密。
为此，天穹沙箱团队基于 OpenHarmony 5.0.2 环境构建了 恶意 HAP 动态行为检测沙箱：在隔离虚拟环境中自动安装并运行待测 HAP，实时采集 进程、文件、网络、屏幕 等证据，输出一体化分析报告。本文以 com.sandbox.demo 为例，展示沙箱对恶意 HAP 行为的完整观测链路。
二、样本信息
样本名：oh_demo.v2.hap
包名：com.sandbox.demo
目标系统：OpenHarmony 5.0.2
SHA1：25c12141e59a7301e87b4ea12a0316879cc0d28e
文件类型：hap
文件大小：1.47 MB (1540163 bytes)
描述：该样本模拟恶意 HAP 常见动态行为，主要包括：拉起子进程执行系统命令、读写本地文件并留下落盘痕迹、发起 DNS 解析与外联通信，以及通过 Ability 界面切换完成多阶段行为串联。
三、样本分析
动态分析环境
提交样本后，平台根据样本特征智能选择 OpenHarmony 5.0.2 沙箱环境，自动完成分析环境调度、HAP 安装与启动。动态行为监控按进程维度聚焦目标 HAP 及其派生进程，同时过滤与样本无关的系统进程，减少环境噪声，确保分析报告中的行为证据与样本直接相关。
整体分析流程如下：
- 提交 HAP
— 上传待测包，创建分析任务
- 环境就绪
— 自动启动隔离分析环境
- 安装运行
— 安装并启动目标 Ability
- 实时采集
— 持续采集进程、文件、网络、截图等行为数据
- 汇总报告
— 汇总采集结果，生成分析报告
进程行为监控
进程行为树完整还原了 HAP 的动态执行链路。样本由 appspawn 拉起主进程 com.sandbox.demo，随后多次派生子进程执行 /system/bin/ping -c 1 -W 3 www.baidu.com，形成清晰的多级进程关系，如图 1 所示。
在行为明细层面，沙箱将进程创建、进程启动、模块加载及命令执行等事件进行结构化记录，并建立进程与行为事件之间的关联关系，同时将相关行为映射至 MITRE ATT&CK 技术点，辅助分析人员快速确认进程间的启动关系及具体执行内容，例如“谁拉起了谁、执行了什么命令”，如图 2 所示。
文件行为与衍生物
样本在运行过程中访问文件系统并产生相关文件（如 www.baidu.com.marker.txt）。沙箱对文件创建、读取、写入等动态行为进行记录，并自动捕获样本运行过程中动态释放或生成的文件作为分析衍生物，建立文件与相关进程之间的关联关系，为后续文件内容分析和行为溯源提供可核对的证据，如图 3 所示。
网络流量监控
网络行为记录了样本访问 www.baidu.com 时的 DNS 解析路径及解析结果，包括 CNAME、A 记录以及对应的 IP 地址。与此同时，原始网络流量中可以检索到与该访问对应的通信特征，从而形成“进程维度行为摘要 + 原始网络流量”双轨取证，便于进一步分析网络访问行为，如图 4 所示。
运行截图取证
除进程、文件、网络维度取证外，沙箱以屏幕时间线补齐“界面层”行为证据。样本 HAP 按固定节奏自动切页：HOME → PROCESS → FILE → NETWORK → SUMMARY，运行截图按照时间顺序记录各阶段界面状态，可辅助分析人员确认样本运行过程及界面行为，如图 5 所示。
平台对进程、文件、网络等多维动态行为进行统一关联，以进程为主要关联线索，将进程创建、文件操作、网络连接等事件串联起来，形成完整的样本动态行为链路，为行为研判和分析结论提供依据。
天穹智能分析平台（联系我们申请账号）：https://sandbox.qianxin.com
天穹智能分析平台持续迭代升级，致力于为每一位样本分析人员打造更高效、更智能、更易用的分析平台——这始终是我们不变的初心与追求。
如果您希望深入了解平台功能，或在使用过程中遇到任何问题，欢迎随时联系我们。您的反馈，是我们进步的重要动力！