导出取证报告 — Channel-Lion

📦 一键下载

📦 完整取证包 ZIP（19文件） 📄 取证报告 TXT 🔵 C2流量 PCAP（71包） 📊 HTML 完整报告

🔴 已记录设备

🗝️ Keychain条目

📦 App映射

124

📡 协议包

📄 完整取证报告（HTML）

· 独立 HTML 文件，无需服务器即可查看
· 包含所有设备/Keychain/App/协议帧数据
· 包含 55 条 XOR 常量解码表
· 包含双 C2 基础设施 IOC 完整清单
· 包含 YARA 规则全文

⬇ 下载 HTML 报告

🎯 IOC 速查清单（文本）

· 纯文本格式，可直接导入 SIEM/防火墙
· IP 地址 · 域名 · 哈希 · 字符串特征
· 按优先级排序

🛡️ YARA 规则文件

· 6 条规则，覆盖全部 4 个 SDK 组件
· 可直接用于 yara-python / Cuckoo / VirusTotal
· 含注释说明每条规则的检测逻辑

⬇ 下载 .yar 文件

🔬 Frida 动态分析脚本

· 53d887e9 神秘常量动态定位脚本
· 4路探针: CC_MD5 / strcmp / memcmp / ObjC
· 适用 iOS 17.x + frida-server

⬇ 下载 frida_53d887.js

📋 报告内容结构

取证元数据

· 样本SHA-256

· 分析日期

· 工具版本

· 分析人员

SDK 架构

· 4个组件关系图

· DK/SD/Core/riskdetector层次

· JS Native接口

· Telegram Bot控制链

密钥材料

· AES-256-GCM key (a37f2c91…)

· RSA公钥SHA-256 (85ec8a4c…)

· HMAC key=空串确认

· 55条XOR常量解码表

C2基础设施

· 双基础设施IP/域名

· 在线状态

· AWS GA架构

· CloudFlare anycast

采集数据快照

· 所有Keychain条目(明文)

· App容器映射

· 上传文件块

· SD会话记录

协议分析

· DK六帧完整回放

· SD内层拦截2次

· Core 7条命令wire format

· 协议帧hexdump

检测规则

· 6条YARA规则

· 9条行为IOC

· 字符串特征

· 网络特征

动态分析

· Frida插桩脚本

· 53d887e9探针

· SockPort状态机

· koffset验证

📤 导出取证报告