我是刚才刷到酷安人分享的 https://www.coolapk.com/feed/67744157?s=YmZiYjY5OTE4ODEwOWc2OGU4ODM4NHoa1560
近期有人刷了加料的 LSPosed 模块被盗刷
样本木马包名为 com.android.append
警惕恶意模块，拒绝来源不明的模块，格机事小，丢钱事大
木马发现自身宿主模块被卸载时，会感染其他模块，并疑似盗刷后自动卸载。样本为 LSPosed，目前暂未明确木马最初来源模块
如果你也root了，担心风险，请往下看，本人亲测好用。
结合酷安评论区，tg群，和本人问AI实操后，给大家提供排查办法：
核心目标是检查：
- 每个模块下有没有system/priv-app/zygisk.apk
- 是否存在/data/local/vendor文件夹
- 是否存在/data/adb/service.d下有很多脚本
- 系统里是否有com.android.append和/system/priv-app/zygisk.apk
以下每步我都是测过的，本人手机正常未找到这些异常，这里直接扔AI 总结好的操作步骤了。
您需要一个可以在手机上执行终端命令并获取 Root 权限的应用。常用的有 Termux、MT管理器 的终端功能，或者任何其他终端模拟器应用。
具体排查操作步骤（懒人版）：
打开您的终端应用 (以 Termux 为例)。
输入 su 并回车，此时您的 Root 管理工具（如 Magisk）会弹出授权请求，请选择 授予 或 允许。
成功获取 Root 权限后，命令提示符通常会从 $ 变为 #。
依次执行您群友提供的命令，并观察输出结果。
命令逐条分析与预期结果
下面是每条命令的作用以及“安全”和“可疑”的结果分别是什么样的。
find /data/adb -name “zygisk.apk”
说明： 这条命令会在 /data/adb 目录（Magisk模块和相关文件存放的地方）下搜索名为 zygisk.apk 的文件。
(注：您群友给的 find zygisk.apk /data/adb 语法有些小问题，我已经修正为正确的格式 find /path/to/search -name “filename”)
安全的输出： 没有任何输出，或者提示 “No such file or directory”。这表示在Magisk的安装目录里没有找到这个可疑的APK文件。
可疑的输出： 如果输出了一个或多个路径，例如 /data/adb/modules/some_module/system/priv-app/zygisk/zygisk.apk，这说明您可能安装了包含这个恶意文件的模块，高度可疑。
ls /data/local/vendor
说明： ls 是列出目录内容的命令。这条命令用来检查是否存在 /data/local/vendor 这个文件夹。根据图片描述，恶意模块会使用这个文件夹。
安全的输出： 提示 ls: /data/local/vendor: No such file or directory (没有这个文件或目录)。
可疑的输出： 如果成功列出了一些文件或文件夹，说明这个目录存在，需要警惕。
ls /data/adb/service.d
说明： 检查 /data/adb/service.d 目录下是否存在脚本文件。这个目录下的脚本会在开机时以Root权限自动执行，是恶意软件实现“复活”和持久化的常用手段。
安全的输出： 没有任何输出（目录为空），或者列出的是您自己明确知道用途的脚本文件。
可疑的输出： 如果列出了一些您不认识的、名称奇怪的脚本文件 (如 fdkss.sbs 或其他随机名称的脚本)，则高度可疑。
ls /data/adb/post-fs-data.d
说明： 这是您群友补充的检查，非常有必要。这个目录和 service.d 类似，也是用来存放开机自启脚本的。
安全/可疑的输出： 同上一条。
pm path com.android.append
说明： pm 是安卓系统的包管理器 (Package Manager) 命令。pm path [包名] 用来查询指定包名的应用（APK）安装在哪里。这条命令直接检查系统中是否安装了名为 com.android.append 的恶意应用。
安全的输出： 没有任何输出。
可疑的输出： 如果输出了一个路径，例如 package:/system/priv-app/zygisk/zygisk.apk，这就石锤了，说明恶意应用已经安装在您的系统中。
ls /system/priv-app/zygisk.apk
说明： 直接检查在 /system/priv-app/ 目录下是否存在 zygisk.apk 这个文件。这是图片中提到的恶意APK的安装路径。
安全的输出： 提示 ls: /system/priv-app/zygisk.apk: No such file or directory。
可疑的输出： 如果成功显示了文件名，说明文件存在，同样是石锤。
以上，如果没问题，恭喜你安全了。
如果你检测出问题了，那么强烈建议 备份重要数据后直接刷官方rom
这样彻底解决无后患。
不想的话也行：
重启手机进入 Magisk 安全模式 (通常是开机时按住音量减键，具体方式可能因设备而异)。在安全模式下，所有Magisk模块都不会被加载。
使用有Root权限的文件管理器（如MT管理器）或者通过 adb shell：
删除 /data/local/vendor 文件夹。
删除 /data/adb/ 下的所有可疑文件，特别是 /data/adb/modules 里的所有模块和 /data/adb/service.d 里的可疑脚本。最简单的做法是删除所
有模块，之后再重新安装你要的模块。
重启手机。
最后再次重申：
不到处乱刷来路不明的模块! 模块尽可能精简不要瞎搞，测试拿虚拟环境或备用机。不要整烂自己主力机环境。希望大家玩机愉快！
