Google Play上架应用遭杀毒软件检测为木马，求解决方案

• 先确认是否为误报
  Google Play上架的应用经过官方审核，自带恶意代码的概率极低，多数情况是杀毒软件特征库误判。可以做这些验证：

  • 用Google Play Protect自带扫描功能对比结果；
  • 查看杀毒软件给出的具体木马标识，去对应安全厂商官网查该特征的误报记录。

• 排查依赖库潜在问题
  你的依赖里有几个需要重点核查的点：

  • Unity Ads本地包：unity-ads.aar是否为官方最新版本？旧版广告SDK可能存在已知误报，或是你下载的包是否被篡改过？建议去Unity官方重新下载最新版替换；
  • 更新旧版依赖：Firebase系列、Lottie 3.4.0、Picasso 2.8等版本偏旧，旧版本可能存在已修复的安全漏洞或被杀毒软件标记的特征，尝试逐步更新到稳定版后重新打包测试；
  • 本地依赖完整性：确保libs目录下的aar包来自官方渠道，没有被注入恶意代码。

• 打包配置检查

  • 确认签名文件安全，未被泄露，若签名文件被恶意使用，可能导致杀毒软件关联到恶意应用特征；
  • 检查是否开启R8混淆，未混淆的代码结构可能被误判为恶意模式，同时要确保第三方SDK的混淆规则配置正确。

• 向杀毒厂商申诉
  若确认是误报，收集应用签名信息、Google Play上架链接、杀毒软件检测报告，提交给对应安全厂商申诉，要求重新识别你的应用。

内容的提问来源于stack exchange，提问作者Exitron