智能手机黑色软件流行 黑色产业链催生黑色暴利

核心提示：今年上半年，手机流氓推广木马呈现了泛滥的势头，“自动下软件”、“自己下软件”，“不停下软件”成为网络上广大手机用户关注的焦点。在此过程中，一条黑色产业链也在悄然形成，更因其数量惊人成为新的黑色暴利产业。

当前，随着智能手机的普及，各种形式的手机病毒大量肆虐传播，手机应用恶意扣费、窃取用户隐私等行为日益严重。

　　今年上半年，手机流氓推广木马呈现了泛滥的势头，“自动下软件”、“自己下软件”，“不停下软件”成为网络上广大手机用户关注的焦点。在此过程中，一条黑色产业链也在悄然形成，更因其数量惊人成为新的黑色暴利产业。

　　流氓推广暴利惊人

　　来自网秦“云安全”监测平台的数据显示，在２０１２年上半年截获的“远程控制木马”类恶意软件中，超过７０％具备接收服务器指令后通过联网下载、强行推送到用户手机进行流氓推广的行为。仅２０１２年上半年，手机流氓推广木马已在全球范围内直接感染手机５２１万部(其中中国大陆地区４６８万部)，以其平均日下载２次Ｘ单次安装１元的平均结算价格计算，仅在一天时间内，通过“远程控制木马”实施恶意推广的最高获利或达９３６万元。

　　测试显示，像“耗电行者”这样的恶意软件，平均每日下载３到５次，单个推广文件体积在３至６ＭＢ之间(黑客可通过远程服务器非常灵活的配置下载频次和下载内容，对时长等随意定制)，大量消耗用户的手机上网流量，平均每天平白耗费２０－３０ＭＢ流量。

　　 强行刷机蒙蔽广告主从中谋利

　　目前，手机广告主为有效推广自身应用，通常会通过渠道代理来进行广告投放的方式增加用户量，并以实际效果，如下载次数、激活次数与之结算。渠道代理商则会通过在应用商店中做推荐、与终端厂商进行预装合作等正规形式来为其增加用户，并于广告主正常结算。

　　然而，由于受广告主不菲的结算价格诱惑，一些渠道代理商(恶意推广联盟)会不惜通过恶意软件联网自动下载、强行刷机内置的流氓推广的方式来强推应用，并通过一条密集的、连贯的流氓推广产业链来快速达成推广指标，从而蒙蔽广告主，与之结算分成，从中谋利。

　　恶意推广联盟会直接自制或伙同从事恶意软件制作的黑客将包含推送这些应用的网址加入到如“炸弹人”、“硬币海盗”、“财急送”、“京东商城”等热门应用之中，并通过一些安全认证薄弱的应用商店骗取用户下载。

　　通过这一方式，用户手机的流量电量会大量损耗，同时，他们还成为了被利用的对象，恶意推广联盟通过分成收益，根据传播频次谋取暴利。而广告主同样也将因被恶意推广联盟蒙蔽而遭受损失，在投入不菲经费后反只获得低质量用户，并因产品“被流氓推广”造成用户的强烈反感，使品牌严重受损。

　 　诱骗用户安装与黑客分成

　　据网秦２０１２年上半年全球手机安全报告称，流氓推广木马在特征上也出现了较多的变换，其可对服务器网址进行加密，可灵活配置下载列表，且隐蔽自身特征，伪装提示安装，还可自动判断手机是否具备ＲＯＯＴ权限等。

　　目前多数手机流氓推广软件均对用于推送软件的服务器地址进行了加密处理，在感染手机后再通过解密指令读取，从而再读出其中的服务器列表，推送指令和下载内容。解密完成后，便可读取服务器地址，其中包含有用于流氓推广的指令以及黑客配置好的下载列表，而这个下载列表，实际通过服务器端可进行灵活配置。

　　同时，根据指令，在下载、安装过程中，流氓推广木马还可自动检测当前网络状态。设置其延迟时间，若网络为ｗｉｆｉ则立刻下载，若为其他，则每隔若干小时下载一次。而在自动下载完成后，流氓推广木马还可通过服务器指令配置弹窗显示的文字内容，如以“系统更新”为名诱骗用户点击安装，而一旦安装后则会记录次数上传以与黑客分成。

　　目前手机流氓推广木马多已具备对ＲＯＯＴ权限这一Ａｎｄｒｏｉｄ系统的核心权限的判定过程，如针对带ｒｏｏｔ的手机，样本会运行命令申请获得ｒｏｏｔ权限，用户一旦授予权限，样本便会在后台将ＳＤ卡的ｄｏｗｎｌｏａｄ文件夹下的样本，静默安装在／ｄａｔａ／ｄａｔａ／路径下，获取ｒｏｏｔ权限直接完成安装。

　　针对未ＲＯＯＴ的用户，样本下载后会通过通知栏通知用户“系统更新，您好，已经获取最新更新，请点击安装”等欺骗性词汇，诱导用户安装下载的软件。