📖 ZKIZ Archives

32款手機軟件上“黑榜” 部分惡意“吸費”、收集隱私

近日，工信部公布的電信服務質量通告顯示：二季度，對42家手機應用商店的應用軟件進行技術檢測，共發現不良軟件32款，涉及違規收集使用用戶個人信息、惡意“吸費”、強行捆綁推廣其他無關應用軟件等問題。

從工信部提供的信息來看，其中包括主流應用商店如百度手機助手、騰訊應用寶、小米應用商店等都有所涉及。

惡意軟件如何吸費？

根據工信部提供的信息，百度手機助手中的高速公路狂飆、恐龍世界等App，以及小米應用商店的鬼步舞視頻App涉及強行捆綁推廣其他應用軟件；應用寶中的App zapya未經用戶同意收集、使用用戶個人信息；泡椒網、優億市場、應用酷等則有App涉及惡意吸費；木螞蟻市場的應用手機精靈更是在用戶不知情的情況下自動向外發送短信。

事實上，這些應用商店涉及的惡意扣費、隱私獲取以及誘騙欺詐是用戶遇到最多的三類手機安全危害，同時在未遭遇安全危害的用戶中也流傳較廣。

“今年上半年，感染手機病毒的用戶超2億人次，並且呈現逐月增長趨勢。僅6月份，感染手機病毒的用戶數就與2013年上半年感染病毒的用戶數相當。”騰訊手機管家的安全專家陳列介紹，“目前看來，近50%的病毒，來自於捆綁下載的手機軟件，近20%源於APP商店。惡意APP會竊取用戶信息、惡意扣費等等。”

以惡意吸費為例，第一財經記者看到，此次工信部披露的惡意吸費情況主要集中在手遊領域，包括《全民跑酷》、《捕魚萌萌噠》等。

根據此前騰訊手機管家的分析，目前95%的吸費遊戲大小都小於10M（平均5.7M），而正常手機遊戲安裝包大小通常在20M+以上。之所以設置更小安裝包，是為了方便用戶快速下載，然後實施吸費。

在被騰訊手機管家截獲的手機遊戲樣本中，《馬上鬥地主》影響用戶28000多人，《QQ群機器人》影響用戶14000多人，位居前兩位;而涉及的手機病毒包，最多感染手機數量高達61129部。

此前，今年央視315晚會也曾揭露過部分手機惡意軟件暗中扣費，這些惡意程序往往偽裝成正常的遊戲應用或色情應用，利用美女圖誘惑用戶下載。一旦用戶下載安裝，這些應用通過引導用戶點擊收費觸發按鈕，暗中為用戶定制增值業務。由於這些收費觸發按鈕隱藏在看似正常的按鈕中，用戶基本都會中招。

安全技術人員分析這些惡意程序，會發現背後暗藏發送短信消費的功能，不僅如此，這些惡意程序會偷偷自動回複短信確認訂購，再將扣費有關的短信刪掉，讓中毒用戶完全蒙在鼓里。

短信、銀行信息最被“偏愛”

除了惡意吸費，更不容易被用戶感知的還包括隱私信息泄露等問題。

例如，360手機衛士在7月發布的《手機惡意程序盜取個人信息形勢分析報告》顯示，在手機惡意程序中，有一類是專門盜取用戶隱私信息，包括通訊錄、短信、通話記錄、銀行信息、社交軟件聊天記錄、錄音和照片等。

隱私竊取類木馬往往披著常規應用的外衣，善用偽裝術引誘網友下載。用戶手機感染惡意程序後，一般會自動發送一條信息到控制者的手機上（一般稱為主控手機），或自動上傳信息至指定郵箱。

統計顯示，23.3%的竊取個人信息類惡意程序會偽裝成色情視頻或色情軟件，是占比最高的偽裝類型，如“美女papa秀”、“欲澀影院”、“AV蜜播”、“成人社區”等。其次是常用軟件18.9%，系統應用18.8%。

其中，短信、銀行信息是惡意程序最“偏愛”的隱私內容。報告統計發現，僅2016年4月，360互聯網安全中心就截獲盜取個人隱私信息的手機惡意程序樣本9.8 萬個。其中67.4%會盜取短信信息、34.8%盜取銀行信息、10%盜取手機聯系人信息。同時，一半以上的惡意程序會竊取多種個人信息，其中，盜取兩類個人信息的惡意程序占比為49.7%。

通過惡意程序竊取隱私有多惡劣的影響？曾有安全廠商以“個人信息年度竊取量＝人均手機信息存儲量×中毒後手機信息竊取率×年度惡意程序感染量”來估算，個人信息年度竊取量中，短信信息的規模最大，高達71.8億條，每年70余億條短信內容成為了不法分子的賺錢機器。排名第二的是通話記錄的竊取規模，年度竊取量高達51.5億條；之後為聯系人信息，14.4億條；同時估算出照片信息的年度竊取量大致為252萬張。

另據安全廠商最新統計，截至2016年4月，全國共有146.2萬名用戶感染了竊取個人隱私類惡意程序。其中竊取短信的惡意程序感染用戶最多，達 113.4萬人次，其次為竊取銀行信息類，感染量達94.6萬人次，竊取通話記錄類的感染量為43.5萬人次，竊取用戶聯系人信息、竊取用戶即時社交軟件聊天記錄、竊取錄音信息、照片信息類惡意程序的感染量分別為31.3萬人次、7241人次、5292人次和1077人次。

值得一提的是，為了加強對移動互聯網應用程序（指通過預裝、下載等方式獲取並運行在移動智能終端上、向用戶提供信息服務的應用軟件），《移動互聯網應用程序信息服務管理規定》自8月1日起實施，對APP信息內容進行嚴格管理。

規定中不僅明確互聯網應用商店服務提供者責任，同時要求移動互聯網應用程序提供者應當建立健全用戶信息安全保護機制，依法保障用戶在安裝或使用過程中的知情權和選擇權，未向用戶明示且未經用戶同意，不得開啟收集地理位置、讀取通訊錄、使用攝像頭、啟用錄音等功能，不得開啟與服務無關的功能，不得捆綁安裝與應用無關的程序。對發布違法違規信息內容者，視情節輕重，將分別采取警示、限制功能、暫停更新、關閉賬號等處置措施。

惡意“吸費”等問題多多！西瓜影音等29款手機軟件上"黑榜"

據工信部微博消息，今年三季度，工信部對50家手機應用商店的應用軟件進行技術檢測，發現違規軟件29款，涉及違規收集使用用戶個人信息、惡意“吸費”、強行捆綁推廣其他無關應用軟件等問題。