智能手機上的侵入性廣告是如何讓我成為購物狂的？

作者：lucywang 2020-07-19 14:56:28

很多用戶抱怨來自未知來源的智能手機上的侵入性廣告越來越多，在某些情況下，解決方案非常簡單。對于彈出的廣告，如果出一次關(guān)閉一次，那也太麻煩了。在很多情況下，用戶都沒意識到這是一種網(wǎng)絡(luò)攻擊。

很多用戶抱怨來自未知來源的智能手機上的侵入性廣告越來越多，在某些情況下，解決方案非常簡單。對于彈出的廣告，如果出一次關(guān)閉一次，那也太麻煩了。在很多情況下，用戶都沒意識到這是一種網(wǎng)絡(luò)攻擊。廣告軟件將其自身植入系統(tǒng)分區(qū)中，如果用戶要徹底卸載它可能導(dǎo)致設(shè)備故障。此外，廣告可以在代碼級別嵌入到不可刪除的系統(tǒng)應(yīng)用和庫中。根據(jù)卡巴斯基跟蹤統(tǒng)計的數(shù)據(jù)，在過去一年中受到惡意軟件或廣告軟件攻擊的用戶中，有14.8%的用戶的系統(tǒng)分區(qū)受到了感染。

這是為什么?研究人員觀察到將不可刪除廣告軟件嵌入設(shè)備的兩種主要策略：

1.該惡意軟件獲得了設(shè)備的root用戶訪問權(quán)限，并在系統(tǒng)分區(qū)中安裝了廣告軟件。

2.用于顯示廣告(或其加載程序)的代碼甚至在被消費者購買之前就已經(jīng)嵌入到了設(shè)備的固件中。

Android安全模型假定殺毒軟件是普通應(yīng)用程序，根據(jù)此概念，它實際上無法對系統(tǒng)目錄中的廣告軟件或惡意軟件執(zhí)行任何操作。這使廣告軟件成為一種攻擊手段。它背后的網(wǎng)絡(luò)犯罪分子不惜一切代價從廣告或者更確切地說，強制安裝應(yīng)用程序中賺錢。因此，惡意軟件可能會出現(xiàn)在用戶的設(shè)備上，比如CookieStealer。

通常，研究人員的安全解決方案的用戶總數(shù)的1%–5%會遇到此廣告軟件(取決于特定的設(shè)備品牌)。總體來說，這些是價格較低的某些品牌的智能手機和平板電腦的所有者。但是，對于一些提供低成本設(shè)備的流行供應(yīng)商來說，這一數(shù)字可以達到27%。

2019年5月至2020年5月在系統(tǒng)分區(qū)中遇到惡意軟件或廣告軟件的用戶占卡巴斯基用戶總數(shù)的百分比

詳細(xì)分析

在智能手機的系統(tǒng)分區(qū)中安裝的最常見的惡意軟件類型是Lezok和Triada木馬。Lezok家族以其具有各種分發(fā)方案而著稱，其中包括供應(yīng)鏈攻擊，會在將惡意軟件上傳至應(yīng)用商店前，被嵌入到移動設(shè)備的固件之中。這種分發(fā)方式是非常危險的，其原因有兩個：

1. 普通用戶很難確定他們的設(shè)備是否已經(jīng)被感染;

2. 要清除這種惡意軟件是非常復(fù)雜的。

Lezok特洛伊木馬系列主要用于展示持久性的廣告、為用戶訂閱付費短信服務(wù)，以及為各種平臺上的應(yīng)用程序增加下載量。

Triada 木馬能夠滲透入運行在移動設(shè)備上的所有程序，Triada是從rooting trojans木馬發(fā)展而來的，但隨著Google Play Protect對防御這種攻擊的增強，Triada惡意程序被迫轉(zhuǎn)型以系統(tǒng)鏡像后門方式進行感染。但是，由于OEM合作和我們的推廣工作，原始設(shè)備制造商準(zhǔn)備了系統(tǒng)映像，其安全更新消除了Triada感染。

Triada 木馬值得注意的是其廣告代碼不僅嵌入在任何地方，而且直接嵌入到libandroid_runtime中-該設(shè)備幾乎所有應(yīng)用程序都使用的密鑰庫。盡管這些威脅是在幾年前發(fā)現(xiàn)的，但用戶仍會繼續(xù)遇到它們。Triada病毒的設(shè)計目的主要是用于金融詐騙，通常是通過劫持金融交易短信來實現(xiàn)。Triada最有趣的特征在于它與眾不同的模塊化架構(gòu)，理論上，這也使得該病毒的能力變得更加強大。

不過Lezok和Triada只是網(wǎng)絡(luò)廣告軟件的冰山一角，因此，研究人員檢查了用戶今天還面臨什么，以及發(fā)現(xiàn)哪些系統(tǒng)應(yīng)用程序包含“附加”代碼。

Trojan-Dropper.AndroidOS.Agent.pe

該混淆木馬通常隱藏在處理系統(tǒng)圖形界面的應(yīng)用程序或“設(shè)置”實用程序中，否則，智能手機將無法正常運行。惡意軟件提供了有效載荷，有效載荷又可以下載并在設(shè)備上運行任意文件。