2014年Android恶意代码发展报告

4 典型恶意行为特征

　　2014年，Android恶意代码出现很多新的恶意行为，其中较为典型的恶意行为如下：

• 通过疯狂截图来获取聊天信息、短信内容等，以窃取用户隐私信息；

• 利用手机僵尸网络“挖矿”——CoinKrypt家族木马；

• 通过手机架设Web服务器，窃取用户隐私，反向链接的行为更加隐蔽——Gandspy家族木马；

• 将移动设备加密锁屏后，对用户进行勒索——simplelock家族；

• 伪造关机，实际上在后台窃听——shutdownhack家族木马；

• 恶意刷Google Play榜的“刷榜客”僵尸木马；

• XX神器爆发后，短信蠕虫泛滥。

四、 Android恶意代码技术新趋势1 Rootkit和Bootkit攻击技术

　　2014年，采用Rootkit攻击技术的木马有：长老木马、PoisonCake家族等；Android平台上首个采用Bootkit技术的木马：Oldboot（中文名：不死木马）。这些木马虽然目前只能通过ROM植入方式来传播，需要Root权限才能查杀。但是移动安全厂商也不可掉以轻心，需要努力建立更为强大移动恶意代码对抗方案。

2 编程语言多样化

　　Android应用支持多种开发语言，除常规的Java与C/++，还有易语言、VB、C#、HTML5等。2014年开始捕获到使用易语言和C#开发的恶意应用，其中易语言开发的恶意代码应用已超过200余个。

3 恶意软件加壳技术

　　2014年，更多恶意软件采用加壳技术躲避安全软件的查杀。2013年到2014年仅一年时间，加壳恶意软件数量就增长了约18倍（如图8所示）。

图8 加壳恶意软件数量增长趋势

　　到目前为止，AVL移动安全团队共发现20余种Android应用加壳方案。图9中统计了被恶意软件使用最多的十大加壳方案。

图9 恶意软件加壳技术Top10

　　值得注意的是，使用DexProtect和apkprotect加壳技术的恶意软件占比极高（如图10所示），很可能是专门为恶意代码开发的加壳方案。

图10 使用加壳技术的恶意软件比例情况

五、典型恶意软件发展现状1 恶意广告应用愈加火热

　　据AVL移动安全团队统计数字表明，近两年恶意广告数量增幅较大（如图11所示）。用户每安装三个APP，其中至少有一个包含了广告。

图11 恶意广告APP数量变化趋势

　　从恶意行为来看，恶意广告件的趋利性更加明显。通过窃取重要隐私信息、频繁推送广告、静默下载安装其他应用、拦截短信等方式非法牟利。

2 手机支付软件暗藏风险

　　2014年是移动购物强劲爆发的一年。各大网上商城的移动支付金额大幅增长。移动支付业务的暴增，繁荣了移动支付市场，同时也引来了捆绑支付插件的恶意软件。根据AVL移动安全团队统计数据表明，相比于2013年，2014年被植入支付插件的恶意应用数量猛增近8倍。图12展示了含支付插件的恶意应用的传播情况。

图12 含恶意支付插件的应用数量情况