警惕！两大应用商店竟成恶意软件温床，用户信息安全何去何从？

免费获取chatGPT 3.5 账户，或购买GPT 4.0plus 会员账户，扫描文章内微信公众号二维码，或加微信：yuke36

排版：zhuo

Play和APPStore作为我们日常生活中最耳熟能详的两大应用商店，在提供便利的同时，也藏匿着众多安全风险。Play因其下摆的网路环境，成为了恶意软件繁殖的温床。而苹果生态其实是出了名的“干净”，但也逃过恶意软件的伪装。

近些年来，两大平台均施行了多项措施，企图通过强力整肃一改此前APP零乱无序、野蛮生长的局面。即使那些年确实取得了一些成效，但依然有不少“漏网之鱼”，给用户导致了严重后果。

2023年1月至今，仅短短9个月时间，这两大应用商店均已爆出多个恶意应用“潜藏”窃取用户信息的新闻。

去年6月20日，苹果AppStore上出现一款冒充的恶意应用程序Suite，该应用仅上架几周就泄露了数百人的资金。该恶意程序最初由The的管理合伙人发觉，可跟踪用户的投资组合并交易资产。

假如用户忘掉了皮夹应用的登陆细节，皮夹供应协会要求她们离线储存种子句型。种子句子是最后一道防线，用户只能用它从皮夹应用程序中收回资金。为用户提供了备份，以帮助她们生成多个种子句子，这种种子句子可以储存在不同的数学位置。

下载应用程序后，用户可以选择一定数目的句子来解锁资金。诸如，她们可以生成三个种子句子，但只须要两个就可以解锁她们的资金。而使用仿冒的Suite泄漏种子句子的用户可能创建了一个种子句子。生成多个种子句子须要用户创建新的皮夹。

多个种子句子可以确保虽然冒充应用获取了一个句子，它也未能访问用户资金。这款冒充应用曾一度成为法国区AppStore搜索量第二高的应用，这实在令人哭笑不得。

尽管苹果宣称AppStore“是一个你可以信任的地方”，但是反对侧载（），但现实生活中却是虽然苹果也不能完全保证AppStore中没有盗窃应用。

相比于macOS与iOS，安卓系统基于其自身的开放性，恶意软件的防范难度比苹果更甚。Play恶意软件问题非常严峻，安全风波频出。诸如：

去年5月，伪装成营销软件开发工具包（SDK）的间谍软件被发觉步入101个安卓应用程序，其中许多曾经在Play上，下载量超过4亿次。

Web的研究人员称这些恶意SDK为””，并报告说，它拥有一揽子营销功能，如小游戏和中奖，以保持访问者长时间使用应用程序。

研究人员进一步解释说：”在初始化时，这个木马SDK通过发送一个包含有关受感染设备的的恳求，联接到一个C2服务器。包括来自传感的数据，如陀螺仪、磁力计等，可用于测量模拟器环境并调整模块的操作程序，以防止被安全研究人员发觉”。

去年7月，安全人员发觉Play中存在两款伪装成文件管理器的恶意应用。这两款恶意应用名为“File&Data”及“File”，在安装后便会要求用户给与权限，随后便会在系统后台常驻。

图源：

这两款恶意软件会收集被害手机中的通信录名单、社交网站帐号、GPS地理位置信息、相册及视频文件、手机具体机型、操作系统版本、运营商、手机号码等，并传输至黑客处。据统计，这两款应用截止下架前早已分别被下载100万次、50万次以上。

去年9月，Play中出现了伪装成修订版的间谍软件，该软件可入侵安卓设备并获取敏感信息。这些恶意软件除了可以盗取用户的姓名、ID、联系人、电话号码和聊天信息，能够将这种信息传输至恶意行为者的服务器上。

日本网路安全公司将这些活动命名为Evil。这种软件在被微软商店下架前，早已被下载了数百万次。

Play恶意软件猖獗的问题早已造成了越来越多安全机构的注意，按照此前的一项调查研究结果显示：Play直接被确觉得是安卓设备上安装恶意软件的主要来源。

这种恶意软件是怎样“逃”过安全检测的

在联通应用市场蓬勃发展的明天，恶意软件的恐吓也日益严峻。虽然应用市场开发者采取了一系列安全举措，如代码审查、权限管理和黑名单机制，但恶意软件开发者依然找到了众多绕开安全检测的方法，这给用户的设备安全和隐私带来了巨大的风险。

通常来说，恶意软件比较常用的绕开方法有以下几种，我们来逐一瞧瞧：

借助版本控制

依照此前微软云安全团队的调查研究显示，恶意行为者在逃过Play商店的审查流程和安全控制后，会使用一种被称为版本控制的常见策略，在设备上植入恶意软件。

该技术通过向已安装的应用程序提供更新来引入恶意有效负载，或则通过所谓的动态代码加载(DCL)从恐吓参与者控制的服务器加载恶意代码。

它容许功击者绕开应用商店的静态剖析检测，在设备上以原生、或代码的方式布署有效负载。

微软在去年的恐吓趋势报告中提及：恶意行为者企图规避Play安全控制的一种方法是版本控制。

例如，开发者会在Play应用商店发布一个看似合法并通过微软检测的应用程序初始版本，但此后用户会收到来自第三方服务器的更新提示，这时侯终端用户设备上的代码会被改变，这样恐吓者就可以施行恶意活动，进而实现版本控制。

所有递交到PlayStore的应用程序和补丁都要经过严格的PHA（潜在有害应用程序）筛选，但”其中一些控制”被DCL绕开。

这种活动的应用程序违背了Play误导行为新政，可能被微软方面贴上侧门标签。

依据该公司的Play指导方针，通过Play发布的应用程序严禁通过Play提供的官方更新机制以外的任何方式进行修改、替换或更新。

伪装成合法应用

像上文提及的冒牌修订版间谍软件就是采用了这个技巧，其与PlayStore版相关的软件包名称是”org..”，而直接从网站下载的APK文件的软件包名称是”org…web”。

恶意软件包名称中使用的”wab”、”wcb”和”wob”愈发表明了恐吓行为者是通过这样的错别字抢注技术来假冒真正的应用程序，以达到掩人耳目的目的。

乍一看，这种应用程序虽然是带有完整的本地化界面的克隆版。这个克隆版软件从外形界面、甚至操作运行上去都与真品几乎一样。仅有一个十分小的区别，就是受感染的版本包含一个额外的模块，因而没有造成Play管理员的注意。

法国网路安全公司在2023年3月也曾发觉过类似的山寨和应用程序，这种应用程序带有剪切功能，可以拦截和更改聊天信息中的皮夹地址，并将加密货币转帐重定向到功击者的皮夹。

借助漏洞逃过安全检查

还有一些恶意软件开发者会借助应用程序中的漏洞或则零日漏洞来绕开应用市场的检查，以执行恶意操作。这种漏洞可能包括操作系统、应用程序或则应用程序库的漏洞。

此前谷歌的首席安全研究员BarOr发觉，通过才能绕开应用执行限制的不可信应用程序，功击者借助CVE-2022-42821能够在易受功击的macOS设备上布署恶意软件。

是一个macOS安全特点，可手动检测从互联网上下载的所有应用（前提是获得公平和开发人员签名），在发出应用不可信的警报之前恳求用户进行确认。而这是通过检测一个扩充属性com.apple.实现的，该属性由web浏览器分配给所有已下载文件，这一机制类似于中的MarkoftheWeb机制。

该漏洞可造成特殊构造的滥用一个逻辑问题筹建限制性访问控制清单(ACL)权限，制止web浏览器和下载工具为归档为ZIP文件的下载内容筹建com.apple.属性。结果，所归档的恶意中所包含的恶意app在目标系统上启动，而非被拦截，进而造成功击者下载并布署恶意软件。

这是近些年来发觉的其中一个绕开，其中好多被用于绕开类似于的macOS安全机制，如、File和SIP等。

动态加载恶意代码

据悉，还有个别恶意软件在初次安装时可能并不包含完整的恶意代码，而是在用户使用过程中动态加载。这就促使应用市场可能难以在软件安装阶段测量到恶意代码。恶意软件可通过这样的方法绕开安全检测。

当用户下载那些App时，首次安装时，用户仍然可以正常使用，但她们不晓得的是，未知的第三方在后台早已悄悄发出了下载远程配置文件的恳求。

当恶意组件下载成功后，会开始显示广告，让软件开发者可以通过受感染的设备挣钱。该应用软件的配置文件由功击者远程控制，再者开发者对App源代码中的一些关键字进行编码和加密，使其才能顺利逃避Play的严格安全检查。

虽然现在的APPStore和Play早已对恶意软件采取了反制举措，但道初一尺魔高一丈，“狡猾”的恶意软件总能钻到新“空子”。

两大应用市场均已采取反制举措

事实上从iOS7开始，苹果公司就引入了“苹果签名机制”的安全特点。这个特点的目的是确保只有经过苹果公司授权的应用程序能够在iOS设备上运行。具体来说，苹果公司会为每位应用程序颁授一个数字签名证书，该证书用于验证该应用程序的身分。当用户尝试安装应用程序时，iOS会检测该应用程序是否经过苹果公司授权。假如没有经过授权，该应用程序将难以安装。

不仅数字签名证书外，苹果公司还引入了另一个名为“应用互联”的特点。该特点的目的是确保用户只能安装来自苹果应用商店的应用程序。具体来说，应用互联会验证应用程序的来源，以确保它来自苹果应用商店。倘若应用程序没有来自苹果应用商店将难以安装。

另一方面，微软也在近期公布了恶意软件反制举措，要求所有以机构名义注册的新开发者帐户在递交应用程序之前提供一个有效的D-U-N-S号码。

D-U-N-S(数据通用编号系统)是由商业数据和商业剖析公司Dun&分配给各企业的九位标示符，每位号码都是独一无二的。向Dun&申请D-U-N-S号码的组织必须递交几份文件来完成验证信息，这个过程可能须要历时30天的时间就能完成。

D-U-N-S是全球公认的专有标准数据通用编号系统。同时，法国政府、欧盟委员会、联合国和苹果公司等均在使用该系统，其市场认可度极高，被觉得是非常值得信赖的。

通过要求软件开发商提供D-U-N-S编号，微软还将加强恶意应用发行商在应用商店重新注册的难度，一旦被判断为恶意软件被驳回，再想要进驻该平台需重新组建一家新公司。

这项新举措似乎能有效提升平台的安全性和可效度，杜绝新帐户递交恶意软件的行为。

想避开下载到恶意软件，我们该怎么做？

假如想要最大程度的规避恶意软件，不仅应用市场开发者应不断改进安全检测机制，提升对恶意软件的测量和防护能力以外，作为用户，我们在日常下载应用的过程中应选择可信的应拿来源，及时升级操作系统和应用程序，以及使用安全软件来保护自己的设备。

我们在下载应用之前，也可通过查看其他用户对该应用的评价，这有助于了解其他人的使用体验和是否有关于潜在的恶意行为的警告。倘若应用的评价较低或存在大量负面评论，这么这可能是一个下载应用前的警示讯号。

同时，防止点击来自陌生或不可信的链接也非常重要。恶意软件开发者常常借助垂钓和误导等社交工程技术来诱使用户点击恶意链接并下载恶意应用。一定要慎重对待来自未知发送者或怀疑链接真实性的信息。在下载应用之前，也要尽可能细致地阅读并了解应用所要求的权限。假如一个应用的权限恳求与其功能不符合，或则权限恳求过分冗余，那这也可能是一个潜在的恶意软件指示。使用app时，只授予其必要的权限，也才能有效减少恶意软件对设备和个人隐私的风险。

恶意软件开发者还经常会借助已知的操作系统和应用程序漏洞来入侵设备。为了避免这些情况发生，及时更新操作系统以及最新的安全补丁和修补程序也是非常必要的。

时至今日，“诡计多端”的恶意软件依然泛滥，一个不小心就可能潜入应用市场中，给我们的设备带来严重的安全风险。即使应用市场早已筑起了牢靠的“防火墙”，但仍然是防不胜防。恶意软件开发者也在与时俱进，不断改变策略，想方设法地绕开应用市场的安全检测机制获取利益。

但于我们用户而言，悉心筛选应用下载来源、注意权限恳求、读取用户评价、安装安全防护软件以及定期更新操作系统和应用程序，势必可以大大降低下载到恶意软件的风险。

无论是对于AppStore还是Play来说，防范恶意软件必定是一场持久战。“严字当头、长管长严”，无疑是打好护航应用安全这场“持久战”的关键所在。

【粉丝交流群招新啦！

在这儿，扩宽网安边界

乙方安全建设干货；

甲方最新技术理念；

全球最新的网路安全资讯；

群内不定期开启各类中奖活动；

盲盒、大象玩偶……

扫码添加小胡蜂陌陌回复“加群”，申请加入群聊】

免费获取chatGPT 3.5 账户，或购买GPT 4.0plus 会员账户，Gmail 邮箱注册，异常，停用相关问题，扫描文章内微信公众号二维码，或加微信咨询：yuke36