梆梆解读:十大恶意应用污名后另有黑手

    近日，央视报道了国内十大恶意手机应用软件，具体排行为：手机电筒、3D梦幻水族馆、鳄鱼爱洗澡、3D梦幻水族馆、一键ROOT、优品飞车热力追踪动态壁纸、SKY省钱电话、英雄联盟控、瑞士军刀工具箱、英雄联盟控等应用，同时对十大应用的下载渠道--应用商店也进行了曝光，根据报告数据来源显示，十大恶意应用来源安卓平台。

央视报道截图

　　根据报道，十大应用开发者成了“病毒制造者”，同时应用商店也成了协助传播的"帮凶"。对此，记者第一时间连线APP安全保护服务商--梆梆安全副总裁赵宇，对十大恶意应用的真正幕后黑手做了解读和分析。

　　1. 恶意应用并非真正的开发者所为

　　梆梆安全副总裁赵宇告诉记者, 恶意应用并非真正的开发者所为，而是打包党所致。目前大多数恶意应用来源，主要是安卓应用遭到篡改导致，根据梆梆安全的应用监测显示，应用遭遇的篡改类型主要为重新打包、破解、加入恶意代码、添加广告等现象。其实这些应用本身没有恶意行为，只是应用在传播过程中遭到了黑客的篡改。应用遭遇篡改后，一个绿色的应用就变成了恶意应用，这些应用可以统计用户的手机号码、上传用户的通讯录、记录用户的银行账户等等。但是应用开发者并不知道，所以很多开发者就成了“背黑锅”的角色，成了恶意软件的载体。比如鳄鱼爱洗澡的开发者是迪斯尼，正版的鳄鱼爱洗澡是没有病毒的，只是在传播过程中，被恶意开发者篡改后加入了恶意代码导致。“迪斯尼是百年品牌，在这个事件中是无辜受害者”

　　2. 应用商店并没有不作为

　　到底应用商店有没有不作为呢?梆梆安全副总裁赵宇说到“其实没有，应用商店只是一个应用分发渠道，国内各大应用商店包括腾讯应用宝和360等，都会通过安全检测避免在商店中出现恶意应用，但是不能从根本上杜绝恶意应用。恶意应用在用户安装在手机中之后，也会感染其他应用，所以对于恶意应用的泛滥的真正原因，不能“一刀切”，打击App恶意应用需要各个环节共同发力。

　　3. 安卓系统漏洞导致安全存在

　　安卓恶意应用的泛滥最基础的问题还是安卓系统本身，安卓系统的开源性，使得安卓系统存在许多漏洞。近段时间，不断有新闻爆出安卓系统的漏洞，如：8月6日，黑客们在Android系统中发现了大量的漏洞，其中包括了将合法Android软件变成恶意软件、FBI可远程监听Android电话麦克风等等。随后，PCWorld又曝出Android的一个新漏洞--使用谷歌的一键式认证即可盗取用户密码。据IDG News报道，Tripwire研究员Craig Young日前在洛杉矶参加黑帽大会的时候演示了这一漏洞。7月26日，有安全研究人员披露了一个新的 Android 手机漏洞，该漏洞可能让已安装的应用程序在用户不知情的状况下遭到窜改，受影响的安卓设备达到90%以上……此类安卓漏洞的事件还很多，所以说安卓恶意应用的最终根源在其系统的本身。

　　4. 安卓应用可通过加固防范

　　对于安卓漏洞本身和众多App的安全问题，是有方法可以防范的，梆梆安全副总裁赵宇说到。梆梆安全目前从四个方面从安卓应用进行安全保护。首先，对安卓应用进行防逆向保护，以加密代码的方式阻止反编译，从而防止被窃取代码和创意;其次，梆梆安全对安卓应用进行防篡改保护，通过对App进行完整性的保护，防止App被篡改。再次，对APP进行反调试保护，防止应用在运行过程中被动态注入，防止被外挂、木马窃取账户密码，修改交易金额等；最后，对APP进行存储数据加密保护，更底层、跨文件格式的数据加密，防止应用数据被窃取。通过上述四个方面全方位的对App进行保护，可以有效防止App被篡改，被注入等恶意行为，从而保护了App的安全。

　　移动应用安全形势越来越恶劣，对安全的轻视将导致严重的后果，赵宇表示，如果不在分发时候进行安全保护，用户的使用和口碑会下降变差，开发者的收入会大受影响，知识产权算法和商业逻辑会泄密，企业和产品品牌更会受到损害，还可能导致犯罪事件。“像迪斯尼的鳄鱼爱洗澡等很多这次被点名的应用，其实是可以通过应用安全加固来提前防范的。”■