深度 | 3·15 特别报道三：谁公然在我们的手机内“游走”
“为何U盾还在、银行卡还在，密码未变，钱却不见了？”“高达20%的P2P高收益背后是资金高效运作还是欺诈？”“带来便捷生活的APP，究竟是救世主，还是万恶源泉？”
本周，本报记者从纷繁的网络安全隐患中，选出与日常生活息息相关的“Wi-Fi安全”“互联网金融安全”以及“APP安全”三大高发领域，展开深度调查，挖掘安全困境背后“人傻、钱多、没人管”的真正症结。从今天起，本公号将带您逐一解密。
3·15 特别报道二
谁公然在我们的手机内 “游走”
早上起来，手机中莫名其妙多了几款App，新号码莫名其妙接到广告、推销电话。这些日常生活中遇到的场景，背后则是一条涉及到静默安装、网盟推广、恶意插件等层层环节的成熟产业链条。
其中以刷机商、插件制作者、网盟、渠道为代表的各方角色，在商业牟利面前，默许纵容内含窃取用户通讯录、电话号，甚至是恶意扣费插件的App上架，为其带来百万甚至是千万级别装机量。但在这条庞大的地下产业链条面前，消费者的个人隐私问题再次被忽视。
IT 时报记者 李栋
手机在不知不觉中成为“肉鸡”
今年2月28日，在北京朝阳区法院审理的一起案件中，北京麦德联合信息技术有限公司、深圳市安丰易联信息技术有限公司、深圳万丰博通信息技术有限公司三家企业负责人，由于利用静默插件恶意推广App、获取用户隐私数据，以非法获取、控制计算机信息系统数据被判处有期徒刑1年5个月至3年不等。
公开资料显示，这三家公司分工非常明确，其中安丰公司为独立应用市场，负责安卓App的下载、推广运营。万丰负责给水货手机提供手机预装软件服务，即通过在ROM包中内置软件开发商App的形式，获取软件开发商支付的推广费。而麦德国内公司则最终负责静默插件的研发。
据北京朝阳区法院审理查明，涉事公司在将插件植入线下刷机ROM、线上App软件后，运营部门会通过后台服务端操控，向被静默插件感染的手机推送软件、广告等商业电子信息。当用户手机上网后，该插件会自动通过互联网联系该插件所在的服务器，该手机即被激活。他们再通过服务器操作，未经用户允许，给用户推送软件及广告信息，从中获利。
截至2013年8月案发，被植入静默插件的用户已达到40余万，推送广告获利约20余万元。该款插件在除了向用户手机私自安装App外，还可在用户不知情的情况下获取用户手机位置、读写用户存储卡等多种功能，甚至还能够获取用户所存储的通讯录、所处地理位置等数据信息。
3·15将至，许多安卓推广群里开始变得冷冷清清。以往喊出高额日均安装激活量的渠道商逐渐沉寂了下来，即便有大量的软件商开出重金高价码寻求，也无人问津。
“等过了3·15再说。”当《IT时报》记者联系到一位安卓推广网盟的负责人林某后，他表示最近许多第三方渠道和网盟都开始谨慎接单、暂停了大规模刷机安装。但只要避开这段时间，以往渠道中盛行的诱导安装、静默推送又会重新复苏:“只要这周过后，日均激活量上10万不是问题。”
在目前国内各大渠道的推广方式中，凭借获取用户成本方式低、能够快速冲取安装规模的特点，静默安装、诱导安装方式已经成为不成文的潜规则，并且迅速聚集起插件制作者、网络联盟、渠道等各方角色，形成一个庞大的地下产业链条。
“我们跟深圳的手机厂家、刷机商有着深度合作，目前手机在出厂销售前就已经内置了由我们开发的后门软件。”广东一家专门从事静默安装的负责人蒋星（化名）告诉记者，他们将开发的后门插件封装打包植入某些主流常用App之中，通过这个后门插件能够远程遥控这些手机，在用户不知不觉之间下载安装其他程序，“比如可以在凌晨2~4点之间大规模静默推广，如果不考虑留存率的话可以在早晨自动卸载，隐蔽性比较强，主流的安全软件很难查杀出来。”
这种利用后门插件成本远远低于正规渠道，也吸引了不少国内的网盟、正规开发者和互联网公司。当记者以软件推广为由联系到数家第三方推广渠道和网盟后，对方纷纷开出了1.5~2元/个左右的静默推送报价，并且表示只要提供程序安装包，在两天之内就能完成规模冲量，最多一天能够悄悄推送安装到十多万用户的手机上。
“第三方应用市场、网站合作推广等正规方式推广用户，成本起码在5~10元左右，而且初期很难冲起安装数量。”蒋星告诉记者，采用这种地下推广的模式，一些App能达到2万/天的装机量，甚至有不少正规渠道方、电商及新闻客户端推广方，都找到他们利用静默方式推广。
在业内，这种被静默程序控制的手机一般被称为“肉鸡”。由于在出厂前便被修改了系统的底层数据，或者是在预置ROM中的主流App里植入后门插件，具有非常高的系统权限，隐蔽性也非常强，因此很难被第一时间查杀。
另一种用低成本方式获取用户的方式，则是盛行的诱导安装等途径。软件推广方通过和部分中小网站合作，在网站利用美女图片、低俗视频等形式，引诱用户点击后下载应用文件安装，双方再共同结算分成。
“主要是针对手机流量用户，像利用图片、视频的方式，在其中嵌入软件包下载地址，只要内容不是太过色情和裸露就行。”一家CPA网站联盟负责人说道，通过这种手法在各家网站进行推广，每天起码能够带来10万左右的有效安装量。
事实上，除了已经被公之于众的刷机公司外，还有大量潜伏在地下的灰色推广渠道，为了片面追求安装量和利润，却往往忽视了用户的隐私与安全，甚至某种程度上在默许、纵容软件商的行为。
在记者联系到的几家推广联盟和静默渠道中，对方表示只需要提供软件安装包即可，对于App的权限却几乎没有设置任何限制，一些私自扣费、窃取用户信息的插件大行其道。
“只要App不读取用户短信、支付等信息就可以，像App读取电话号码、通讯录这都不要紧，能够上架推广。”林某告诉记者，只要推广方提供的软件安装包不涉及到盗号木马，一般读取的数据第三方网盟也会默认，而部分从事静默渠道安装的公司更是明码标价。蒋星对记者表示，如果想要利用静默渠道推广部分含有扣费插件的App，需要事先和渠道商结清款项，费用是每个激活2元左右。
伴随着安卓地下推广链条的旺盛，一些窃取隐私的App又重新开始兴风作浪。一组安全管家提供给《IT时报》的数据显示，检测出2013年窃取隐私手机病毒占到整体病毒的8%左右，新增10.44万例。但这一数字在2014年增长了41%，达到了14.75万例。此前，这家厂商曾为91助手、安智、应用汇等50余家渠道提供安全查杀服务。
2月5日，在工信部发布的《2014年全年及第四季度电信服务情况》中显示，在去年组织的对40家手机应用商店拨测筛查过程中，发现不良软件107款，如搜狐应用中心、91助手、木蚂蚁应用市场等知名渠道方提供的《飞语免费网络电话》《碰碰》《微微网络免费电话》等App等，涉及违规收集用户个人信息、恶意“吸费”、软件自动向外发送短信、强行捆绑推广其他无关应用软件等问题。
根据工信部此前发布的《关于打击治理移动互联网恶意程序专项行动中做好应用商店安全检查工作的通知》，应用商店应自行或委托第三方对App进行安全检测，对于还有信息窃取、恶意扣费、远程控制等行为，不得上架发布并将其纳入应用软件黑名单。
但记者注意到，截至目前仍有不少涉及到App依然存在，如被点名的《微微免费网络电话》、《安卓铃声大全》、《植物大战僵尸王2》还堂而皇之出现在魅族、Oppo、搜狐应用中心等安卓市场搜索排行榜中。
“软件预装、窃取个人隐私等已经形成一个成熟产业，其中企业违规、违法的成本很低，导致这种现象屡禁不绝。”独立电信分析师付亮告诉《IT时报》记者，目前从监管层面而言很难对庞大的App市场做出清晰界定，处罚手段和结果也显得过轻。“部分公司将知名应用加入恶意插件打包后上传，在后台窃取用户隐私数据很难第一时间察觉。或者同时在多家应用市场上架不停改头换面，很难进行有效管理。”
付亮认为，目前仅仅依靠抽查、曝光、下架等形式，无法直接对涉事企业主体进行监管，对背后庞大的产业链很难形成有效遏制，“除了监管部门的抽查监督外，还应该完善相关法律法规，对此类恶意行为的企业主体加大处罚打击力度。”
本文刊于3月13日 第546期《IT时报》 编辑 郝俊慧 haojunhui@189.cn
