Chamois死灰復燃 近2億安卓設備受襲
責編：gltian ｜2019-04-08 10:36:45帶后門的SDK和惡意預裝應用是最大的威脅……
2017年谷歌安全團隊發現 “Chamois” 惡意軟件家族時，他們指出了其非同一般的復雜性。
該惡意軟件最初是在一次常規廣告流量質量評估中被發現的，該廣告欺詐惡意軟件通過一系列渠道傳播，悄悄成為了安卓歷史上最大型最多面的惡意應用。
Chamois的編碼十分優美，有4個階段的投送載荷，使用多種混淆和反分析技術，其配置文件采用定制加密存儲，且該惡意軟件十分龐大。
正如安卓安全工程師在初次發現Chamois時所描述的：
為分析該惡意軟件，我們的安全團隊篩查了超過10萬行代碼。這些代碼似乎是專業程序員編寫的，十分復雜。
該惡意軟件可將無辜用戶的流量導引向廣告，在后臺安裝應用，通過發送付費短信的方式進行電信欺詐；還能下載和執行另外的插件。如今，沉寂一年多的惡意軟件又死灰復燃了。安卓惡意軟件Chamois隨SDK和預裝應用卷土重來谷歌4月1日發布的《2018安卓安全報告》中稱，該惡意軟件最初的兩個變種被谷歌檢測并摧毀后，2017年11月在谷歌Play之外的地方又出現了，而在2018年更是以襲擊1.99億臺安卓設備之勢卷土重來?！秷蟾妗分赋觯珻hamois采用多種分發機制，包括作為預裝應用和廣告SDK（軟件開發包）安裝和注入到流行側加載應用中，是一種工程精巧的復雜惡意軟件。
谷歌 Play Protect 將Chamois分類為后門，因為該惡意軟件擁有遠程命令與控制功能。Chamois的載荷多種多樣，從一系列廣告欺詐載荷到短信欺詐到動態代碼加載都有。
更新過的檢測和緩解技術在2018年又一次挫敗了該惡意軟件的大肆傳播，但Chamois幾乎肯定會重新出現。(谷歌 Play Protect 每天掃描超20億臺設備的500億個應用。谷歌也開設了新的 Play Protect 開發者網站。)
安卓惡意軟件“Idle Coconut”可致手機加入代理網絡
2018年另一款流行惡意軟件變種是 “Idle Coconut” ——開發者添加進其應用程序用來賺錢的一個SDK。《報告》指出：應用被復用為某種商業VPN的終端，通過受影響安卓設備路由流量。該SDK使用websocket與命令與控制(CnC)服務器通信，然后通過‘正?！捉幼诌B接CnC控制下的主機。這些行為都是隱秘進行，用戶設備不知不覺中就成為了代理網絡的一部分。
2018年這兩大安卓威脅都源自潛在有害應用(PHA)和帶后門SDK的增長；前者通過供應鏈漏洞利用或原始設備制造商(OEM)推薦 “合法” 應用，以及將合法系統更新與PHA綁定的無線(OTA)更新。
該年度安卓安全報告更加強調的是安全成就，包括：
- 2018年里，只使用谷歌Play下載應用的設備僅0.08%受PHA影響。
- 使用非谷歌Play渠道安裝應用的設備受PHA影響的比例高出8倍，但相比前一年，這些設備感染惡意軟件的概率還是降低了15%。
- 2018年，谷歌 Play Protect 阻止了16億PHA安裝嘗試。
谷歌在報告中稱，2018年提升安卓安全的工作還包括：交付增強的應用沙箱、強化開發者API，以及增加基于硬件的安全投入。
Chamois初始報道：
https://android-developers.googleblog.com/2017/03/detecting-and-eliminating-chamois-fraud.html
谷歌《2018安卓安全報告》：
https://source.android.com/security/reports/Google_Android_Security_2018_Report_Final.pdf
谷歌 Play Protect 開發者網站：