近期，國外安全廠商CheckPoint 公司發(fā)布了有關惡意廣告軟件RottenSys的報告，報告中提到中國地區(qū)多款安卓手機都被安裝了一個名為RottenSys的手機惡意軟件，目前已經有許多安卓移動設備有被感染的跡象。 作為移動安全聯(lián)盟成員的360，對該樣本進行了追蹤及詳細技術分析,并第一時間把RottenSys相關原理分析同步給了移動安全聯(lián)盟。隨后，360安全團隊還出具了《RottenSys事件分析報告》。

　　隱秘傳播：設備到手前就已被RottenSys潛伏

　　報告中指出，RottenSys用刷機或ROOT目標設備等方式，在供應環(huán)節(jié)上預裝在全新的智能手機中，然后通過一家名為“Tian Pai”的電話分銷平臺來發(fā)貨。也就是說，在手機到達用戶手中前，RottenSys就已經潛伏其中，從而達到感染傳播的效果。

　　RottenSys在感染了安卓手機后，便會偽裝成“系統(tǒng) Wi-Fi服務”等應用，并通過不定期給用戶推送廣告或指定APP來盈利，給安卓手機用戶造成了一定的困擾。

　　不過，RottenSys惡意軟件的偽裝應用不只有“系統(tǒng)Wi-Fi服務”這一種，還包括“每日黃歷”、“暢米桌面”等其他程序。其中，像“系統(tǒng)Wi-Fi服務”這種，由于大多數(shù)普通用戶很難對這樣的偽裝做出正確判斷，因此惡意軟件的存活也就變得顯而易見。

圖1：RottenSys相關的應用程序

　　隱身攻擊：讓設備變成“傀儡”瘋狂吸金

　　在達到感染目的之后，該惡意軟件便會發(fā)動攻擊，用戶不但會被廣告纏身，連手機效能也會被拖累。

　　一般來說，RottenSys入侵后就會偽裝成系統(tǒng)服務進程。然后，RottenSys還會獲取巨大的敏感權限列表，其中包括像靜默下載這樣的權限，使得用戶很難察覺到惡意軟件的更新、推廣，而且還會使用某些手段使得惡意程序在被感染設備關機或重啟之后，仍能輕易啟動，以此來實現(xiàn)下載惡意廣告插件，給用戶推送廣告的目的。

圖2：惡意程序偽裝成“系統(tǒng)Wi-Fi服務”

　　之后，RottenSys就會變本加厲，它為了實現(xiàn)長期系統(tǒng)駐留、避免安卓關閉其后臺程序，還會進行推遲操作，入侵后在較長一段時間內才開始嘗試接收、推送彈窗廣告。另外，惡意模塊的加載也非常隱秘，并且模塊之間代碼不相互依賴，這使得惡意推廣變得更加靈活。

　　據(jù)統(tǒng)計，僅在短短10天時間內，RottenSys惡意軟件便產生了1325萬次廣告，其中超54萬次轉化為廣告點擊，并為其作者盈利11.5萬美元。由此可見，RottenSys的目的就是讓中招設備成為傀儡，利用廣告點擊等方式不斷為自己吸金，同時為了不被安全軟件和研究人員發(fā)現(xiàn)，還給自己披上了“隱身斗篷”企圖蒙混過關。

　　面對如此隱蔽而又猖狂的惡意軟件，360手機衛(wèi)士安全專家在此提醒廣大用戶，購買手機或是下載安裝APP，最好通過官方、正規(guī)渠道，盡量避免“刷機”等存在安全隱患的行為。此外，在使用手機的過程中，還可安裝360手機衛(wèi)士等安全管理軟件，及時對應用程序及安裝包進行安全掃描，避免類似RottenSys的“潛伏者”帶來危害。