這款新型惡意軟件被稱(chēng)為“ExpensiveWall”，名稱(chēng)源于其用于感染設備的一個(gè)應用程序“Lovely Wallpaper”。ExpensiveWall 是今年早些時(shí)候現身Google Play 的惡意軟件新變種。整個(gè)惡意軟件系列現已有 590 萬(wàn)到 2110 萬(wàn)次的下載量。
與其他同系列軟件相比，ExpensiveWall 的不同之處在于它經(jīng)過(guò)“包裝”，這是惡意軟件開(kāi)發(fā)人員用于加密惡意代碼的高級混淆技術(shù)，以此讓惡意代碼避開(kāi) Google Play 內置的反惡意軟件保護措施。
了解 SandBlast Mobile 如何防御諸如 ExpensiveWall 等惡意軟件。
Check Point 于 2017 年 8 月 7 日就 ExpensiveWall 一事通知 Google，Google 隨即將所報告的樣本從其商店中刪除。不過(guò)，即使受感染的應用程序已被移除，短短數天之內，另一個(gè)樣本滲透到 Google Play，并在移除前的四天時(shí)間內感染了超過(guò) 5,000 個(gè)設備。
需要強調的是，任何受感染應用程序，若從應用商店移除之前已被安裝，則會(huì )保留安裝于用戶(hù)設備這一狀態(tài)。因此，下載這些應用程序的用戶(hù)仍會(huì )處于危險之中，并且應手動(dòng)將其從設備中移除。
ExpensiveWall 會(huì )進(jìn)行哪些破壞？
在用戶(hù)毫不知情的情況下，惡意軟件使受害者注冊收費服務(wù)，并發(fā)送欺詐性收費 SMS 消息，向用戶(hù)帳戶(hù)收取虛假服務(wù)費。
ExpensiveWall 有何危險性？
雖然 ExpensiveWall 目前僅被設計為從其受害者處獲取利潤，但類(lèi)似的惡意軟件可以稍作修改，使用相同的基礎設施，用作盜取圖片、錄制音頻甚至竊取敏感數據，并將數據發(fā)送到命令和控制 （C＆C） 服務(wù)器。由于惡意軟件能夠悄無(wú)聲息地運行（所有這些非法活動(dòng)都是在受害者毫不知情的情況下進(jìn)行），其最終轉化為間諜工具。
其中一款包含 ExpensiveWall 的惡意應用程序。
ExpensiveWall 的運作方式是什么？
ExpensiveWall 一旦下載，便會(huì )請求幾個(gè)常見(jiàn)權限，包括互聯(lián)網(wǎng)訪(fǎng)問(wèn)（允許應用程序連接到其 C＆C 服務(wù)器）以及 SMS 權限（使其能夠發(fā)送收費 SMS 消息，并在用戶(hù)不知情的情況下為用戶(hù)注冊其他付費服務(wù)。）
雖然此情境下，惡意軟件請求這些權限會(huì )造成危害，但許多應用程序也會(huì )以合法目的請求相同的權限。尤其是在從可信賴(lài)的來(lái)源（如 Google Play）安裝應用程序時(shí)，大多數用戶(hù)不經(jīng)思索便授予這些權限。
ExpensiveWall 包含連接應用內操作和 JavaScript 代碼的接口，該代碼在名為 WebView 的網(wǎng)站界面上運行，這意味著(zhù)在 WebView 中運行的 JavaScript 可以觸發(fā)應用內活動(dòng)。在安裝并授予其必要權限后，ExpensiveWall 將與受感染設備相關(guān)的數據發(fā)送至其 C＆C 服務(wù)器，包括其位置和唯一標識符（如 MAC 和 IP 地址、IMSI 和 IMEI）。
ExpensiveWall 惡意軟件使用的點(diǎn)擊功能
每次設備開(kāi)機或進(jìn)行連接更改時(shí)，此應用程序都會(huì )連接到其 C＆C 服務(wù)器，并接收一個(gè) URL，該 URL 會(huì )在嵌入式 WebView 中打開(kāi)。該頁(yè)面包含一個(gè)惡意的 JavaScript 代碼，可以使用 Javascript 接口 調用應用內功能，例如訂閱收費服務(wù)和發(fā)送 SMS 消息。惡意軟件會(huì )悄無(wú)聲息地點(diǎn)擊網(wǎng)頁(yè)中的鏈接，從而啟動(dòng) JavaScript 代碼，與在其他情景中點(diǎn)擊廣告的方式如出一轍。
為受害者訂閱付費服務(wù)
惡意軟件獲取設備的電話(huà)號碼，并使用其為用戶(hù)訂閱不同的付費服務(wù)，如下列示例：
用于獲取電話(huà)號碼的代碼
惡意軟件為用戶(hù)訂閱的收費服務(wù)
發(fā)送收費 SMS 消息
在某些情況下，SMS 活動(dòng)在不給用戶(hù)任何通知的情況下發(fā)生。而有時(shí)候，惡意軟件會(huì )向用戶(hù)顯示名為“繼續”的按鈕，一旦用戶(hù)點(diǎn)擊該按鈕，惡意軟件就會(huì )以其名義發(fā)送收費 SMS 消息。以下是包含嵌入式 JavaScript 的 HTML 代碼的示例：
嵌入式 JavaScript，負責發(fā)送 SMS 消息
Google Play 上的 ExpensiveWall
用戶(hù)已對惡意活動(dòng)有所察覺(jué)，參見(jiàn)下方所示的一條評論：
用戶(hù)對 ExpensiveWall 應用程序的評論
如上圖所示，許多用戶(hù)懷疑 ExpensiveWall 是一個(gè)惡意應用程序。評論表明，該應用程序在多個(gè)社交網(wǎng)絡(luò )上推廣（包括 Instagram），這可能解釋了其如何擁有如此多的下載量。
有關(guān)完整的技術(shù)報告，請參閱 Check Point Research。
分析惡意軟件的不同樣本后，Check Point 移動(dòng)威脅研究人員認為 ExpensiveWall 已作為名為“gtk”的 SDK 傳播到不同應用程序中，開(kāi)發(fā)者會(huì )將其嵌入自己的應用程序中。包含惡意代碼的應用程序存在三個(gè)版本。第一個(gè)是今年早些時(shí)候發(fā)現的未包裝版本。第二個(gè)是本文討論的包裝版本；第三個(gè)包含代碼但不會(huì )主動(dòng)使用。
用戶(hù)和組織應該意識到，任何惡意軟件攻擊都會(huì )嚴重破壞其移動(dòng)網(wǎng)絡(luò )，即便其貌似始源于無(wú)害的廣告軟件。ExpensiveWall 是又一個(gè)實(shí)例，說(shuō)明我們需要即時(shí)保護所有移動(dòng)設備、防范高級威脅。
如何獲得完善保護
對于尖端惡意軟件（如 ExpensiveWall）需采取高級保護措施，能夠通過(guò)靜動(dòng)兩態(tài)應用程序分析來(lái)識別和攔截零日惡意軟件。只有通過(guò)在設備上惡意軟件運行的情境下檢查惡意軟件，才能創(chuàng )造出阻止它的成功策略。
用戶(hù)和企業(yè)應像對待網(wǎng)絡(luò )的其他部分一樣來(lái)對待移動(dòng)設備，并通過(guò)最佳的網(wǎng)絡(luò )安全解決方案來(lái)保護設備。
Check Point 客戶(hù)受到 SandBlast Mobile 的保護，而在網(wǎng)絡(luò )陣線(xiàn)還有 Check Point 防僵尸軟件刀片提供保障，以此防御具有下列標簽的威脅：
Trojan、AndroidOS、ExpensiveWall。
附錄 1：程序包名稱(chēng)和下載列表：
| 程序包名稱(chēng) | 應用程序名稱(chēng) | 最小 | 最大 | 上傳到 Google Play |
| com.star.trek | I Love Fliter | 1,000,000 | 5,000,000 | 18/09/2016 |
| com.newac.toolbox | Tool Box Pro | 500,000 | 1,000,000 | 19/10/2015 |
| com.newac.wallpaper | X WALLPAPER | 500,000 | 1,000,000 | 27/09/2015 |
| com.yeahmobi.horoscopeinter | Horoscope | 500,000 | 1,000,000 | 16/03/2015 |
| com.gkt.xwallpaper | X Wallpaper Pro | 500,000 | 1,000,000 | 02/06/2015 |
| com.gwqcv.zsfy | Beautiful Camera | 100,000 | 500,000 | 11/05/2017 |
| com.hdsj.hdey | Color Camera | 100,000 | 500,000 | 16/03/2017 |
| com.lovephoto.gp.inter | Love Photo | 100,000 | 500,000 | 13/03/2017 |
| com.parrot.tidecmr | Tide Camera | 100,000 | 500,000 | 22/03/2017 |
| com.zerg.charmingcmr | Charming Camera | 100,000 | 500,000 | 22/03/2017 |
| com.constellation.prophecy | Horoscope | 100,000 | 500,000 | 30/06/2016 |
| com.desktoptools.screenunsubscribe | DIY Your Screen | 100,000 | 500,000 | 21/07/2016 |
| com.gkt.ringtonegp | Ringtone | 100,000 | 500,000 | 02/06/2015 |
| com.gpthtwo.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 03/11/2015 |
| com.guard.defend | Safe locker | 100,000 | 500,000 | 17/06/2016 |
| com.newac.wifibooster | Wifi Booster | 100,000 | 500,000 | 04/11/2015 |
| com.newera.desktop | Cool Desktop | 100,000 | 500,000 | 30/06/2016 |
| com.newera.toolbox | useful cube | 100,000 | 500,000 | 12/06/2016 |
| com.pl.toolboxpro | Tool Box Pro | 100,000 | 500,000 | 22/01/2016 |
| com.something.someone | Useful Desktop | 100,000 | 500,000 | 17/09/2016 |
| com.yeahmobi.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 20/28/2014 |
| com.yeahmobi.horoscopegpadap | Horoscope2.0 | 100,000 | 500,000 | 23/03/2015 |
| com.cegqz.uoud | Yes Star | 50,000 | 100,000 | 03/05/2017 |
| com.cmr.shiny | Shiny Camera | 50,000 | 100,000 | 03/05/2017 |
| com.johg.udrad | Simple Camera | 50,000 | 100,000 | 07/07/2017 |
| com.scamera.smiling | Smiling Camera | 50,000 | 100,000 | 07/06/2017 |
| com.cmr.universal | Universal Camera | 50,000 | 100,000 | 16/05/2017 |
| com.gb.toolbox | Amazing Toolbox | 50,000 | 100,000 | 23/03/2016 |
| com.genesis.awesome | Easy capture | 50,000 | 100,000 | 24/10/2016 |
| com.newera.memorydoctor | Memory Doctor | 50,000 | 100,000 | 15/06/2016 |
| com.pl.toolbox | Tool Box Pro | 50,000 | 100,000 | 08/12/2015 |
| com.sexy.pic | Reborn Beauty | 50,000 | 100,000 | 28/07/2016 |
| com.joy.photo.gp.inter | Joy Photo | 50,000 | 100,000 | 02/08/2016 |
| com.fancy.camera.gp.inter | Fancy Camera | 50,000 | 100,000 | 09/08/2016 |
| com.amazing.photo.gp.inter | Amazing Photo | 50,000 | 100,000 | 13/09/2016 |
| com.amazing.camera.ggi | Amazing Camera | 50,000 | 100,000 | 05/01/2017 |
| com.super.wallpaper.gp.inter | Super Wallpaper | 50,000 | 100,000 | 30/08/2016 |
| com.aolw.maoa | DD Player | 10,000 | 50,000 | 13/03/2017 |
| com.bbapcmr.fascinating | Fascinating Camera | 10,000 | 50,000 | 13/04/2017 |
| com.coral.muse | Universal Camera | 10,000 | 50,000 | 13/07/2017 |
| com.cream.lecoa | Cream Camera | 10,000 | 50,000 | 27/03/2017 |
| com.dmeq.oopes | Looking Camera | 10,000 | 50,000 | 23/05/2017 |
| com.dosl.wthre | DD Weather | 10,000 | 50,000 | 23/05/2017 |
| com.fqaf.dlksk | Global Weather | 10,000 | 50,000 | 03/05/2017 |
| com.ivxz.ykvlf | Love Fitness | 10,000 | 50,000 | 23/05/2017 |
| com.jpst.lsyk | Pretty Pictures | 10,000 | 50,000 | 06/04/2017 |
| com.kifb.mifv | Cool Wallpapers | 10,000 | 50,000 | 10/01/2017 |
| com.magic.beautycmr | Beauty Camera | 10,000 | 50,000 | 04/04/2017 |
| com.opaly.nqib | Love locker | 10,000 | 50,000 | 12/05/2017 |
| com.real.stargh | Real Star | 10,000 | 50,000 | 27/02/2017 |
| com.sadcmr.magic | Magic Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scamera.wonder | Wonder Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scmr.funny | Funny Camera | 10,000 | 50,000 | 02/06/2017 |
| com.simon.easy | Easy Camera | 10,000 | 50,000 | 28/02/2017 |
| com.smgft.keyboard | Smart Keyboard | 10,000 | 50,000 | 14/06/2017 |
| com.xnoc.jdvy | Travel Camera | 10,000 | 50,000 | 02/05/2017 |
| com.yiuw.fhly | Photo Warp | 10,000 | 50,000 | 20/01/2017 |
| com.yjmn.vokle | Lovely Wallpaper | 10,000 | 50,000 | 07/07/2017 |
| com.ysyg.wtmca | Lattice Camera | 10,000 | 50,000 | 09/06/2017 |
| fast.bats.chaz | Quick Charger | 10,000 | 50,000 | 08/05/2017 |
| com.upcamera.xgcby | Up Camera | 10,000 | 50,000 | 18/01/2017 |
| com.photo.power.gp | Photo Power | 10,000 | 50,000 | 23/11/2016 |
| com.asdf.fg.hdwallpaper | HDwallpaper | 10,000 | 50,000 | 13/12/2016 |
| com.gb.wonderfulgames | Wonderful Games | 10,000 | 50,000 | 09/04/2016 |
| com.gkt.fileexplorer | BI File Manager | 10,000 | 50,000 | 01/08/2016 |
| com.gkt.wallpapershd | Wallpapers HD | 10,000 | 50,000 | 03/01/2016 |
| com.kevin.beautyvideo | Beautiful Video-Edit your Memory | 10,000 | 50,000 | 22/09/2016 |
| com.newera.beautifulphoto | Wonderful Cam | 10,000 | 50,000 | 12/06/2016 |
| com.next.toolset | useful cube | 10,000 | 50,000 | 30/06/2016 |
| com.ringtone.freshac | Ringtone | 10,000 | 50,000 | 26/11/2015 |
| com.gkt.gamebar | Exciting Games | 10,000 | 50,000 | 15/09/2015 |
| com.replica.adventure.gp | Replica Adventure | 10,000 | 50,000 | 07/07/2016 |
| com.gg.player.gp | GG Player | 10,000 | 50,000 | 12/07/2016 |
| com.love.camera.gp | Love Camera | 10,000 | 50,000 | 20/10/2016 |
| com.oneshot.beautify.gp | Oneshot Beautify | 10,000 | 50,000 | 01/08/2016 |
| com.pretty.camera.gp | Pretty Camera | 10,000 | 50,000 | 18/10/2016 |
| com.hygk.hlhy | CuteCamera | 5,000 | 10,000 | 22/02/2017 |
| com.kkcamera.akbcartoon | Cartoon Camera-stylish, clean | 5,000 | 10,000 | 08/03/2017 |
| com.craft.decorate | Art Camera | 5,000 | 7,000 | 13/08/2017 |
| com.amazing.video.gp | Amazing Video | 5,000 | 10,000 | 16/11/2016 |
| com.fine.photo.gp | Fine Photo | 5,000 | 10,000 | 22/12/2016 |
| com.applocker.coldwar | Infinity safe | 5,000 | 10,000 | 09/09/2016 |
| com.final.horosope | Magical Horoscope | 5,000 | 10,000 | 21/02/2017 |
| com.gp.toolboxche | Toolbox | 5,000 | 10,000 | 28/04/2016 |
| com.prettygirl.newyear | Cute Belle | 5,000 | 10,000 | 12/01/2017 |
| com.roy.cartoonwallpaper | CartoonWallpaper | 5,000 | 10,000 | 06/09/2016 |
| com.thebell.newcentury | Ringtone | 5,000 | 10,000 | 01/08/2016 |
| com.aypx.ygzp | Best Camera | 1,000 | 5,000 | 16/02/2017 |
| com.colorful.locker | Colorful Locker | 1,000 | 5,000 | 09/05/2017 |
| com.hlux.wfsha | Light Keyboard | 1,000 | 5,000 | 21/07/2017 |
| com.ytkue.oprw | Safe Privacy | 1,000 | 5,000 | 07/06/2017 |
| com.qwer.enjoy.enjoywallpaper | Enjoy Wallpaper | 1,000 | 5,000 | 03/11/2016 |
| com.file.manager.gp | File Manager | 1,000 | 5,000 | 13/12/2016 |
| com.highfirst.fancylocker | Fancy locker | 1,000 | 5,000 | 05/01/2017 |
| com.cute.puzzle.gp | Cute Puzzle | 1,000 | 5,000 | 05/10/2016 |
| com.keyboard.smile | Smile Keyboard | 500 | 707 | 16/05/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 500 | 04/07/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.camera.kfcfancy | Fancy Camera | 100 | 500 | 20/03/2017 |
| com.hhcamera.useful | Useful Camera | 100 | 224 | 06/03/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 224 | 04/07/2017 |
| com.sec.transfer | Sec Transfer | 100 | 136 | 14/03/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.bpmiddle.oneversion | Magic Filter | 100 | 224 | 21/09/2016 |
| com.funny.video.gp | Funny Video | 100 | 500 | 07/10/2016 |
| com.ads.wowgames | Amazing Gamebox | 100 | 224 | 22/05/2016 |
| com.wtns.superlocker | Super locker | 10 | 50 | 25/04/2017 |
| com.musicg.ckiqp | Music Player | 1 | 2 | 06/04/2017 |
| 總計 | 5,904,511 | 21,101,567 |
