近日，一個被命名為“DowginCw”的病毒通過插件的形式藏身多款熱門游戲應用———“明星公主換裝小游戲”、“瘋狂小寶石”等，最近兩月已偷偷控制了國內數十萬手機設備。目前，它仍“存活”在多個應用商店中，日均感染量近萬臺。如果不慎感染，將帶來惡意扣費、破壞系統等問題，還可能讓你的手機變成“僵尸機”。

　　如果你遇到過以下幾種情況之一：在安裝和運行了一款APP后，設備自動捆綁或不停下載其他惡意應用、手機頻繁卡頓、手機剛充值就莫名其妙欠費了，那么你的手機有可能安裝了惡意APP。

　　根據通信行業標準《移動互聯網惡意程序描述格式》，具有惡意扣費、信息竊取、遠程控制、惡意傳播、資費消耗、系統破壞、誘騙欺詐、流氓行為等八種惡意行為之一，即被認定為惡意APP。一經檢測發現，這些惡意APP將會出現在工信部每個季度公布的應用軟件黑名單里。近日，南都記者統計近三年工信部公布的466款不良應用軟件發現，超過八成的APP存在強制捆綁推廣其他應用軟件的問題，惡意吸費和違規收集用戶信息的合計占比約16%。

　　“風云直播”三年內5登黑榜

　　“注意!這些APP太流氓了，趕緊卸載!”

　　2017年11月中旬，工信部公布了今年第三季度檢測發現問題的不良應用軟件名單，其中就包括三款存在惡意吸費行為的APP，分別是在XP系統之家上線的“部落沖突”(V1.0.0.2)和生存游戲2(V1.0.0.2)，以及PC軟件下載站提供的“球球大作戰”(V3.0.0.7)。

　　據南都記者了解，工信部定期會對手機應用商店的APP進行技術檢測，并公布每個季度的黑名單。

　　近日，南都記者統計近三年被曝光的不良APP，發現共有466款上榜。2015年一季度發現的不良應用軟件最多，達到82個，最近一次是2017年三季度，共計公布了31款不良應用軟件。

　　從榜單看，有384個APP涉及“強行捆綁推廣其它應用軟件”的問題，占總數的82%.APP的這一“流氓行為”給用戶帶來的直觀感受是，比如剛下載一個用來錄音的APP，安裝后發現多出三四個游戲APP.而這些不明下載而來的APP又可能存在新的安全隱患。

　　在這些因捆綁其它應用而被曝光的APP中，所涉及的類型眾多，包括系統工具、游戲娛樂和教育文化類。南都記者對比發現，一些名稱里帶有“ROOT”和“Wi-Fi鑰匙”的APP頻繁出現在黑名單中。需要當心的是，手機一旦ROOT后，即被獲取最高權限，就容易被惡意軟件破壞，而通過工具破解Wi-Fi密碼，連上不明網絡，更是泄露個人信息的主要途徑之一。

　　南都記者統計發現，一款叫“風云直播”的APP，從2015年二季度開始，連續4個季度在不同應用商店檢測中都發現這個問題，共被5次點名曝光，涉及5個不同版本。是工信部公布的APP黑名單中上榜次數最多的一款。

　　此外，還有3款名為“GO桌面”、“百度手機助手”、“胎教音樂盒子”的APP，3次上榜。其中知名度最高的當屬“百度手機助手”。數據顯示，2015年的一季度和下半年，“百度手機助手”因為“強制捆綁推廣其它應用軟件”被曝光3次。所涉及的版本包括V6.2.0、V6.5.1和V6.7.0，而應用的來源正是百度官網。南都記者注意到，目前“百度手機助手”可供用戶下載的最新版本是V8.0，沒有出現在工信部公布的黑名單上。

　　此外，APP過度收集用戶信息的現象嚴重，在被曝光的不良APP中，“未經用戶同意，收集、使用用戶個人信息”占比8%，共有36款。其中多數是通訊類的應用軟件，比如2016年三季度，在安卓商店檢測中發現問題的“網易通省錢電話”(V1.0.0)和“UU電話”(V3.5.4)。

　　南都記者統計，在今年前三季度，被曝光存在該類問題的APP就有6款，其中3款來自游迅網，分別是八分音符醬(V1.0.0.4)、暴力戰車(V5.0.0.9)、狂野飆車(V1.0.0.3)，均是游戲產品。剩下的3款則是在機鋒網上架的“野途”(V2.8.2)、九號安卓頻道提供的“我的世界”(V1.0.0.4)，以及應用匯的互伴(V2.1.6)。

　　通過屏蔽二次確認短信“偷錢”

　　如果說“強制捆綁其它應用”和“未經用戶同意收集使用用戶信息”較為常見的話，那么在用戶不知情的情況下，操控用戶手機則讓人難以想象。

　　南都記者注意到，有7款APP，因會在“用戶不知情的情況下，自動向外發送短信”而上黑名單。

　　此前，有細心的網友曾在某論壇上發帖稱，新買的手機只打了一個電話測試，從未發送過短信，但當晚在運營商的網上營業廳查費時，竟發現有短信費用支出。

　　類似的案例并不少見，南都記者今年3月曾報道過，一名初三學生的手機頻繁被扣費，有一次短短10分鐘就收到35條短信，稱他開通了16項通信業務，共計被扣費156元。

　　一名技術專家向南都記者分析，手機自動發短信一般是為了訂閱無線增值業務(又稱作SP業務)，所以會造成用戶手機被扣費。

　　此外，國家互聯網應急中心高級工程師何能強告訴南都記者，靜默下載也是強制捆綁的一種形式。通過屏蔽二次確認短信的惡意游戲APP會導致惡意扣費。也就是說，即便在未收到短信提示的情況，用戶也可能被“偷錢”。

　　數據顯示，在工信部公布的違規APP總量中，惡意吸費的應用軟件占比達到8%.在因惡意吸費而被曝光的35款違規APP中，基本上是游戲軟件。一款名為“開心連連看”的APP在2015年下半年曾三次上榜，分別在優億市場、應用酷和蘇寧易購應用商店檢測出V2.6、V1.5.0及V3.1版本存在這一問題。

　　比較特別的是，今年一、二季度，工信部公布的兩款APP甚至存在“惡意操控用戶手機”的問題，分別是IT貓撲網的“千尋免流”(V3.1.3)和金山手機助手的“開心連連看”(V1.6.0)。另外，2015年一季度有移動應用商場的兩款APP———“匆匆那年”和“撒嬌女人最好命”，被指收費后無法獲取視頻內容。

　　有網絡安全工程師告訴南都記者，手機被惡意操控后，好比在你家的地下室打了一個通道，有人可以通過遠程發送指令，將你手機里的數據發送至服務器。如果手機因為系統漏洞被攻擊，獲取ROOT權限，那你家里的每個房間都能被訪問了。

　　觀察

　　成本低廉、審核漏洞　不良APP可改頭換面

　　據南都記者了解，一旦檢測發現存在問題，相關的APP都會被責令下架。根據工信部今年發布的《關于電信服務質量通告》，通過聯合應用商店、安全檢測廠商，已對其中存在問題的2494款不良手機應用進行了下架處理。

　　然而，南都記者發現，不良APP仍屢禁不止。

　　惡意程序5元可以買到

　　一款不良APP被下架后，經過一番包裝可能再次上線。而要制作一個APP并非難事，所需要花費的成本更是低廉。在APP產業鏈上，分布著開發者、渠道商、廣告商、手機商和運營商等角色。一款不良APP背后，上述每個環節都可能存在問題。

　　今年4月，南都調查手機“植入病毒”利益鏈，實測發現一款惡意程序5元可以買到，花200元可制作一款空殼APP，掛到網上后13天內就有600多次點擊量，36人中招。

　　騰訊手機管家安全專家楊啟波告訴南都記者，惡意捆綁下載APP會導致用戶消耗流量，占據用戶手機內存，造成手機卡頓變慢等問題。一般惡意推廣類APP還會偷偷下載安裝第三方軟件，安裝到用戶手機，賺取廣告費用。

　　“現在互聯網流量倒流已形成灰色產業鏈。”上海市信息安全行業協會專委會副主任張威說，一款熱門游戲在坐擁大量玩家后，游戲平臺可把流量轉賣給他人，比如通過升級應用的版本加入插件，在用戶訪問APP的時候彈出廣告，讓用戶點擊直接跳轉到下載頁面。

　　據從事APP定制開發3年的張珂(化名)介紹，APP在開發上線后都需要獲取用戶，因而就有推廣需求。很多APP內部有推薦位，一般選擇在用戶容易“點擊”的位置，推薦下載成功后可收取費用。按照推廣APP類型的不同，通常平均一個下載激活費用在10-50元，有些現金貸類應用號稱一個真實用戶價格在100元以上。

　　另據南都記者采訪了解，部分APP開發商為了推廣，還會選擇賄賂小型的手機生產商，在手機硬件中預裝或自動下載惡意程序。

　　部分應用商店不做檢測

　　大多數APP開發后都會提交到應用商店發布，這樣能夠借應用商店獲取更多的用戶，而上線一般需要經過機器和人工的審核。

　　360手機助手運營總監王佳增告訴南都記者，每款APP上線之前都會經過嚴格的檢測程序，一般分為資質審核、安全檢測、實機測試、上線、關注反饋、定時回查。

　　據張珂介紹，國內知名的第三方應用商店和手機廠商的應用商店，包括應用寶、360手機助手、百度手機助手，以及小米、華為等。在開發者將APP上傳到這些應用商店后都會自動進行病毒、安全性等掃描分析，發現問題應用就無法上線。

　　然而，一些應用商店的審核管理并不嚴格，部分缺乏安全檢測能力和運營技術支持的應用商店甚至不做檢測，就直接上架問題APP供用戶下載。

　　南都記者統計上述被曝光的不良APP發現，它們出自93個手機應用商店，其中百度手機助手、應用酷、安卓網和蘇寧易購應用商店被曝光的不良APP最多，均在20款以上。這也在一定程度上反映了，即便是知名的大型應用商店也可能因為把關不嚴而讓不良APP上架。

　　被曝光的不良APP不僅可以在其它應用商店下載，而且未被下架的其它版本還可能存在問題。南都記者發現，2016年厲害季度，“胎教音樂盒子”(V4.06)在百度手機助手上被檢測發現強行捆綁其它無關應用。此前，它已經分別在“琵琶網”和“3533手機世界”因同樣的問題被曝光。

　　12月12日，南都記者實測發現，這款APP4.05版本在百度手機助手仍可下載。頁面相關信息顯示，“胎教音樂盒子”的下載次數達到378萬，并被應用商店檢測出含廣告的問題。

　　聲音

　　專家：平臺方也需要承擔責任

　　一款不良APP背后，因為開發者惡意“植毒”，渠道商和廣告商的捆綁操作，應用商店的審核不嚴，以及第三方網址鏈接的惡意傳播，都可能會令用戶最終中招。

　　針對不良APP的問題，南都記者注意到，2013年，工信部聯合其他部門推出《信息安全技術公共及商用服務信息個人信息保護指南》，明確了一些APP應當遵循的基本原則，包括目的明確、最少夠用、公開告知、個人同意等。

　　去年6月，網信辦發布的《移動互聯網應用程序信息服務管理規定》也指出，移動互聯網應用程序提供者應當保障用戶在安裝或使用過程中的知情權和選擇權。未向用戶明示并經用戶同意，不得開啟收集地理位置、讀取通訊錄、使用攝像頭、啟用錄音等功能，不得開啟與服務無關的功能，不得捆綁安裝無關應用程序。

　　上海市信息安全行業協會專委會副主任張威建議應加大對不良APP的整治力度，同時對APP收集信息進行規范。他告訴南都記者，實際上，不少應用商店對APP的審核管理還是較弱。但根據今年6月正式施行的《網絡安全法》要求，如果在某個應用商店發現不良APP，那么平臺方也需要承擔責任。

　　張珂則指出，不僅要明確應用商店的責任，還包括開發者、手機廠商。在他看來，讓手機廠商來做安全防范是避免安裝不良APP的重要方式之一。因為用戶安裝一款安卓APP，需要先下載安裝包。這時手機廠商可對此進行安全檢查，如發現不良APP能及時處理或給用戶風險提示。

　　而從用戶角度看，騰訊手機管家安全專家楊啟波建議應避免在小型電子市場下載APP，也不要通過不明網址直接安裝，應該選擇大型安全的電子市場，或者直接到APP的官方網站下載，同時安裝專業的手機安全軟件，幫助識別各類風險應用或惡意軟件。

　　張威進一步強調，用戶應該養成“盡量給最小授權”的習慣。“你開放的權限越多，相當于送出了越大的禮包。”