一家中国公司很可能制造出了感染量达全球第一的安卓手机病毒。”这是近日,包括移动安全厂商猎豹移动、Check Point、Lookout等先后发出的一项安全警报所指向的可能性结果。
这一被命名为悍马(Hummer)的病毒累计感染量达到9388万,今年以来,全球日活峰值超140万,平均日活119万,超过以往其他所有手机病毒的感染量。
日赚50万美元黑钱
悍马病毒最初的样本是在2014年被发现。猎豹移动安全专家李铁军告诉记者,当时悍马病毒感染量较小,2015年后开始上升,到了2016年上升明显。尤其在今年年初时,猎豹移动安全实验室对印度top 10的手机病毒样本进行了梳理,结果发现这些病毒样本存在家族关系,这些病毒样本均采用hummer系列域名为升级服务器,猎豹移动安全实验室将该病毒家族命名为“悍马(hummer)”。
Check Point也在博客中称,从今年2月开始,他们留意Yingmob(中文名:微赢互动)已有5个月时间。
具体而言,悍马病毒往往是捆绑在一些小功能的软件中,欺骗用户进行下载安装。用户的手机一旦被悍马病毒感染,会首先ROOT中毒手机获得系统最高控制权,再频繁弹出广告,后台下载静默安装大量同类变种、推广应用以及其他病毒,中毒手机用户会损失大量手机流量费。
由于病毒得到系统最高控制权,一般手机杀毒软件无法彻底清除悍马病毒,即使将手机恢复出厂设置,以及进入recovery系统wipe data(安卓用户熟悉的手机双清)都无法清除。
而这一病毒全球累计感染量惊人地超过了9000多万。根据猎豹移动安全实验室监测数据,仅在2016年1～6月,悍马(Hummer)病毒平均日活119万,超过其他所有手机病毒的感染量。如果以每台中毒手机每天仅安装一个App最低收入0.5美元估算,悍马病毒团伙每天获利超50万美元。
从全球范围看,悍马(hummer)手机病毒感染用户中,印度、印尼、土耳其位居前三,中国居第四。
其中,印度是悍马病毒感染量最高的国家,在印度肆虐的十大手机病毒中,第2、3名是悍马病毒家族成员,第6名是悍马病毒推广安装的其他病毒。
而Check Point数据也称悍马病毒的感染量超过8500万,其中大多数受到感染的设备目前都在中国和印度,两国已经发现的案例都超过了100万。美国估计也有大约25万部安卓设备受到感染。
李铁军告诉记者,猎豹移动安全专家在一部测试手机安装该病毒App,结果病毒在短短几个小时内,访问网络连接数万次。消耗用网络流量2GB,下载apk超过200个。
源头指向中国公司
通过对病毒样本的分析,猎豹移动安全专家追踪到用于病毒升级的域名,自2016年年初开始,悍马病毒投入cscs100.com等12个域名用于病毒更新和推广指令下发。
在病毒域名的whois(是用来查询域名的IP以及所有者等信息的传输协议)信息中,有两家是商业广告公司的网站:hummermobi和hummeroffers,注册人是“chenyang”。经过查阅上市公司公开资料,这两个域名属于上海昂真科技有限公司,该公司为北京微赢互动科技有限公司在上海的全资子公司。
记者查询工商注册资料,上海昂真科技有限公司重庆分公司的法人代表叫陈阳,是两个病毒更新域名的实际持有人。
而注册这些域名使用的邮箱,被猎豹安全技术人员发现用于新浪微博的用户账号,账号名分别包括“Iadpush陈阳”和“McVivi_Vip”,微博简介为IAdPush员工。查阅公开资料不难发现,IAdPush是微赢互动旗下的广告平台,主营业务为移动广告。
根据上市公司已公开信息,微赢互动的联合创始人之一陈阳与上述提到的“陈阳”重名,是该公司负责技术的CTO,一度名列上市公司明家联合的第十大股东。
猎豹移动追踪到与微博名为“McVivi_Vip”相关的某网盘,其中有大量关于该公司制作恶意程序的内部文档。
此外,在病毒域名的注册资料中,发现地址信息“重庆市渝中区大溪沟星都大厦5层”,这一地址也是微赢互动公司重庆分公司的办公地址。
更意外的是,该病毒组织员工安全意识薄弱,把密码公开放到代码托管网站SourceForge.net上。悍马病毒制造者员工建立的账号在SourceForge平台上传了大量内部资料,包括广告后台使用流程(这个后台同时也是病毒的升级地址)等机密文件,甚至包括App测试流程、KPI考核文档等。
截至记者截稿时止,针对疑造手机病毒一事,明家联合和微赢互动并未对外回应。 据第一财经 （来源：半岛网-半岛都市报）
版权稿件，任何媒体、网站或个人未经授权不得转载，违者将依法追究责任。
