作弊刷流量“專用”木馬爆發，多款熱門App中招

半島用戶端記者 景毅

近日， 360互聯網安全中心烽火實驗室發佈的一份追蹤報告顯示， 一個新型的刷量作弊木馬家族正在中小城市的150多個小眾品牌手機中肆虐。 該木馬通過控制手機， 自動執行網頁流覽、點擊等多種作弊刷量推廣業務實現牟利。 由於其採用了自我隱藏方式以及成熟的類比點擊流程， 如同一批由工廠自動流水線生產出來的隱形機器人， 較之于傳統木馬更難以被發現和預防。 360烽火實驗室將這一隱形機器人家族命名為StealthBot。

這個木馬專門作弊刷流量， 多款熱門App中招

報告顯示， 360烽火實驗室檢測和追蹤StealthBot已經有3個多月的時間。 StealthBot的開發者是北京的一家長期從事惡意刷量木馬開發的互聯網公司， 360烽火實驗室在2017年發佈的《移動平臺流量黑產研究——流量作弊與流量泡沫》即已對該公司進行過揭露， 此後也一直對這家公司的推廣管道進行追蹤分析，

而StealthBot正是在今年1月初被發現的。

StealthBot會定時聯網與伺服器通信， 更新並載入最新的SDK惡意外掛程式， 該外掛程式通過接收與回應伺服器下發指令， 後臺隱藏執行多種作弊刷量推廣業務， 進而實現自身牟利。

報告同時顯示， 圍繞StealthBot已經形成了一個完整的傳播鏈條， 涉及到了北京、杭州和深圳的共4家公司。 其中， 北京市鴻途信達科技有限公司和北京盈創嘉鑫科技有限公司參與了StealthBot的製作， 而杭州傳信網路科技有限公司和深圳鼎智通訊股份有限公司則成為了StealthBot的主要傳播者， 手機預置和內嵌產品推廣分別稱為兩家公司最主要的推廣管道。 例如， 傳信科技對StealthBot的推廣傳播就是利用自身研發的產品如“換機精靈”、“頭條速覽”等進行的。

雙重隱藏難防範

與主流的刷量作弊木馬相比， StealthBot能夠偽裝成系統服務通知， 通過開機自動運行、外部喚醒等啟動方式耗費使用者的資料流程量， 還能夠自動更新並載入最新版本的惡意外掛程式， 回應伺服器下發的指令。

而為了防止被用戶發現，

StealthBot採用了視覺隱藏和聽覺隱藏兩種方式來隱藏自己蹤跡——前者使用透明且無焦點的WebView視窗覆蓋正常的應用程式視窗， 而後者則是通過技術手段開啟頁面靜音， 使手機可以在後臺播放一些音樂、視頻等內容。 這些技術手段的使用使得StealthBot更難以被發現和清除。

中小城市小眾品牌手機最易受感染

由於手機預置和內嵌產品推廣成為StealthBot最主要的傳播管道， 因此安全意識薄弱的用戶群體， 以及安全性較差的手機品牌成為了StealthBot出現率最高的領域。 360烽火實驗室的統計資料顯示， 自今年1月開始StealthBot已經感染了超過400萬台手機， 但與此前一二線城市感染者為主的情況不同， StealthBot的感染者主要集中在國內的中小城市， 這一地區的占比達到了76.83%。

不過， 此次受感染的150多個手機品牌主要是小眾手機品牌， 主流手機品牌基本沒有影響。 StealthBot感染群體的轉變既表明當前一二線城市用戶手機安全意識的提升， 同時也表明當前網路安全生態仍存在相當大的空白。

360烽火實驗室認為， 小眾品牌手機之所以成為StealthBot傳播的主要載體， 是因為小眾品牌手機價格低廉、盈利空間有限， 因而竊取用戶隱私、預置惡意軟體以獲取流量黑產收益就成為了其彌補自己市場份額、增加收益的主要方式。 而由於中小城市用戶的收入水準相對較低， 對手機價格較為敏感， 因此他們會更傾向於選擇小眾品牌手機， 這無疑為StealthBot在中小城市的爆發提供了土壤。

整體來看， 此次事件影響的目的機型集中在眾多中小品牌手機， 具有很強的針對性；同時傾銷地也指向三四線中小城市，具有很強的隱蔽性難以被發現。這些現象的存在既暴露出當前移動生態面臨的諸多安全威脅，更讓人看到了中小城市用戶移動安全意識的缺失以及流量黑產猖獗肆虐的現狀。

具有很強的針對性；同時傾銷地也指向三四線中小城市，具有很強的隱蔽性難以被發現。這些現象的存在既暴露出當前移動生態面臨的諸多安全威脅，更讓人看到了中小城市用戶移動安全意識的缺失以及流量黑產猖獗肆虐的現狀。