“Fake System”木马惊现新变种，百万Android设备

手机不停地弹出恶意广告、私自发送恶意扣费短信……这种情况你遇到过吗？近期，腾讯安全反诈骗实验室自研的TRP-AI反病毒引擎捕获到一批大肆传播的Android后门木马病毒样本，该木马私自潜入用户手机设备,后台频繁安装应用、弹出骚扰广告,甚至在后台偷偷发送短信订阅用户不需要的增值服务，降低手机续航能力的同时,也存在巨大的安全风险。

值得一提的是，腾讯安全反诈骗实验室自研的TRP-AI反病毒引擎基于应用的行为进行深度学习，能有效探测应用的可疑操作，目前已全面支持查杀该木马家族。

仿冒系统应用搞破坏，三大“逃逸”技术对抗杀软

据腾讯安全技术专家介绍，这批披着科技外衣的病毒样本属于“Fake System”木马家族的新变种，主要以“Power”、“UI组件”、“SystemBase”、“进程管理”和“系统工具”等明显仿冒系统应用的软件名进行命名，隐蔽性和欺骗性极强。

相较于普通APP应用层病毒，该类木马病毒更擅长隐藏和“保护”自己，甚至不惜通过ROOT技术破坏用户手机系统以系统应用的名义偷偷潜伏，该家族木马还会进行复杂而全面的运行环境检查试图对抗安全软件，达到肆意破坏手机用户安全的目的。

具体来看，该类木马病毒使用自动化框架,为每个恶意功能定制不同的加密算法来逃逸静态检测技术；其次，其使用的动态沙箱检测逃逸技术，通过18种设备状态监控，如模拟器文件，xposed框架，ADB、Debugger和Usb连接状态等，全面识别非真实用户运行环境；最后，其还会运用最新的第三代云逃逸技术，将恶意功能剥离成payload文件并存储在云服务器,然后通过云端控制下发payload文件执行。通过以上三种逃逸方式，一旦用户设备执行恶意功能代码时，传统厂商将很难捕捉恶意代码进行检测。

波及上百万安卓手机用户，三大黑产变现手段向“钱”看

据悉，该木马病毒最早的样本出现在2016年8月，以潜伏周期长而“闻名于世”。根据腾讯安全反诈骗实验室大数据引擎数据显示，最近“Fake System”木马新变种的感染用户增长迅猛，在过去一个月的时间里，几个新变种的感染用户都迅速增长到20万左右，截至目前，“Fake System”木马已影响近百万用户。

为进一步牟取灰色收益，该木马集成了三大主要的黑产变现手段：首先，恶意推广应用，通过从云端获取应用推广任务，对不同用户推广ROM内和ROM外应用，达到恶意推广应用推广的目的；其次，恶意扣费短信，从云端获取扣费短信任务，操控中毒设备发送扣费短信，从而直接获取收益；最后，广告作弊刷量，利用多多广告平台，多种类型广告支持刷量，模拟广告的拉取、点击、下载，安装等数据上报。

其中，“Fake System”木马恶意推广的应用数量庞大，ROM应用主要是木马的其他病毒样本，通常“Fake System”木马会在感染用户设备上安装多个不同的病毒样本，确保对感染设备的控制；而木马在普通类APK的推广上范围十分广泛，涉及多种类型的应用。

安全专家提醒：安卓手机用户需当心，谨防沦为不法黑客的挖矿肉鸡

目前来说，“Fake System”木马功能强大，用户设备一旦感染，即会成为黑产分子控制的“肉鸡”，沦为黑产分子进行应用推广、短信扣费、广告刷量的工具。腾讯手机管家安全专家提醒广大安卓用户，提高网络安全意识，养成良好的上网习惯，不要从非正规的应用市场和网页下载安装应用，不随意点击来源不明的链接或扫描安全性未知的二维码信息；及时对设备进行安全更新；推荐安装手机管家等主流安全软件，实时进行保护，若发现手机感染木马病毒，请及时使用安全软件进行清理，避免重复交叉感染。

针对恶意应用广告刷量给各大广告平台和广告主带来负面影响和经济损失的问题，腾讯安全反诈骗实验室结合自身终端感知能力、覆盖能力，发挥腾讯安全对于黑产设备、从业者信息积累等优势，向广告平台、广告主提供运用大数据模型的移动互联网流量反欺诈解决方案。

APP广告主仅需将自身收到的计费流量数据例如“点击上报”、“激活上报”等上传至反欺诈识别服务接口，反欺诈服务平台即会根据流量数据进行虚假流量评估与精确识别。同时，广告主还可通过安全云流量反欺诈服务对当前营销、推广整体状况进行有效评估，准确、有效评估各渠道流量质量，精准识别欺诈流量，摆脱金钱成本、信用成本、机会成本损失以及数据不靠谱的危害。

据悉，腾讯TRP-AI反病毒引擎首次引入基于APP行为特征的动态检测，并结合AI深度学习，对新病毒和变种病毒有更强的泛化检测能力，能够及时发现未知、变异病毒，及时发现病毒恶意代码云控加载，更为智能地保护用户手机安全。