這款新型惡意軟件被稱為“ExpensiveWall”，名稱源于其用于感染設(shè)備的一個應(yīng)用程序“Lovely Wallpaper”。ExpensiveWall 是今年早些時候現(xiàn)身Google Play 的惡意軟件新變種。整個惡意軟件系列現(xiàn)已有 590 萬到 2110 萬次的下載量。
與其他同系列軟件相比，ExpensiveWall 的不同之處在于它經(jīng)過“包裝”，這是惡意軟件開發(fā)人員用于加密惡意代碼的高級混淆技術(shù)，以此讓惡意代碼避開 Google Play 內(nèi)置的反惡意軟件保護措施。
了解 SandBlast Mobile 如何防御諸如 ExpensiveWall 等惡意軟件。
Check Point 于 2017 年 8 月 7 日就 ExpensiveWall 一事通知 Google，Google 隨即將所報告的樣本從其商店中刪除。不過，即使受感染的應(yīng)用程序已被移除，短短數(shù)天之內(nèi)，另一個樣本滲透到 Google Play，并在移除前的四天時間內(nèi)感染了超過 5,000 個設(shè)備。
需要強調(diào)的是，任何受感染應(yīng)用程序，若從應(yīng)用商店移除之前已被安裝，則會保留安裝于用戶設(shè)備這一狀態(tài)。因此，下載這些應(yīng)用程序的用戶仍會處于危險之中，并且應(yīng)手動將其從設(shè)備中移除。
ExpensiveWall 會進行哪些破壞？
在用戶毫不知情的情況下，惡意軟件使受害者注冊收費服務(wù)，并發(fā)送欺詐性收費 SMS 消息，向用戶帳戶收取虛假服務(wù)費。
ExpensiveWall 有何危險性？
雖然 ExpensiveWall 目前僅被設(shè)計為從其受害者處獲取利潤，但類似的惡意軟件可以稍作修改，使用相同的基礎(chǔ)設(shè)施，用作盜取圖片、錄制音頻甚至竊取敏感數(shù)據(jù)，并將數(shù)據(jù)發(fā)送到命令和控制 （C＆C） 服務(wù)器。由于惡意軟件能夠悄無聲息地運行（所有這些非法活動都是在受害者毫不知情的情況下進行），其最終轉(zhuǎn)化為間諜工具。
其中一款包含 ExpensiveWall 的惡意應(yīng)用程序。
ExpensiveWall 的運作方式是什么？
ExpensiveWall 一旦下載，便會請求幾個常見權(quán)限，包括互聯(lián)網(wǎng)訪問（允許應(yīng)用程序連接到其 C＆C 服務(wù)器）以及 SMS 權(quán)限（使其能夠發(fā)送收費 SMS 消息，并在用戶不知情的情況下為用戶注冊其他付費服務(wù)。）
雖然此情境下，惡意軟件請求這些權(quán)限會造成危害，但許多應(yīng)用程序也會以合法目的請求相同的權(quán)限。尤其是在從可信賴的來源（如 Google Play）安裝應(yīng)用程序時，大多數(shù)用戶不經(jīng)思索便授予這些權(quán)限。
ExpensiveWall 包含連接應(yīng)用內(nèi)操作和 JavaScript 代碼的接口，該代碼在名為 WebView 的網(wǎng)站界面上運行，這意味著在 WebView 中運行的 JavaScript 可以觸發(fā)應(yīng)用內(nèi)活動。在安裝并授予其必要權(quán)限后，ExpensiveWall 將與受感染設(shè)備相關(guān)的數(shù)據(jù)發(fā)送至其 C＆C 服務(wù)器，包括其位置和唯一標識符（如 MAC 和 IP 地址、IMSI 和 IMEI）。
ExpensiveWall 惡意軟件使用的點擊功能
每次設(shè)備開機或進行連接更改時，此應(yīng)用程序都會連接到其 C＆C 服務(wù)器，并接收一個 URL，該 URL 會在嵌入式 WebView 中打開。該頁面包含一個惡意的 JavaScript 代碼，可以使用 Javascript 接口 調(diào)用應(yīng)用內(nèi)功能，例如訂閱收費服務(wù)和發(fā)送 SMS 消息。惡意軟件會悄無聲息地點擊網(wǎng)頁中的鏈接，從而啟動 JavaScript 代碼，與在其他情景中點擊廣告的方式如出一轍。
為受害者訂閱付費服務(wù)
惡意軟件獲取設(shè)備的電話號碼，并使用其為用戶訂閱不同的付費服務(wù)，如下列示例：
用于獲取電話號碼的代碼
惡意軟件為用戶訂閱的收費服務(wù)
發(fā)送收費 SMS 消息
在某些情況下，SMS 活動在不給用戶任何通知的情況下發(fā)生。而有時候，惡意軟件會向用戶顯示名為“繼續(xù)”的按鈕，一旦用戶點擊該按鈕，惡意軟件就會以其名義發(fā)送收費 SMS 消息。以下是包含嵌入式 JavaScript 的 HTML 代碼的示例：
嵌入式 JavaScript，負責發(fā)送 SMS 消息
Google Play 上的 ExpensiveWall
用戶已對惡意活動有所察覺，參見下方所示的一條評論：
用戶對 ExpensiveWall 應(yīng)用程序的評論
如上圖所示，許多用戶懷疑 ExpensiveWall 是一個惡意應(yīng)用程序。評論表明，該應(yīng)用程序在多個社交網(wǎng)絡(luò)上推廣（包括 Instagram），這可能解釋了其如何擁有如此多的下載量。
有關(guān)完整的技術(shù)報告，請參閱 Check Point Research。
分析惡意軟件的不同樣本后，Check Point 移動威脅研究人員認為 ExpensiveWall 已作為名為“gtk”的 SDK 傳播到不同應(yīng)用程序中，開發(fā)者會將其嵌入自己的應(yīng)用程序中。包含惡意代碼的應(yīng)用程序存在三個版本。第一個是今年早些時候發(fā)現(xiàn)的未包裝版本。第二個是本文討論的包裝版本；第三個包含代碼但不會主動使用。
用戶和組織應(yīng)該意識到，任何惡意軟件攻擊都會嚴重破壞其移動網(wǎng)絡(luò)，即便其貌似始源于無害的廣告軟件。ExpensiveWall 是又一個實例，說明我們需要即時保護所有移動設(shè)備、防范高級威脅。
如何獲得完善保護
對于尖端惡意軟件（如 ExpensiveWall）需采取高級保護措施，能夠通過靜動兩態(tài)應(yīng)用程序分析來識別和攔截零日惡意軟件。只有通過在設(shè)備上惡意軟件運行的情境下檢查惡意軟件，才能創(chuàng)造出阻止它的成功策略。
用戶和企業(yè)應(yīng)像對待網(wǎng)絡(luò)的其他部分一樣來對待移動設(shè)備，并通過最佳的網(wǎng)絡(luò)安全解決方案來保護設(shè)備。
Check Point 客戶受到 SandBlast Mobile 的保護，而在網(wǎng)絡(luò)陣線還有 Check Point 防僵尸軟件刀片提供保障，以此防御具有下列標簽的威脅：
Trojan、AndroidOS、ExpensiveWall。
附錄 1：程序包名稱和下載列表：
| 程序包名稱 | 應(yīng)用程序名稱 | 最小 | 最大 | 上傳到 Google Play |
| com.star.trek | I Love Fliter | 1,000,000 | 5,000,000 | 18/09/2016 |
| com.newac.toolbox | Tool Box Pro | 500,000 | 1,000,000 | 19/10/2015 |
| com.newac.wallpaper | X WALLPAPER | 500,000 | 1,000,000 | 27/09/2015 |
| com.yeahmobi.horoscopeinter | Horoscope | 500,000 | 1,000,000 | 16/03/2015 |
| com.gkt.xwallpaper | X Wallpaper Pro | 500,000 | 1,000,000 | 02/06/2015 |
| com.gwqcv.zsfy | Beautiful Camera | 100,000 | 500,000 | 11/05/2017 |
| com.hdsj.hdey | Color Camera | 100,000 | 500,000 | 16/03/2017 |
| com.lovephoto.gp.inter | Love Photo | 100,000 | 500,000 | 13/03/2017 |
| com.parrot.tidecmr | Tide Camera | 100,000 | 500,000 | 22/03/2017 |
| com.zerg.charmingcmr | Charming Camera | 100,000 | 500,000 | 22/03/2017 |
| com.constellation.prophecy | Horoscope | 100,000 | 500,000 | 30/06/2016 |
| com.desktoptools.screenunsubscribe | DIY Your Screen | 100,000 | 500,000 | 21/07/2016 |
| com.gkt.ringtonegp | Ringtone | 100,000 | 500,000 | 02/06/2015 |
| com.gpthtwo.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 03/11/2015 |
| com.guard.defend | Safe locker | 100,000 | 500,000 | 17/06/2016 |
| com.newac.wifibooster | Wifi Booster | 100,000 | 500,000 | 04/11/2015 |
| com.newera.desktop | Cool Desktop | 100,000 | 500,000 | 30/06/2016 |
| com.newera.toolbox | useful cube | 100,000 | 500,000 | 12/06/2016 |
| com.pl.toolboxpro | Tool Box Pro | 100,000 | 500,000 | 22/01/2016 |
| com.something.someone | Useful Desktop | 100,000 | 500,000 | 17/09/2016 |
| com.yeahmobi.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 20/28/2014 |
| com.yeahmobi.horoscopegpadap | Horoscope2.0 | 100,000 | 500,000 | 23/03/2015 |
| com.cegqz.uoud | Yes Star | 50,000 | 100,000 | 03/05/2017 |
| com.cmr.shiny | Shiny Camera | 50,000 | 100,000 | 03/05/2017 |
| com.johg.udrad | Simple Camera | 50,000 | 100,000 | 07/07/2017 |
| com.scamera.smiling | Smiling Camera | 50,000 | 100,000 | 07/06/2017 |
| com.cmr.universal | Universal Camera | 50,000 | 100,000 | 16/05/2017 |
| com.gb.toolbox | Amazing Toolbox | 50,000 | 100,000 | 23/03/2016 |
| com.genesis.awesome | Easy capture | 50,000 | 100,000 | 24/10/2016 |
| com.newera.memorydoctor | Memory Doctor | 50,000 | 100,000 | 15/06/2016 |
| com.pl.toolbox | Tool Box Pro | 50,000 | 100,000 | 08/12/2015 |
| com.sexy.pic | Reborn Beauty | 50,000 | 100,000 | 28/07/2016 |
| com.joy.photo.gp.inter | Joy Photo | 50,000 | 100,000 | 02/08/2016 |
| com.fancy.camera.gp.inter | Fancy Camera | 50,000 | 100,000 | 09/08/2016 |
| com.amazing.photo.gp.inter | Amazing Photo | 50,000 | 100,000 | 13/09/2016 |
| com.amazing.camera.ggi | Amazing Camera | 50,000 | 100,000 | 05/01/2017 |
| com.super.wallpaper.gp.inter | Super Wallpaper | 50,000 | 100,000 | 30/08/2016 |
| com.aolw.maoa | DD Player | 10,000 | 50,000 | 13/03/2017 |
| com.bbapcmr.fascinating | Fascinating Camera | 10,000 | 50,000 | 13/04/2017 |
| com.coral.muse | Universal Camera | 10,000 | 50,000 | 13/07/2017 |
| com.cream.lecoa | Cream Camera | 10,000 | 50,000 | 27/03/2017 |
| com.dmeq.oopes | Looking Camera | 10,000 | 50,000 | 23/05/2017 |
| com.dosl.wthre | DD Weather | 10,000 | 50,000 | 23/05/2017 |
| com.fqaf.dlksk | Global Weather | 10,000 | 50,000 | 03/05/2017 |
| com.ivxz.ykvlf | Love Fitness | 10,000 | 50,000 | 23/05/2017 |
| com.jpst.lsyk | Pretty Pictures | 10,000 | 50,000 | 06/04/2017 |
| com.kifb.mifv | Cool Wallpapers | 10,000 | 50,000 | 10/01/2017 |
| com.magic.beautycmr | Beauty Camera | 10,000 | 50,000 | 04/04/2017 |
| com.opaly.nqib | Love locker | 10,000 | 50,000 | 12/05/2017 |
| com.real.stargh | Real Star | 10,000 | 50,000 | 27/02/2017 |
| com.sadcmr.magic | Magic Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scamera.wonder | Wonder Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scmr.funny | Funny Camera | 10,000 | 50,000 | 02/06/2017 |
| com.simon.easy | Easy Camera | 10,000 | 50,000 | 28/02/2017 |
| com.smgft.keyboard | Smart Keyboard | 10,000 | 50,000 | 14/06/2017 |
| com.xnoc.jdvy | Travel Camera | 10,000 | 50,000 | 02/05/2017 |
| com.yiuw.fhly | Photo Warp | 10,000 | 50,000 | 20/01/2017 |
| com.yjmn.vokle | Lovely Wallpaper | 10,000 | 50,000 | 07/07/2017 |
| com.ysyg.wtmca | Lattice Camera | 10,000 | 50,000 | 09/06/2017 |
| fast.bats.chaz | Quick Charger | 10,000 | 50,000 | 08/05/2017 |
| com.upcamera.xgcby | Up Camera | 10,000 | 50,000 | 18/01/2017 |
| com.photo.power.gp | Photo Power | 10,000 | 50,000 | 23/11/2016 |
| com.asdf.fg.hdwallpaper | HDwallpaper | 10,000 | 50,000 | 13/12/2016 |
| com.gb.wonderfulgames | Wonderful Games | 10,000 | 50,000 | 09/04/2016 |
| com.gkt.fileexplorer | BI File Manager | 10,000 | 50,000 | 01/08/2016 |
| com.gkt.wallpapershd | Wallpapers HD | 10,000 | 50,000 | 03/01/2016 |
| com.kevin.beautyvideo | Beautiful Video-Edit your Memory | 10,000 | 50,000 | 22/09/2016 |
| com.newera.beautifulphoto | Wonderful Cam | 10,000 | 50,000 | 12/06/2016 |
| com.next.toolset | useful cube | 10,000 | 50,000 | 30/06/2016 |
| com.ringtone.freshac | Ringtone | 10,000 | 50,000 | 26/11/2015 |
| com.gkt.gamebar | Exciting Games | 10,000 | 50,000 | 15/09/2015 |
| com.replica.adventure.gp | Replica Adventure | 10,000 | 50,000 | 07/07/2016 |
| com.gg.player.gp | GG Player | 10,000 | 50,000 | 12/07/2016 |
| com.love.camera.gp | Love Camera | 10,000 | 50,000 | 20/10/2016 |
| com.oneshot.beautify.gp | Oneshot Beautify | 10,000 | 50,000 | 01/08/2016 |
| com.pretty.camera.gp | Pretty Camera | 10,000 | 50,000 | 18/10/2016 |
| com.hygk.hlhy | CuteCamera | 5,000 | 10,000 | 22/02/2017 |
| com.kkcamera.akbcartoon | Cartoon Camera-stylish, clean | 5,000 | 10,000 | 08/03/2017 |
| com.craft.decorate | Art Camera | 5,000 | 7,000 | 13/08/2017 |
| com.amazing.video.gp | Amazing Video | 5,000 | 10,000 | 16/11/2016 |
| com.fine.photo.gp | Fine Photo | 5,000 | 10,000 | 22/12/2016 |
| com.applocker.coldwar | Infinity safe | 5,000 | 10,000 | 09/09/2016 |
| com.final.horosope | Magical Horoscope | 5,000 | 10,000 | 21/02/2017 |
| com.gp.toolboxche | Toolbox | 5,000 | 10,000 | 28/04/2016 |
| com.prettygirl.newyear | Cute Belle | 5,000 | 10,000 | 12/01/2017 |
| com.roy.cartoonwallpaper | CartoonWallpaper | 5,000 | 10,000 | 06/09/2016 |
| com.thebell.newcentury | Ringtone | 5,000 | 10,000 | 01/08/2016 |
| com.aypx.ygzp | Best Camera | 1,000 | 5,000 | 16/02/2017 |
| com.colorful.locker | Colorful Locker | 1,000 | 5,000 | 09/05/2017 |
| com.hlux.wfsha | Light Keyboard | 1,000 | 5,000 | 21/07/2017 |
| com.ytkue.oprw | Safe Privacy | 1,000 | 5,000 | 07/06/2017 |
| com.qwer.enjoy.enjoywallpaper | Enjoy Wallpaper | 1,000 | 5,000 | 03/11/2016 |
| com.file.manager.gp | File Manager | 1,000 | 5,000 | 13/12/2016 |
| com.highfirst.fancylocker | Fancy locker | 1,000 | 5,000 | 05/01/2017 |
| com.cute.puzzle.gp | Cute Puzzle | 1,000 | 5,000 | 05/10/2016 |
| com.keyboard.smile | Smile Keyboard | 500 | 707 | 16/05/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 500 | 04/07/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.camera.kfcfancy | Fancy Camera | 100 | 500 | 20/03/2017 |
| com.hhcamera.useful | Useful Camera | 100 | 224 | 06/03/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 224 | 04/07/2017 |
| com.sec.transfer | Sec Transfer | 100 | 136 | 14/03/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.bpmiddle.oneversion | Magic Filter | 100 | 224 | 21/09/2016 |
| com.funny.video.gp | Funny Video | 100 | 500 | 07/10/2016 |
| com.ads.wowgames | Amazing Gamebox | 100 | 224 | 22/05/2016 |
| com.wtns.superlocker | Super locker | 10 | 50 | 25/04/2017 |
| com.musicg.ckiqp | Music Player | 1 | 2 | 06/04/2017 |
| 總計 | 5,904,511 | 21,101,567 |
