恶意“吸费”、收集隐私 32款手机软件上“黑榜”

近日，工信部公布的电信服务质量通告显示：二季度，对42家手机应用商店的应用软件进行技术检测，共发现不良软件32款，涉及违规收集使用用户个人信息、恶意“吸费”、强行捆绑推广其他无关应用软件等问题。

从工信部提供的信息来看，其中包括主流应用商店如百度手机助手、腾讯应用宝、小米应用商店等都有所涉及。

根据工信部提供的信息，百度手机助手中的高速公路狂飙、恐龙世界等App，以及小米应用商店的鬼步舞视频App涉及强行捆绑推广其他应用软件; 应用宝中的App zapya未经用户同意收集、使用用户个人信息;泡椒网、优亿市场、应用酷等则有App涉及恶意吸费;木蚂蚁市场的应用手机精灵更是在用户不知情的情况下自动向外发送短信。

事实上，这些应用商店涉及的恶意扣费、隐私获取以及诱骗欺诈是用户遇到最多的三类手机安全危害，同时在未遭遇安全危害的用户中也流传较广。“今年上半年，感染手机病毒的用户超2亿人次，并且呈现逐月增长趋势。仅6月份，感染手机病毒的用户数就与2013年上半年感染病毒的用户数相当。”腾讯手机管家的安全专家陈列介绍，“目前看来，近50%的病毒，来自于捆绑下载的手机软件，近20%源于APP商店。恶意APP会窃取用户信息、恶意扣费等等。”

以恶意吸费为例，记者看到，此次工信部披露的恶意吸费情况主要集中在手游领域，包括《全民跑酷》、《捕鱼萌萌哒》等。

根据此前腾讯手机管家的分析，目前95%的吸费游戏大小都小于10M(平均5.7M)，而正常手机游戏安装包大小通常在20M+以上。之所以设置更小安装包，是为了方便用户快速下载，然后实施吸费。

在被腾讯手机管家截获的手机游戏样本中，《马上斗地主》影响用户28000多人，《QQ群机器人》影响用户14000多人，位居前两位;而涉及的手机病毒包，最多感染手机数量高达61129部。

此前，今年央视315晚会也曾揭露过部分手机恶意软件暗中扣费，这些恶意程序往往伪装成正常的游戏应用或色情应用，利用美女图诱惑用户下载。一旦用户下载安装，这些应用通过引导用户点击收费触发按钮，暗中为用户定制增值业务。由于这些收费触发按钮隐藏在看似正常的按钮中，用户基本都会中招。

安全技术人员分析这些恶意程序，会发现背后暗藏发送短信消费的功能，不仅如此，这些恶意程序会偷偷自动回复短信确认订购，再将扣费有关的短信删掉，让中毒用户完全蒙在鼓里。

除了恶意吸费，更不容易被用户感知的还包括隐私信息泄露等问题。

例如，360手机卫士在7月发布的《手机恶意程序盗取个人信息形势分析报告》显示，在手机恶意程序中，有一类是专门盗取用户隐私信息，包括通讯录、短信、通话记录、银行信息、社交软件聊天记录、录音和照片等。

隐私窃取类木马往往披着常规应用的外衣，善用伪装术引诱网友下载。用户手机感染恶意程序后，一般会自动发送一条信息到控制者的手机上(一般称为主控手机)，或自动上传信息至指定邮箱。