腾讯移动安全实验室首份行业报告
随着移动互联网的快速发展，手机吸费病毒作为一种新的手机病毒形式开始进入人们的视线。“吸费海盗王”、“美女勾魂吸费大盗”等吸费病毒近期陆续被腾讯移动安全实验室等手机安全机构公之于众，被查获的病毒不仅覆盖了Android、Symbian V3 V5等智能机操作系统、也覆盖了Kjava等功能手机操作系统。吸费病毒的频繁出现，引发手机用户不同程度上的疑虑和对移动安全的担忧。
腾讯移动安全实验室最新的网络调研数据显示，26%的用户遭遇过手机病毒，而38%的用户对于手机病毒最大的担心在于扣费、吸费。对于手机吸费病毒的成因、吸费原理、传播方式、产业链状况、以及规避对策等相关知识，73%的被调研用户表示希望了解。
为了帮助用户更好的了解手机安全，解答手机用户关于吸费病毒的各类疑问，更好地保护用户手机安全，腾讯移动安全实验室专家采用专业的技术手段，对手机吸费病毒的相关信息进行全方位的解读、定位和剖析，并形成了实验室首份移动安全报告——《揭开手机吸费病毒的神秘面纱》，以飨读者。
本报告所有内容均为腾讯移动安全实验室及旗下QQ手机管家、在线查毒平台、恶意线索举报平台通过对各类吸费病毒样本和病毒产业链进行细致研究后所得成果，如有引用，请注明出处。
第二章：吸费病毒原理
腾讯移动安全实验室发现，吸费病毒的主要原理是通过自行发短信、拔打语音扣费电话，同时会删除或屏蔽收费相关的运营商回执短信、拔打电话、Wap上网等记录，让用户完全在不知不觉中被扣费。
2.1 短信业务的扣费原理：
（图1）短信业务扣费原理示意图
2.2 声讯/IVR业务的扣费原理：在手机后台自动拨打IVR电话，然后把拨打的相应记录删除。
2.3 WAP业务的扣费原理：自动后台点击扣费节点。
2.4其他运营商增值业务的扣费原理：彩铃/炫铃/七彩铃的下载，采用短信、或IVR、
或WAP订购的方式。
第三章：病毒的传播途径
腾讯移动安全实验室研究发现，目前手机吸费病毒一般以嵌入正常功能软件、热门软件为主要载体，散播在众多论坛、电子市场、刷机ROM里，用户把这当作原版、加强版、破解版、美化版进行下载。
3.1 载体伪装途径：
i. 嵌在其他热门的正常软件里：嵌在知名游戏软件、工具软件中
ii. 专门开发出一种带功能性的免费软件，把病毒嵌入
iii. 扣费病毒不立即安装，先安装一个木马病毒，待用户量一定的时候，通过服务器给指令下载相关的扣费病毒，静默安装
iv.伪装在主题类软件中，这是塞班最为常见的病毒载体
v. 伪装为系统升级软件，诺基亚手机上经常出现
vi. 伪装为杀毒软件，以前曾出现过伪360、伪卡巴等
3.2 多种传播方式：
i.群发内容为类似运营商发送的服务短信，短信内有链接，链接域名搞成类似运营商网址迷惑用户，如“伪升级扣费木马”，就使用http://1OO86.net（用字母O来伪装数字0）的域名来提供下载。
ii.在嵌入到多个热门软件后，把这些软件散布到各热门手机论坛与电子市场中，再运作一些破解、优化、美化、汉化、必装等字眼来诱惑用户下载安装，用户防不胜防。
iii.按正常有功能的软件来进行传播。
iv.伪装以该品牌该型号的补丁升级进行传播。
v.集成在刷机ROM。
vi.集成在一键安装包里。
第四章 愈来愈隐蔽的病毒吸费
随着扣费、屏蔽、云端控制技术的不断成熟，病毒吸费呈现出愈来愈隐蔽甚至无声无息的趋势。
4.1 技术成熟让病毒吸费愈来愈隐蔽
i.以前的病毒技术，一般是内置扣费的指令代码到病毒软件中，用户安装软件后，短时间内便会发作进行扣费；
ii. 现在的技术，则已经发展到很成熟，很隐蔽：发送的扣费短信的指令、端口号、发送时间、发送频率均能做到云端（服务器）控制，做到短信指令、端口号，可以根据用户所在的地区、SIM卡所属的运营商进行可扣费的配置，并且可以随时更改；
（图2）吸费海盗王病毒反编译分析
iii. [f1] 现在的技术都能轻易做到，在本机删除相关的扣费回执记录，包括特定运营商扣费短信、拨号记录、WAP上网记录。
4.2 “悄悄潜伏”让吸费病毒愈来愈隐蔽：
i.不会立即发作，可以选择时间发作，如：等午夜时候才偷偷扣费；
ii.不会立即发作，从服务器取指令，按指令配置发作时间与方式；
iii.安装后，伪装为正常进程的名字，如系统进程，或其他软件进程进行潜伏；
iv.用户量潜伏，一些病毒制造者很有耐性，等被嵌入病毒的软件用户到达一定量后，才偷偷扣费。
网友评论