2018年4月，腾讯安全曝光了“寄生推”，揭开了流量黑产的面纱，让大众了解到黑产正逐步隐藏到幕后，通过伪装正规SDK的方式，借助大众开发者触达用户，然后动态下发指令，通过恶意广告和应用推广，赚取广告推广费用，实现灰色牟利。无独有偶，近日，依托腾讯安全大数据，腾讯安全反诈骗实验室追踪到暴风影音、天天看、塔读文学等众多应用中集成的某SDK存在下载恶意子包，通过webview配合js脚本在用户无感知的情况下刷百度广告的恶意操作。
该恶意SDK通过众多应用开发者所开发的正规应用，途经各中应用分发渠道触达千万级用户；其背后的黑产则通过恶意SDK留下的后门控制千万用户，动态下发刷量代码，大量刷广告曝光量和点击量，赚取大量广告费用，给广告主造成了巨额广告费损失。
根据安全人员详细分析，此恶意SDK主要存在以下特点：
1. 该SDK被1000+千应用开发者使用，通过应用开发者的分发渠道抵达用户。主要涉及的应用包括掌通家园、暴风影音、天天看、塔读文学等，潜在可能影响上千万用户；
2. 刷量子包通过多次下载并加载，并从服务器获取刷量任务，使用webview加载js脚本实现在用户无感知的情况下自动化的进行刷量任务。
此类流量黑产给传统的广告反作弊带来了极大挑战，传统通过IP、曝光频率、点击率等表象数据形成的反作弊策略难以识别这种控制大量真实设备做’肉鸡’的刷量作弊，使得大量广告费用流入黑产手中，却无法给广告主带来应有的广告效果。
此恶意SDK集成在应用中的那部分代码没有提供实际功能，其在被调用后会定时上报设备相关信息，获取动态子包的下载链接，下载子包并加载调用。然后由子包执行相应的恶意行为。
恶意SDK作恶流程示意图：
受恶意SDK影响的主要应用列表：
从近期Android端恶意应用的作恶手法来看，恶意开发者更多地从直接开发App应用转向开发SDK，向Android应用供应链的上游转移。通过提供恶意的SDK给应用开发者，恶意开发者可以复用这些应用的分发渠道，十分有效的扩大影响用户的范围。而在恶意SDK的类别方面，黑产从业者主要把精力放在用户无感知的广告刷量和网站刷量等方向，通过使用代码分离和动态代码加载技术，可以完全从云端下发实际执行的代码，控制用户设备作为“肉鸡”进行广告、网站刷量等黑产行为，具有很强的隐蔽性。
这类流量型黑产逐渐增多，不仅对手机用户造成了危害，同时也给移动端广告反作弊带来了很大的挑战，传统基于IP、曝光频率、点击率等表象数据形成的反作弊策略难以识别这种控制大量真实设备做’肉鸡’的刷量作弊，难以保障应用开发者和广告主的正当权益。
针对终端用户，有如下安全建议：
1、尽可能使用正版和官方应用市场提供的APP应用；
2、移动设备即使进行安全更新；
3、安装手机管家等安全软件，实时进行防护。
评论已关闭。
豫公网安备 41010502004035号 
