原標(biāo)題：惡意軟件制作成本低下智能手機(jī)病毒集中爆發(fā)

早在“七夕”當(dāng)天，超級(jí)手機(jī)病毒“**神器”突然大規(guī)模蔓延，群發(fā)500萬(wàn)條詐騙短信，按每條短信0 .1元計(jì)算，相當(dāng)于造成中招手機(jī)用戶(hù)50萬(wàn)的話費(fèi)損失。而“**神器”的制作者李某只是某大學(xué)軟件系大一學(xué)生，這一蔓延全國(guó)、造成巨大經(jīng)濟(jì)損失的手機(jī)病毒事件，為近期愈演愈烈的智能手機(jī)安全問(wèn)題再蒙一層陰影。據(jù)獵豹移動(dòng)上半年安全數(shù)據(jù)報(bào)告顯示，2440萬(wàn)個(gè)安卓應(yīng)用樣本有215萬(wàn)個(gè)病毒，是2012全年的20 .5倍。也就是說(shuō)，10個(gè)應(yīng)用里有1個(gè)是病毒。360安全專(zhuān)家萬(wàn)仁國(guó)告訴記者，“安卓手機(jī)開(kāi)發(fā)門(mén)檻低，惡意軟件制作成本低，這種安全威脅不在少數(shù)。”與此同時(shí)，信息安全問(wèn)題也再次被提上日程，小米手機(jī)日前被曝主動(dòng)向北京服務(wù)器發(fā)送用戶(hù)號(hào)碼及相關(guān)信息，小米手機(jī)開(kāi)頭并未承認(rèn)，而此后，亦是輕描淡寫(xiě)地宣稱(chēng)“已經(jīng)修復(fù)漏洞”。

第三方下載市場(chǎng)是重災(zāi)區(qū)

比起只能接收短信、電話通訊的功能機(jī)，2010年開(kāi)始大爆發(fā)的智能手機(jī)擁有更多延伸功能，無(wú)論在操作體驗(yàn)還是應(yīng)用范圍都有了質(zhì)的飛躍，受到的安全威脅亦更加嚴(yán)峻。萬(wàn)仁國(guó)告訴記者，“功能機(jī)時(shí)代的危害主要是單純的詐騙、垃圾短信電話等通信安全，傳播性及破壞性較弱；而智能機(jī)時(shí)代則增加了手機(jī)系統(tǒng)安全、隱私安全、手機(jī)應(yīng)用安全等安全威脅。”

與此同時(shí)，相比安卓智能手機(jī)，iO S系統(tǒng)安全性則受到各大安全廠商的認(rèn)可。“今年媒體報(bào)道的iO S系統(tǒng)竊取并上傳用戶(hù)信息的新聞個(gè)人覺(jué)得未經(jīng)證實(shí)，不能作為判斷依據(jù)。iO S作為封閉市場(chǎng)，應(yīng)用安全性明顯好于安卓系統(tǒng)。”獵豹安全專(zhuān)家李鐵軍如是表示。據(jù)卡巴斯基安全實(shí)驗(yàn)室數(shù)據(jù)顯示，98%的智能手機(jī)病毒發(fā)生在安卓手機(jī)市場(chǎng)上。

盡管各大安全廠商統(tǒng)計(jì)口徑及樣本選取不同，但主要安卓威脅分析基本一致：主要的威脅來(lái)源是手機(jī)論壇及第三方下載市場(chǎng)，類(lèi)似于“**神器”這種“點(diǎn)對(duì)點(diǎn)”的A PK傳播相對(duì)少數(shù)；主要表現(xiàn)為短信木馬、廣告軟件和獲得root權(quán)限，竊取上傳用戶(hù)數(shù)據(jù)，其中，用戶(hù)數(shù)據(jù)最易受到攻擊；主要的類(lèi)別是惡意付費(fèi)類(lèi)、資費(fèi)消耗類(lèi)以及竊取隱私。

不同于iO S的應(yīng)用下載官方渠道，安卓可以通過(guò)第三方市場(chǎng)下載，而在沒(méi)有g(shù)oogleplay的中國(guó)市場(chǎng)，這個(gè)問(wèn)題則更甚。“第三方下載市場(chǎng)審核不嚴(yán)，沒(méi)有制度保障，是病毒重災(zāi)區(qū)。60%的病毒來(lái)源于此。”李鐵軍認(rèn)為，第三方下載市場(chǎng)應(yīng)該通過(guò)聯(lián)合設(shè)立黑名單的形式強(qiáng)化制度保障。“不能一個(gè)惡意軟件換個(gè)名字，在另一個(gè)下載市場(chǎng)又通過(guò)審核。”

手機(jī)網(wǎng)銀病毒增長(zhǎng)最快

“值得關(guān)注的是，隨著手機(jī)購(gòu)物和手機(jī)支付應(yīng)用的快速發(fā)展，以盜竊用戶(hù)網(wǎng)銀信息為目的的手機(jī)木馬病毒開(kāi)始興起。”卡巴斯基移動(dòng)安全部負(fù)責(zé)人徐新華告訴記者，2013年底，以竊取手機(jī)網(wǎng)銀授權(quán)碼為目的的變異病毒ZeuS在歐洲蔓延，盜取金額達(dá)4700萬(wàn)美元。李鐵軍補(bǔ)充說(shuō)，“這種盜取驗(yàn)證碼的病毒是今年增長(zhǎng)最快的惡意軟件。”上半年的病毒樣本中，64%的病毒是支付及惡意扣費(fèi)類(lèi)，而類(lèi)似于“**神器”的資費(fèi)消耗類(lèi)則降為17%。

騰訊安全2014年上半年報(bào)告稱(chēng)，“目前手機(jī)支付病毒一般通過(guò)兩種智能化的方式搶劫用戶(hù)資金。首先，通過(guò)偽裝銀行、支付類(lèi)A PP誘導(dǎo)用戶(hù)輸入銀行賬號(hào)密碼信息，然后再通過(guò)病毒攔截、轉(zhuǎn)發(fā)手機(jī)支付驗(yàn)證碼、支付成功回執(zhí)短信完成資金的竊取。”

同時(shí)，手機(jī)網(wǎng)銀客戶(hù)端的盜版問(wèn)題同樣嚴(yán)重。據(jù)《2014年第二期中國(guó)移動(dòng)支付安全報(bào)告》顯示，手機(jī)網(wǎng)銀客戶(hù)端軟件均存在盜版現(xiàn)象，個(gè)別客戶(hù)端甚至有20個(gè)以上不同的盜版版本，這客觀上又增加了手機(jī)安全的潛在威脅。李鐵軍認(rèn)為，銀行應(yīng)該與安全廠商合作，通過(guò)簽名校驗(yàn)或加固處理等形式，提高盜版軟件篡改的難度。

數(shù)據(jù)上傳的“紅與黑”

“數(shù)據(jù)上傳是把雙刃劍，可以方便我們信息保管，例如微信，云端存儲(chǔ)聊天內(nèi)容，方便我們查詢(xún)信息，但一旦被竊取并惡意利用，同樣也會(huì)對(duì)用戶(hù)造成傷害。”徐建國(guó)并不否認(rèn)數(shù)據(jù)讀取及上傳對(duì)軟件功能的輔助作用，但很多應(yīng)用過(guò)度讀取信息，殺毒軟件則以“必要與否”判斷是否為惡意軟件。“比如手電筒A PP就沒(méi)必要讀取用戶(hù)地理信息及通訊錄，甚至上傳數(shù)據(jù)。”

但“必要性”的界定如此模糊，更多時(shí)候需要法律的監(jiān)管。“政府加強(qiáng)立法監(jiān)管，一方面從源頭治理隱私倒賣(mài)產(chǎn)業(yè)鏈，另一方面在應(yīng)用分發(fā)渠道層層設(shè)崗。”徐建國(guó)如是表示。

“竊取用戶(hù)信息的基本判斷條件是：用戶(hù)是否具有知情權(quán)及選擇權(quán)。”廣東人和律師事務(wù)所律師李軍紅告訴記者，目前沒(méi)有專(zhuān)門(mén)的法律保護(hù)用戶(hù)隱私，但用戶(hù)可以運(yùn)用《民法通則》的規(guī)定來(lái)，運(yùn)用舉證責(zé)任倒置的原則來(lái)厘定是否非法。“用戶(hù)即使沒(méi)有因?yàn)樾畔⑿孤抖斐蓳p失，倘若用戶(hù)不知道其個(gè)人信息被利用造成商業(yè)利益，同樣被視為非法。”同時(shí)，李軍紅還表示，如果操作系統(tǒng)不是人為故意造成系統(tǒng)漏洞，則視為技術(shù)問(wèn)題無(wú)需負(fù)相關(guān)責(zé)任。