早上起來,手機(jī)中莫名其妙多了幾款A(yù)pp,新號(hào)碼莫名其妙接到廣告、推銷電話。這些日常生活中遇到的場景,背后則是一條涉及到靜默安裝、網(wǎng)盟推廣、惡意插件等層層環(huán)節(jié)的成熟產(chǎn)業(yè)鏈條。
其中以刷機(jī)商、插件制作者、網(wǎng)盟、渠道為代表的各方角色,在商業(yè)牟利面前,默許縱容內(nèi)含竊取用戶通訊錄、電話號(hào),甚至是惡意扣費(fèi)插件的App上架,為其帶來百萬甚至是千萬級(jí)別裝機(jī)量。但在這條龐大的地下產(chǎn)業(yè)鏈條面前,消費(fèi)者的個(gè)人隱私問題再次被忽視。
* 消費(fèi)案例
手機(jī)在不知不覺中成為“肉雞”
今年2月28日,在北京朝陽區(qū)法院審理的一起案件中,北京麥德聯(lián)合信息技術(shù)有限公司、深圳市安豐易聯(lián)信息技術(shù)有限公司、深圳萬豐博通信息技術(shù)有限公司三家企業(yè)負(fù)責(zé)人,由于利用靜默插件惡意推廣App、獲取用戶隱私數(shù)據(jù),以非法獲取、控制計(jì)算機(jī)信息系統(tǒng)數(shù)據(jù)被判處有期徒刑1年5個(gè)月至3年不等。
公開資料顯示,這三家公司分工非常明確,其中安豐公司為獨(dú)立應(yīng)用市場,負(fù)責(zé)安卓App的下載、推廣運(yùn)營。萬豐負(fù)責(zé)給水貨手機(jī)提供手機(jī)預(yù)裝軟件服務(wù),即通過在ROM包中內(nèi)置軟件開發(fā)商App的形式,獲取軟件開發(fā)商支付的推廣費(fèi)。而麥德國內(nèi)公司則最終負(fù)責(zé)靜默插件的研發(fā)。
據(jù)北京朝陽區(qū)法院審理查明,涉事公司在將插件植入線下刷機(jī)ROM、線上App軟件后,運(yùn)營部門會(huì)通過后臺(tái)服務(wù)端操控,向被靜默插件感染的手機(jī)推送軟件、廣告等商業(yè)電子信息。當(dāng)用戶手機(jī)上網(wǎng)后,該插件會(huì)自動(dòng)通過互聯(lián)網(wǎng)聯(lián)系該插件所在的服務(wù)器,該手機(jī)即被激活。他們?cè)偻ㄟ^服務(wù)器操作,未經(jīng)用戶允許,給用戶推送軟件及廣告信息,從中獲利。
截至2013年8月案發(fā),被植入靜默插件的用戶已達(dá)到40余萬,推送廣告獲利約20余萬元。該款插件在除了向用戶手機(jī)私自安裝App外,還可在用戶不知情的情況下獲取用戶手機(jī)位置、讀寫用戶存儲(chǔ)卡等多種功能,甚至還能夠獲取用戶所存儲(chǔ)的通訊錄、所處地理位置等數(shù)據(jù)信息。
惡意軟件悄悄被安裝
3·15將至,許多安卓推廣群里開始變得冷冷清清。以往喊出高額日均安裝激活量的渠道商逐漸沉寂了下來,即便有大量的軟件商開出重金高價(jià)碼尋求,也無人問津。
“等過了3·15再說。”當(dāng)《IT時(shí)報(bào)》記者聯(lián)系到一位安卓推廣網(wǎng)盟的負(fù)責(zé)人林某后,他表示最近許多第三方渠道和網(wǎng)盟都開始謹(jǐn)慎接單、暫停了大規(guī)模刷機(jī)安裝。但只要避開這段時(shí)間,以往渠道中盛行的誘導(dǎo)安裝、靜默推送又會(huì)重新復(fù)蘇:“只要這周過后,日均激活量上10萬不是問題。”
在目前國內(nèi)各大渠道的推廣方式中,憑借獲取用戶成本方式低、能夠快速?zèng)_取安裝規(guī)模的特點(diǎn),靜默安裝、誘導(dǎo)安裝方式已經(jīng)成為不成文的潛規(guī)則,并且迅速聚集起插件制作者、網(wǎng)絡(luò)聯(lián)盟、渠道等各方角色,形成一個(gè)龐大的地下產(chǎn)業(yè)鏈條。
“我們跟深圳的手機(jī)廠家、刷機(jī)商有著深度合作,目前手機(jī)在出廠銷售前就已經(jīng)內(nèi)置了由我們開發(fā)的后門軟件。”廣東一家專門從事靜默安裝的負(fù)責(zé)人蔣星(化名)告訴記者,他們將開發(fā)的后門插件封裝打包植入某些主流常用App之中,通過這個(gè)后門插件能夠遠(yuǎn)程遙控這些手機(jī),在用戶不知不覺之間下載安裝其他程序,“比如可以在凌晨2~4點(diǎn)之間大規(guī)模靜默推廣,如果不考慮留存率的話可以在早晨自動(dòng)卸載,隱蔽性比較強(qiáng),主流的安全軟件很難查殺出來。”
這種利用后門插件成本遠(yuǎn)遠(yuǎn)低于正規(guī)渠道,也吸引了不少國內(nèi)的網(wǎng)盟、正規(guī)開發(fā)者和互聯(lián)網(wǎng)公司。當(dāng)記者以軟件推廣為由聯(lián)系到數(shù)家第三方推廣渠道和網(wǎng)盟后,對(duì)方紛紛開出了1.5~2元/個(gè)左右的靜默推送報(bào)價(jià),并且表示只要提供程序安裝包,在兩天之內(nèi)就能完成規(guī)模沖量,最多一天能夠悄悄推送安裝到十多萬用戶的手機(jī)上。
“第三方應(yīng)用市場、網(wǎng)站合作推廣等正規(guī)方式推廣用戶,成本起碼在5~10元左右,而且初期很難沖起安裝數(shù)量。”蔣星告訴記者,采用這種地下推廣的模式,一些App能達(dá)到2萬/天的裝機(jī)量,甚至有不少正規(guī)渠道方、電商及新聞客戶端推廣方,都找到他們利用靜默方式推廣。
竊取個(gè)人信息、自動(dòng)扣費(fèi)統(tǒng)統(tǒng)都能做到
在業(yè)內(nèi),這種被靜默程序控制的手機(jī)一般被稱為“肉雞”。由于在出廠前便被修改了系統(tǒng)的底層數(shù)據(jù),或者是在預(yù)置ROM中的主流App里植入后門插件,具有非常高的系統(tǒng)權(quán)限,隱蔽性也非常強(qiáng),因此很難被第一時(shí)間查殺。
另一種用低成本方式獲取用戶的方式,則是盛行的誘導(dǎo)安裝等途徑。軟件推廣方通過和部分中小網(wǎng)站合作,在網(wǎng)站利用美女圖片、低俗視頻等形式,引誘用戶點(diǎn)擊后下載應(yīng)用文件安裝,雙方再共同結(jié)算分成。
“主要是針對(duì)手機(jī)流量用戶,像利用圖片、視頻的方式,在其中嵌入軟件包下載地址,只要內(nèi)容不是太過色情和裸露就行。”一家CPA網(wǎng)站聯(lián)盟負(fù)責(zé)人說道,通過這種手法在各家網(wǎng)站進(jìn)行推廣,每天起碼能夠帶來10萬左右的有效安裝量。
事實(shí)上,除了已經(jīng)被公之于眾的刷機(jī)公司外,還有大量潛伏在地下的灰色推廣渠道,為了片面追求安裝量和利潤,卻往往忽視了用戶的隱私與安全,甚至某種程度上在默許、縱容軟件商的行為。
在記者聯(lián)系到的幾家推廣聯(lián)盟和靜默渠道中,對(duì)方表示只需要提供軟件安裝包即可,對(duì)于App的權(quán)限卻幾乎沒有設(shè)置任何限制,一些私自扣費(fèi)、竊取用戶信息的插件大行其道。
“只要App不讀取用戶短信、支付等信息就可以,像App讀取電話號(hào)碼、通訊錄這都不要緊,能夠上架推廣。”林某告訴記者,只要推廣方提供的軟件安裝包不涉及到盜號(hào)木馬,一般讀取的數(shù)據(jù)第三方網(wǎng)盟也會(huì)默認(rèn),而部分從事靜默渠道安裝的公司更是明碼標(biāo)價(jià)。蔣星對(duì)記者表示,如果想要利用靜默渠道推廣部分含有扣費(fèi)插件的App,需要事先和渠道商結(jié)清款項(xiàng),費(fèi)用是每個(gè)激活2元左右。
監(jiān)管難執(zhí)行更難
伴隨著安卓地下推廣鏈條的旺盛,一些竊取隱私的App又重新開始興風(fēng)作浪。
一組安全管家提供給《IT時(shí)報(bào)》的數(shù)據(jù)顯示,檢測出2013年竊取隱私手機(jī)病毒占到整體病毒的8%左右,新增10.44萬例。但這一數(shù)字在2014年增長了41%,達(dá)到了14.75萬例。此前,這家廠商曾為91助手、安智、應(yīng)用匯等50余家渠道提供安全查殺服務(wù)。
2月5日,在工信部發(fā)布的《2014年全年及第四季度電信服務(wù)情況》中顯示,在去年組織的對(duì)40家手機(jī)應(yīng)用商店撥測篩查過程中,發(fā)現(xiàn)不良軟件107款,如搜狐應(yīng)用中心、91助手、木螞蟻應(yīng)用市場等知名渠道方提供的《飛語免費(fèi)網(wǎng)絡(luò)電話》《碰碰》《微微網(wǎng)絡(luò)免費(fèi)電話》等App等,涉及違規(guī)收集用戶個(gè)人信息、惡意“吸費(fèi)”、軟件自動(dòng)向外發(fā)送短信、強(qiáng)行捆綁推廣其他無關(guān)應(yīng)用軟件等問題。
根據(jù)工信部此前發(fā)布的《關(guān)于打擊治理移動(dòng)互聯(lián)網(wǎng)惡意程序?qū)m?xiàng)行動(dòng)中做好應(yīng)用商店安全檢查工作的通知》,應(yīng)用商店應(yīng)自行或委托第三方對(duì)App進(jìn)行安全檢測,對(duì)于還有信息竊取、惡意扣費(fèi)、遠(yuǎn)程控制等行為,不得上架發(fā)布并將其納入應(yīng)用軟件黑名單。
但記者注意到,截至目前仍有不少涉及到App依然存在,如被點(diǎn)名的《微微免費(fèi)網(wǎng)絡(luò)電話》、《安卓鈴聲大全》、《植物大戰(zhàn)僵尸王2》還堂而皇之出現(xiàn)在魅族、Oppo、搜狐應(yīng)用中心等安卓市場搜索排行榜中。
“軟件預(yù)裝、竊取個(gè)人隱私等已經(jīng)形成一個(gè)成熟產(chǎn)業(yè),其中企業(yè)違規(guī)、違法的成本很低,導(dǎo)致這種現(xiàn)象屢禁不絕。”獨(dú)立電信分析師付亮告訴《IT時(shí)報(bào)》記者,目前從監(jiān)管層面而言很難對(duì)龐大的App市場做出清晰界定,處罰手段和結(jié)果也顯得過輕。“部分公司將知名應(yīng)用加入惡意插件打包后上傳,在后臺(tái)竊取用戶隱私數(shù)據(jù)很難第一時(shí)間察覺?;蛘咄瑫r(shí)在多家應(yīng)用市場上架不停改頭換面,很難進(jìn)行有效管理。”
付亮認(rèn)為,目前僅僅依靠抽查、曝光、下架等形式,無法直接對(duì)涉事企業(yè)主體進(jìn)行監(jiān)管,對(duì)背后龐大的產(chǎn)業(yè)鏈很難形成有效遏制,“除了監(jiān)管部門的抽查監(jiān)督外,還應(yīng)該完善相關(guān)法律法規(guī),對(duì)此類惡意行為的企業(yè)主體加大處罰打擊力度。”