1
| 本文作者： 又田 | 2017-12-25 14:40 |
“大吉大利 今晚吃雞”，一款大逃殺類的 FPS/TPS 游戲《絕地求生：大逃殺》在 2017 年下半年成為游戲領域的絕對熱門。玩家之眾，從明星到普通用戶，直接導致 Steam 中國區用戶的比例躍升到了 56.37%，登頂世界第一，“吃雞游戲”也成為年度熱詞。
“吃雞游戲”本身具有極強的競技性和觀賞性，而黑客和黑產從業者正是抓住玩家看中游戲排名以及游戲賬號預約的玩家痛點，開發了多種木馬病毒，以鎖屏勒索、惡意扣費、捆綁惡意代碼等方式來達到感染用戶手機，勒索錢財的目的，嚴重威脅用戶的手機安全。
錢盾反詐實驗室高級安全工程師趙翰表示，通過監測發現，吃雞類木馬大部分在 11 月-12 月期間大量出現，將勒索病毒披上“絕地求生輔助”、“絕地求生搶號神器”等外衣，甚至直接做出手機版本的仿冒軟件。
“近幾年手游受到大家追捧，很多原來pc上的游戲都做了手游版，有的玩家就會以為‘絕地求生’也有手機版，就到一些不正規的市場上下載了偽裝官方的木馬。木馬制作者也最擅長打著熱點事件的噱頭，誘導用戶安裝，然后鎖定用戶手機屏幕并向用戶勒索解鎖費用。”趙翰稱。
趙翰指出，從技術層面解讀來看，木馬在資源文件下隱藏這一個惡意子包 assets/libdalvik_pat.so，表面上看是一個 .so 的動態庫文件，其實是一個 .apk 木馬安裝包；之所以隱姓埋名是為了免殺，給逆向分析人員增加分析的難度；誘導用戶點擊操作，并獲取 root 權限，然后將該惡意木馬寫入系統目錄 system/app，重啟手機來完成對木馬軟件的安裝，這樣做的目的是增加卸載的難度。
據了解，一旦用戶裝上了此類木馬軟件，不僅會被鎖屏勒索，該木馬還會在用戶不知情的情況下惡意扣費、惡意捆綁代碼，造成用戶的資費消耗。趙翰稱其還監測到該木馬以“我的絕地求生晚上吃雞之迷你艾莎購物”為名，捆綁惡意代碼，頻繁加載廣告，后臺下載推廣應用并誘導用戶安裝，造成用戶流量的嚴重消耗。
關于吃雞木馬背后的產業鏈，趙翰以吃雞鎖屏勒索木馬為例，木馬制作者會通過一些渠道將勒索木馬投放，一旦有用戶中馬則會根據在鎖屏界面預留的聯系方式（一般是 QQ 號）聯系到木馬制作者尋求解鎖方式。
首先，招攬門徒制作木馬是木馬軟件的源頭。趙翰稱，木馬制作者一般要求被勒索用戶拍照證明手機真實被鎖；接著會勒索用戶 20 元的解鎖費用，更戲劇化的是木馬制作者還招攬門徒，公然打著“實力教學”的旗號，要求小白徒弟只要交 40 元的費用即可通過視頻教程、QQ 語音等方式，教你如何在 20 分鐘內完成一款勒索木馬的制作，同時打包木馬制作工具及源碼分享給學徒。
正是得益于學費低廉、開發設備（只需有一款 Android 智能手機即可通過 AIDE 使用手機制作木馬）簡單便攜、制作技術含量低，外加之好奇心作怪，讓黑產隊伍不斷的壯大，導致勒索手機木馬軟件的感染量長期居高不下，但就木馬代碼分析，技術套路比較常見“換湯不換藥”。
與此同時，木馬投放的多渠道性也增加了木馬的傳播途徑。趙翰稱，通過 QQ 聯系上木馬制作者之后，對方會教門徒如何投放木馬，一般方式包括 APP 捆綁、網頁掛馬、社交網絡傳播（論壇）、廣告推廣和利用熱點事件誘導用戶安裝，“主要通過各種投放渠道誘導用戶手機感染木馬（或在用戶不知情的情況下完成安裝），鎖定用戶手機，最終達到敲詐勒索感染木馬用戶的錢財的目的。” 
《中國游戲產業報告》公布的數據顯示，2017 年中國游戲市場實際銷售收入達到 2036.1 億元，同比增長 23%。游戲產業的蓬勃發展也面臨著黑產盛行的威脅。
工信部近期也公布了近三年的不良 APP，“惡意吸費”的應用軟件占比達到 8%，有 35 款，基本都是游戲軟件。而一款名為“開心連連看”的 APP 在 2015 年下半年曾三次上榜，其 V2.6、V1.5.0 及 V3.1 版本均存在這一問題。
而鎖屏勒索病毒近幾年也是有流行的趨勢，牟利方式可謂是簡單粗暴，可以直接導致用戶無法使用手機。用戶可通過安裝手機端殺毒軟件預防安裝木馬病毒的軟件。
文章由錢盾反詐實驗室投稿，雷鋒網宅客頻道（微信公眾號：letshome）編輯。
雷鋒網宅客頻道，專注先鋒科技，講述黑客背后的故事，歡迎關注雷鋒網宅客頻道。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
