卡巴斯基報告：安卓系統 APP 中可疑廣告模塊應用

原文：Aggressive in-app advertising in Android
譯者：知道創宇404實驗室翻譯組

近期，Google Play上流行應用程序中的可疑廣告模塊越來越多，其觀看次數也在不斷增加，與白名單廣告模塊相比，它們為開發人員帶來了更多收入，但此類SDK的獲利方法可能會對用戶形成網絡威脅。本文將對之前所提到的流行應用程序中的可疑廣告模塊進行研究。

第一個研究的應用程序，它允許用戶匿名提問。com.haskfm.h5mob模塊將數據集成到該程序前期的代碼中，其任務是在用戶解鎖手機時顯示侵入性廣告（違反Google Play規則）。

屏幕解鎖時顯示廣告的代碼

換句話說，無論該應用程序是否正在運行，該模塊都可以顯示廣告，廣告會在屏幕上自動彈出。我們將調查結果發送給了應用程序開發人員，他們立即刪除了com.haskfm.h5mob。但是，從技術角度來看，該模塊仍然很有趣。

在這個用于接收廣告優惠的應用程序中，模塊連接到C＆C服務器，其地址已經在應用程序代碼中進行了加密。

解密C＆C地址

C＆C服務器響應內容包含主要的參數和廣告商。

{"status":1,
"msg":"Success",
"data":{"rqect":0,
        "ldfr":1,
        "tifr":1,
        "appintset":43200000,
        "swpa":1,
        "ssjp":1,
        "tcap":86400000,
        "ctoftime":3600000,
        "jtslist":[{"domain":"app.appsflyer.com","format":"&android_id={android_id}&advertising_id={gaid}"},
       {"domain":"app.adjust.com","format":"&android_id={android_id}&gps_adid={gaid}"},
       {"domain":"app.adjust.io","format":"&android_id={android_id}&gps_adid={gaid}"},

此處最有趣的參數是appintset，它會在程序安裝后顯示的第一個廣告上進行延遲。在我們的樣本中，我們將其設置為4320萬毫秒（即12小時），這種延遲會導致用戶在第一時間很難察覺到已經顯示的所有廣告。此外，操作者們還會使用此技術來繞過程序本身具有自動保護機制（如應用程序商店中的沙箱）。主要參數中還有廣告商的相關信息，其中還包含用于接收報價的請求參數。

之前我們在沒有有效負載的應用程序中檢測到過類似的廣告模塊。如，com.android.ggtoolkit_tw_xd應用中的代碼并沒有檢測到病毒AdWare.AndroidOS.Magic.a，其包含與com.haskfm.h5mob相同的功能，并且會通過相同的C＆C模塊進行管理。但此廣告軟件的應用程序沒有圖形界面可言，而且在設備的應用程序菜單中進行顯示，只會顯示插入式廣告。

此外，雖然第一個示例中的應用程序創建者刪除了廣告模塊，但并非所有的Android開發者都這樣。如，不論程序是否運行，“CutOut & Photo Background” 都會在手機解鎖后立即處理半屏廣告。