Android勒索软件研究报告（2016年4月）

Android勒索软件研究报告360移动安全团队2016年4月8日摘要?手机勒索软件是一种通过锁住用户移动设备，使用户无法正常使用设备，并以此胁迫用户支付解锁费用的恶意软件。其表现为手机触摸区域不响应触摸事件，频繁地强制置顶页面无法切换程序和设置手机PIN码。?手机勒索软件的危害除了勒索用户钱财，还会破坏用户数据和手机系统。?手机勒索软件最早从仿冒杀毒软件发展演变而来，2014年5月Android平台首个真正意义上的勒索样本被发现。?截至2016年第一季度，勒索类恶意软件历史累计感染手机接近90万部，从新增感染手机数据看，2015年第三季度新增感染手机接近35万部。?截至2016年第一季度，共捕获手机勒索类恶意样本7.6万余个。其中国外增长迅速，在2015年第三季度爆发式增长，季度捕获量接近2.5万个；国内则稳步上升。?国外最常伪装成色情视频、AdobeFlashPlayer和系统软件更新；国内则最常伪装成神器、外挂及各种刷钻、刷赞、刷人气的软件。?从手机勒索软件的技术原理看，锁屏主要利用构造特殊的悬浮窗、Activity劫持、屏蔽虚拟按键、设置手机PIN码和修改系统文件。解锁码生成方式主要是通过硬编码、序列号计算、序列号对应。解锁方法除了直接填写解锁码，还能够通过短信、联网和解锁工具远程控制解锁。?制作方面，主要使用合法的开发工具AIDE，通过QQ交流群、教学资料、收徒传授的方式进行指导。?传播方面，主要通过QQ群、受害者、贴吧、网盘等方式传播。?制马人通过解锁费、进群费、收徒费等方式获取非法所得，日收益在100到300元不等，整个产业链收益可达千万元。?从制马人人群特点看，年龄分布呈现年轻化，集中在90后和00后。一方面自己制作勒索软件；另一方面又通过收徒的方式像传销一样不断发展下线。?从被敲诈者人人群特点看，主要是一些经常光顾贴吧，以及希望得到各种“利器”、“外挂”的游戏QQ群成员。?从预防