本文介绍的Android木马逃逸技术研究了针对用户感知、杀软查杀、沙箱动态养殖和人工分析的各种逃逸技术。

Android手机软件（不含游戏）发展渐成熟，隐私权限获取数量有所减少，Android手机软件（不含游戏）越界获取核心隐私权限仍然较多，Android手机游戏获取隐私权限数量猛增，但越界比例减少53.1%，Android手机游戏越界发送短信值得关注，易造成用户经济损失，用户隐私安全讣知水平有待提高，建议用户保护隐私“三要三不要”。

从2013年开始至2018年1月，360烽火实验室共捕获Android平台挖矿木马1200余个，其中仅2018年1月Android平台挖矿木马接近400个，从Android平台挖矿木马伪装应用类型看，工具类（20%）、下载器类（17%）、壁纸类（14%）是最常伪装的应用类型；Android平台发现的挖矿木马选择的币种主要有（BitCoin）、莱特币(Litecoin)、狗币(Dogecoin)、卡斯币(Casinocoin) 以及门罗币（Monero）这五种；目前挖矿木马的防御措施，PC平台已经具备防御能力，移动平台由于权限控制不能彻底防御。

从使用Android Accessibility技术的样本占样本总数百分比看，截止2012年仅有0.015%，截止2015年不足0.5%，2016年上半年占比超过2.6%；从使用Android Accessibility技术的样本数量看，2016年上半年是2015年全年的3倍；从使用Android Accessibility技术场景看，可以分为合理利用、提升体验、灰色地带和肆意滥用；利用Android Accessibility技术的恶意样本呈现出明显的逐年增长趋势，2016年上半年恶意样本数量接近于2015年同期的2.5倍；60烽火实验室最新发现伪装成手机安全软件，利用Android Accessibility技术劫持浏览器地址栏的木马，该木马同时具备隐藏图标、自我保护等多种对抗手段；Android Accessibility滥用案例已被发现的主要归类为三类情况：恶意安装、广告干扰和窃取信息；使用人群与权限控制的矛盾和用户对Accessibility的认识不足成为Android Accessibility被滥用的主要因素。

2012年全年及2013年1月、2月中，360安全中心截获到伪装、篡改Android游戏的手机木马及恶意软件（以下简称：游戏木马）、恶意广告插件共134927款，感染用户近2亿人次。

Android N的诸多新特性归根结底是为了增强系统安全性、提升用户体验。为了应对层出不穷的恶意木马和不断完善Android系统安全机制，Google还对Android系统的安全性进行了诸多优化，这些优化主要涉及系统权限、应用间文件共享以及Android for Work三方面的内容。

2019年全年，360安全大脑共截获移动端新增恶意程序样本约180.9万个，平均每天截获新增手机恶意程序样本约0.5万个。新增恶意程序类型主要为资费消耗，占比46.8%；其次为隐私窃取（41.9%）、远程控制（5.0%）、流氓行为（4.6%）、恶意扣费（1.5%）、欺诈软件（0.1%）。360安全大脑累计为全国手机用户拦截恶意程序攻击约9.5亿次，平均每天拦截手机恶意程序攻击约259.2万次。

Android 6.0引入的Doze机制本意在于节省系统耗电量，延长电池的使用时间，但是却在抑制恶意软件对系统资源的占用上发挥了神奇的效果，恶意软件因此也开始探索绕过Doze机制的手段。文本将为大家简要介绍Doze的功能，并从安全的角度解读Doze的奇效，最后揭露一款绕过Doze机制的恶意软件。

近日，360烽火实验室发现有数千个样本感染了一种名为“DressCode”的恶意代码，该恶意代码利用实下流行的SOCKS代理反弹技术突破内网防火墙限制，窃取内网数据。这种通过代理穿透内网绕过防火墙的手段在PC上并不新鲜，然而以手机终端为跳板实现对企业内网的渗透还是首见。由于SOCKS协议是一种在服务端与客户端之间转发TCP会话的协议，所以可以轻易的穿透企业应用层防火墙；它独立于应用层协议，支持多种不同的应用层服务，如TELNET，FTP，HTTP等。SOCKS协议通常采用1080端口进行通信，这样可以有效避开普通防火墙的过滤，实现墙内墙外终端的连接。

2016年全年，360互联网安全中心累计截获Android平台新增恶意程序样本1403.3万个，平均每天新增3.8万恶意程序样本；基于传统犯罪形式的黑色产业与基于企业级业务合作的黑色产业，是移动平台黑色产业的两个基本类别。

前不久Google发布了新的系统版本Android 7.0。在之前发布的6.0版本中，引入了一种新的权限模型。新权限模型在旧模型基础上加入了运行时动态权限检查，权限不再是安装时一次性全部授予，而是运行时动态申请与授予，如果开发者未按要求动态申请权限或者权限申请未被用户许可，应用程序的相应行为将无法实施；同时，用户可以在应用程序权限管理中随时撤销掉已授予的权限。这样的动态权限模型让用户对应用程序运行时权限拥有更强的可视性与控制性，赋予了用户更多权限管理主动权，增强了权限模型的安全性。在最新的7.0版本中，依旧沿用了此权限模型。

2011年，国内Android用户及流量高速增长：2011年10月与1月相比，友盟Top 100应用的日活跃用户一日流量分别增长了5倍和7倍；手机品牌格局发生变化：三星在Android手机市场强势崛起，市场仹额达到27.9%，超过HTC和摩托罗拉，位居第一，华为、中兴分别位居第四、第五名； Android2.3成为主流系统，占总体比例52.4%；Android设备硬件性能丌断提升：CPU频率大于1GHz的设备比例已达到47.9%，一半以上的手机屏幕使用大分辨率，480*800成为最流行的手机分辨率；Android终端价格在1500元以下及3000元以上的比例升高；中国联通和中国电信的营业额继续上升，分别达到18.9%和14.9%；使用2G和3G联网的比例持续走高，在2011年Q3达到71.7%；其中，3G联网的比例在2011年Q3达到18.0%；移动互联网继续向二线城市漫延，虽然广东、江苏、浙江、北京、上海等城市仍然领跑，但TOP 5城市的总额为44.6%，较Q2的49.4%明显下降。

手机勒索软件是一种通过锁住用户移动设备，使用户无法正常使用设备，并以此胁迫用户支付解锁费用的恶意软件。其表现为手机触摸区域不响应触摸事件，频繁地强制置顶页面无法切换程序和设置手机PIN码。

2015年Android手机应用盗版情况仍然猖獗，平均每款正版APP对应92.7个盗版，软件类盗版APP中，便捷生活类盗版APP感染的设备数量最多，为237,878个；系统安全类盗版APP感染的设备数量为138,037；影音视听类盗版APP感染的设备数量为116,856个； 游戏类盗版APP中，经营策略类盗版APP感染的设备数量最多，为146,103个；休闲益智类盗版APP感染的设备数量为137,003；跑酷竞速类盗版APP感染的设备数量为83,650个；面对严重的应用盗版问题，360加固保作为国内领先的移动应用安全服务平台，为移动开发者提供了一站式的安全服务。旨在打造一个专业、全面的移动应用安全服务体系，来促进移动互联网安全的健康发展。

Android5.0屏幕录制漏洞（CVE-2015-3878）完全能够激发如上“两低”条件，漏洞威胁随时可能大规模爆发， 利用Android 5.0屏幕录制漏洞，黑客攻击者可以构造用户完全无法识别的UI（用户界面）陷阱，在没有获取任何特殊系统权限的条件下窃取用户手机上的一切可视信息，具有非常大的安全隐患。报告在分析漏洞原理、漏洞成因及利用技术的同时，充分挖掘隐藏在漏洞背后的威胁，以警示开发者和手机用户注意防范此类漏洞。

2018年全年，360互联网安全中心共截获移动端新增恶意软件样本约434.2万个，平均每天新增约1.2万个。全年相比2017年（757.3万个）下降了约42.7%；移动端新增恶意软件类型主要为资费消耗，占比高达63.2%；其次为隐私窃取（33.7%）、恶意扣费（1.6%）、流氓行为（1.2%）、远程控制（0.3%）；360互联网安全中心累计监测移动端恶意软件感染量约为1.1亿人次，相比2017年（2.14亿人次）感染量下降48.6%，平均每日恶意软件感染量约为29.2万人次。

近期谷歌发布了最新手机操作系统Android O的开发者预览版，一如往常，Android O又带来了多项新功能与优化升级，其中一项有关系统窗口管理的优化给Android手机勒索软件带来了严重冲击。

2014年上半年Android手机隐私安全报告 DCCI检测发现：获取设备信息是安卓应用获取最多的权限，其次是读取位置信息和打开WiFi权限。获取设备信息主要用于实现应用对各种型号手机的适配；位置信息可用于位置相关服务，如；地图定位、位置分享、查看附近信息等功能；打开WiFi可为用户节省移动流量。安卓应用对其他隐私权限的获取比例多在20.0%~30.0%之间。 不同类型应用在获取隐私权限上存在明显差异，如：社交通讯类应用获取访问联系人、读取通话记录发送短信等权限的比例大大高于其他类别的应用。 822%的生活购物类应用要求读取位置信息。美团、58同城、大众点评等生活购物类应用为向用户提供周边吃喝玩乐信息都需要读取用户位置。访问联系人、拨打电话也是生活购物类应用常获取的隐私权限，便于用户向好友分享商品服务信息、邀请好友或向好友充值、转账。 影音图像类应用主要获取的隐私权限包括设备信息、位置信息、打开WiFi、使用话简录音等权限。70.8%的影音图像类应用读取位置信息，位置信息可用于移动广告投放。56.6%的应用要求打开WiFi权限，可帮助用户节省流量。43.4%的应用要求使用话简录音权限可用于语音搜索等功能。 游戏类应用与社交通讯类应用形成鲜明对比，获取的隐私权限相对很少。12.6%的游戏应用要求访问联系人某些游戏具有社交分享功能。应用内支付是移动游戏最成熟的商业模式，33.8%的游戏类应用有发送短信权限可用于付费。 【更多详情，请下载：2014年上半年Android手机隐私安全报告】

根据友盟在2011年1月到3月期间所搜集到的数据所得到的。来源于对1000多款面向国内市场开发的Android应用程序的深入挖掘,包括:Camera360、365日历、安卓优化大师、街旁等,覆盖了超过400万部国内Android终端设备。在分享数据报告之前,先为大家介绍一下这期间在iOS领域内的一些背景资料。