“日活增长”黑产揭秘：“拉活子包”成流量劫持“新宠”

　　伴随着移动互联网的快速发展，移动应用分发市场逐渐进入消费升级时代。与此同时，不正当竞争的情况愈发突出，其中，流量劫持的问题比想象中的更为严重。

　　日前，腾讯安全反诈骗实验室通过腾讯TRP-AI反病毒引擎发现了多起以应用拉活为谋利手段的典型案例，不法黑客利用云控平台下发“拉活”指令擅自启动或唤醒用户手机中的应用，目标锁定电商、新闻、视频、浏览器等类别的各大知名知名应用。

　　移动分发市场竞争滋生黑产盈利渠道

　　据Analysys易观发布的预测数据显示，2017年中国应用分发市场用户规模将达到7.7亿人，预计到2019年，中国应用分发市场用户规模将达到8.3亿人，未来几年应用分发用户规模将趋于稳定。

　　应用分发市场的竞争激烈促使不法分子铤而走险。腾讯安全专家指出，移动互联网竞争激烈的现在，已很难从正规渠道获取到新流量，这些黑产团伙利用获得的黑产流量，通过技术手段篡改应用渠道活跃信息，将黑产流量转换成应用渠道流量，最终从中牟利。应用开发商投入的大量的渠道推广费用被黑产截流，造成巨大的损失。

　　更令人惊讶的是，这类黑产团伙还拥有丰富的对抗经验。据腾讯安全专家介绍，黑产采用规模作战，搭配云端隐匿、反逆向分析、运行环境对抗等手段对抗杀软，企图增加作案成功率。

　黑产流量转换示意图

　　黑产三大“拉活”手段 日均影响用户超百万

　　而在整个黑色产业链中，不法分子以拉活子包为依托，连接黑产上下游。腾讯安全专家分析发现，目前已知的拉活方式包括利用Intent机制的URI发送URL Scheme启动特定应用进行拉活；使用startActivity函数启动应用的特定Activity；以及采用startService启动特定应用的特定Service等方式拉新促活。

　　根据腾讯安全反诈骗实验室安全大数据引擎的数据显示，目前已知的拉活子包主要以QService、Sensor、cmder等家族为代表，占比份额以此为71%、16%、13%，日均影响用户超百万。截至目前，腾讯安全反诈骗实验室已经发现的拉活目标涵盖了电商、新闻、视频等类别的各大知名应用，仅初步统计，拉活目标应用数量已超越30个，涉及应用细分领域广泛。

拉活包子各家族份额占比分布图

　　根据实验室监测数据显示，三大“拉活”家族的累积日均影响超百万人。

近一个月拉活子包影响用户量图

　　如何应对？提升安全意识重中之重

　　针对当前应用分发市场下手法高明的拉活子包，腾讯安全反诈骗实验室认为，拉活子包不可能凭空出现，为防范成为黑产控制下的刷量拉活工具，安卓手机用户需要提高安全意识，养成良好的使用习惯，建议通过正规应用市场或官方下载应用；不要轻易打开不明链接，谨慎对待来源不明的安装包、文件；养成良好的生活习惯，不下载安装“色情类”的应用；同时也可使用腾讯手机管家等手机安全软件进行实时防护。

　　腾讯TRP-AI反病毒引擎，通过对系统层的敏感行为进行监控，配合能力成熟的AI技术对应用行为的深度学习，能有效识别带有恶意风险行为软件，并实时阻断恶意行为，为用户提供更高智能的实时终端安全防护，目前该引擎技术部分成果已经在腾讯手机管家云引擎中得到应用，可有效保护用户的上网安全。