面向业务守护的移动安全对抗实践

流氓广告开发者会注册一堆空壳公司、利用那些公司的名称，进行马甲应用投放；流氓广告cp会通过应用商店上架，三方平台和头部媒体的买量进行投放，触达到用户侧。并且他们自身也会推送同公司，同品类的应用到用户这里。这就常常出现有的老年用户偶然下载了某个这种应用，在应用推送的广告中又点击下载了其他同类应用，以此循环，最后就下载了一屏幕的广告应用。

流氓广告cp不仅仅满足于投放应用后应用内广告的正常收入，因为用户平时也不会总是去打开它们，在不被打开的情况下，还能实现广告推送曝光增长？那就是通过各种方式去进行应用外的弹窗广告，这样即使用户不打开这些应用，他们也能获取到广告的曝光收入。

总之是使用短留策略，获得用户后通过野蛮广告变现实现商业收益闭环

具体的弹窗流程如下图：

这种高价值的变现也伴随了大量的对抗因素在里面。其中，保活以及防御绕过是对抗的重点。

常见保活方式分析是需要保活，这是一切体外广告的前提，下图列举了几个常用的保活、拉活手段。

在流氓广告应用使用上述手段并不能有效保活后，有开发者另辟蹊径，根据双进程守护的原理加以改进，使用两个进程互相锁住了对方的文件，其中一方的进程死亡会解除自己持有的锁，另一方会立即感知到，这时立刻拉起对方，详细步骤如下图：

在保活成功以后，下一个容易被攻击的点是系统的防御策略，android系统对于后台的拉起是做了限制的，那么如何绕过这些防御呢？是利用系统缺陷。

2.3.1 伪造包名启动

Android 11 以下，在调用方 Activity 中覆写 getBasePackageName 方法，返回系统白名单包名，则可以通过伪造包名拉起activity；

也可以使用Hook Application 中的baseContext将包名伪造从而进行拉起。

2.3.2 moveTaskToFront启动

movetask：这种方式不算是直接从后台启动 Activity，而是换了一个思路，在后台启动目标 Activity 之前先将应用切换到前台，然后再启动目标 Activity，如果有必要的话，还可以通过 Activity.moveTaskToBack 方法将之前切换到前台的 Activity 重新移入后台(需要声明android.permission.REORDER_TASKS 权限)。

启动目标 Activity 之前先判断一下应用是否在后台，判断方法可以借助 ActivityManager.getRunningAppProcesses 方法或者 Application.ActivityLifecycleCallbacks 来监听前后台。

2.3.3 全屏通知启动

cp针对滥用谷歌全屏通知能拉起activity的机制进行后台弹窗。具体方式为构造一个调起外弹页的intent，并传入PendingIntent，构造通知，并通过setFullScreenIntent传入PendingIntent ，通过这样的方式来拉起activity，需要权限 android.permission.USE_FULL_SCREEN_INTENT。

2.3.4 伪造输入法拉起

第一步找到系统默认输入法，模拟拉起的广告页面同样声明输入法设置的intent-filter；

第二步，将输入法的intent包装成PendingIntent,在通过intent.setData(Uri.parse(getPackageName() +"://start"));的方式将原始的intent替换掉；

第三步，发送PendingIntent,因为PendingIntent对象是从输入法获取的，此时恶意app实际上是以输入法的权限和身份发送了这个intent,就可以把FloatActivity拉起来了。问题的原因是PendingIntent中的intent被替换成了拉起广告Activity的intent。

既然有缺陷利用，那么利用缺陷进行外弹广告的行为，肯定是厂商需要重点治理的行为，但是常常出现这样的一个情况，在消费者手里的那些弹广告应用，到了厂商的分析人员手里就不弹了，这是怎么回事呢？那涉及新的对抗方向：动态对抗。

那些应用为了规避上架审查，自身对于一些特定机制做了检测，检测范围以及对应的识别思路如下图：

针对上述的行为，首先从分析人员的分析对抗能力提升做起，主要分为3个方面，如下图：

上面讲到了第三方的分析工具，但需要针对不同的对抗场景，进行工具建设。

解决了对抗工具问题，就解决了人工分析中对抗的一大重难点。

在人工分析完流氓广告应用后，应当将人工的分析成果赋能到用户体验的保障和商店环境净化，其中的过程就是自动化检测能力的建设。

自动化检测能力的核心，是业务方将可疑的应用通过任务队列批量上传，后端将检测文件反编译java代码，然后将人工分析中的特定特征进行静态引擎检测，然后输出广告的检测结果。

通过这样的方式，自动化识别流氓广告应用，从而来净化商店环境，以及对第三方分发的应用进行制约。

针对于上述的对抗措施，进行对抗思路总结，如下图：

针对流氓广告应用未来的对抗的对抗策略展望如下图：

总体来说，伴随着厂商治理力度的加大，对抗趋势是将从事后的对抗转移到事前的对抗，这是一个长期的对抗路程，需要行业内的安全团队提升系统防御，加强风险识别、建设对抗工具，赋能检测能力以及产品机制，从而保障用户体验。

关注我们，了解更多安全内容！