前言

时至2018年，移动互联网的发展已走过十年历程，智能设备已深入人们生活的方方面面，其安全问题也时刻牵动着人们的神经。自2014年移动端恶意软件爆发时增长以来，Google、手机厂商和移动安全厂商都投入了巨大的精力，与恶意开发者进行了激烈的对抗。

过去几年，经过各方的共同努力，普通Android恶意软件的迅猛增长趋势已经得到遏制，据腾讯手机管家数据显示，2018年上半年Android平台新增恶意样本数468.70万，较去年同期下降47.8%。但与此同时，腾讯大数据监测到基于Android应用供应链的其他环节的安全问题逐渐增多，显示出恶意开发者已经将更多的目光投向Android应用供应链的薄弱环节。鉴于供应链安全问题较强的隐蔽性和影响的广泛性，希望相关各方关注供应链攻击的新形式，做好有效的安全防御措施。

一、新常态下Android应用安全威胁朝供应链环节转移

2017年永恒之蓝勒索蠕虫事件和《网络安全法》的正式实施是网络安全行业的一个分水岭，广大的政企机构的攻防态势和网络安全的监管形势都发生了根本变化，我们称之为网络安全的新常态。2018年，网络安全将全面进入这种新常态，安全威胁也越来越凸显出攻击复杂化、漏洞产业化、网络军火民用化等日益升级的特点。作为网络安全行业重要领域的移动安全，随着攻防对抗进入深水区，面临的安全威胁也呈现出新的特点：

1. Android恶意样本总体增长趋势得到遏制

过去几年，在Google、手机厂商和安全厂商的共同努力下，移动端恶意软件的迅猛增长趋势得到了遏制。根据Google《2017年度Android安全报告》显示，2017年，有超过70万款应用因违反相关规定从Google Play上下架，Android用户在Google Play 上下载到潜在恶意应用的几率是0.02%，该比率较2016年下降0.02%。而根据腾讯手机管家数据显示，2018年上半年Android平台新增恶意样本468.70万，相比2017年上半年（899万）下降47.8%，扭转了2015年以来的迅猛增长势头。

2. 更多的高端的移动端恶意软件

相较与Android恶意应用总体数量呈下降趋势，高端的、复杂移动恶意软件的攻击却有上升趋势。近年来，安全研究人员和分析团队跟踪了100多个APT组织及其活动，这些组织发起的攻击活动异常复杂，而且拥有丰富的武器资源，包括0day漏洞，fileless攻击工具等，攻击者还会结合传统的黑客攻击动用更复杂的人力资源来完成数据的窃取任务。2016年8月Lookout发表了他们对一个复杂的移动间谍软件Pegasus的研究报告，这款间谍软件与以色列的安全公司NSO Group有关，结合了多个0day漏洞，能够远程绕过现代移动操作系统的安全防御，甚至能够攻破一向以安全著称的iOS系统。2017年4月，谷歌公布了其对Pegasus间谍软件的安卓版Chrysaor的分析报告。除了上述两款移动端间谍软件之外，还有许多其他的APT组织都开发了自定义的移动端植入恶意软件。评估认为，在野的移动端恶意软件的总数可能高于目前公布的数量，可以预见的是，在2018年，攻击量会继续增加，将有更多的高级移动端恶意软件被发现。

3. 更多的供应链薄弱环节被利用

在APT攻击活动的研究过程中，经常可以看到，恶意攻击者为了尝试突破某一目标可以花费很长一段时间，即使屡屡失败也会继续变换方式或途径继续尝试突破，直至找到合适的入侵方式或途径。同时，恶意攻击者也更多地将目光投向供应链中最薄弱的一环，如手机OTA升级服务预装后门程序，第三方广告SDK窃取用户隐私等，这类攻击借助“合法软件”的保护，很容易绕开安全产品的检测，进行大范围的传播和攻击。经过腾讯大数据监测发现，近年来，与Android应用供应链相关的安全事件越来越多，恶意软件作者正越来越多地利用用户与软件供应商间的固有信任，通过层出不穷的攻击手法投递恶意载体，造成难以估量的损失。

综上所述，在Android安全领域，过去几年经Google、手机厂商和安全厂商的共同努力，普通的Android恶意软件的迅猛增长趋势得到了遏制，而恶意开发者则将更多的目光转向了Android应用供应链的薄弱环节，以期增强攻击的隐蔽性和绕过安全厂商的围追堵截，扩大攻击的传播范围。本文将列举近年来与Android应用供应链安全的相关事件，分析Android应用供应链面临的安全挑战，并提出相应的防护对策和建议。

二、Android应用供应链相关概念和环节划分

目前关于Android应用供应链还没有明确的概念，我们根据传统的供应链概念将其简单抽象成如下几个环节：

1.开发环节

应用开发涉及到开发环境、开发工具、第三方库等，并且开发实施的具体过程还包括需求分析、设计、实现和测试等。在这一环节中形成最终用户可用的应用产品。

2.分发环节

用户通过应用商店、网络下载、厂商预装、Rom内置等渠道获取到应用的过程。

3.使用环节

用户使用应用的整个生命周期，包括升级、维护等过程。

三、Android应用供应链生态重要安全事件

从最终用户安全感知角度而言，Android端主要的安全威胁仍然是信息泄露、扣费短信、恶意广告、挖矿木马、勒索软件等常见形态。透过现象看本质，正是因为移动生态环节中的一些安全脆弱点，导致了这些威胁的频发和泛滥。前面定义了应用供应链的概念并抽象出了几大相关环节，攻击者针对上述各环节进行攻击，都有可能影响到最终的应用产品和整个使用场景的安全。

下面，本文将通过相关的安全事件来分析从开发工具、第三方库、分发渠道、应用使用过程等应用供应链相关环节引入的安全风险。

3.1 开发工具相关安全调研

针对开发工具进行攻击、影响最为广泛的莫过于2015年的XcodeGhost（Xcode非官方版本恶意代码污染事件），Xcode 是由苹果公司发布的运行在操作系统Mac OS X上的集成开发工具（IDE），是开发OS X 和 iOS 应用程序的最主流工具。攻击者通过向非官方版本的Xcode注入病毒Xcode Ghost，它的初始传播途径主要是通过非官方下载的 Xcode 传播，通过 CoreService 库文件进行感染。当应用开发者使用带毒的Xcode工作时，编译出的App都将被注入病毒代码，从而产生众多携带病毒的APP。

在Android应用开发方面，由于Android系统的开放性和官方开发工具获取的便捷性，Android平台上尚未发生影响重大的开发工具污染事件。但是当前一些厂商为了进一步简化应用开发者的工作，对Android开发环境进行了进一步的封装，比如App Inventor支持拖拽式开发，PhoneGap等平台支持直接使用html开发应用等，这些开发平台通常为了保证功能的实现，申请大量与用户隐私相关的权限，导致应用存在隐私泄漏的安全风险。另一方面，手机编程工具AIDE和国内支持中文开发的易语言开发工具也进一步降低了恶意开发者的准入门槛，大量使用此类工具开发的恶意应用流入市场，对用户造成安全风险。

3.2 第三方sdk安全事件

 Android应用的开发涉及到许多第三方SDK，包括支付、统计、广告、社交、推送、地图类等多种类型。根据对应用市场上各类型应用TOP 100使用的第三方SDK情况进行分析，发现各类SDK在应用中的集成比例从高到低依次为统计分析类、广告类、社交类、支付类、位置类、推送类。

而各种类型的APP在第三方SDK使用数量方面，金融借贷类平均使用的SDK数量最多，达到21.5，紧随其后是新闻类APP，平均数量为21.2；往后是购物类、社交类、银行类和游戏类，平均数量都超过15个；再后面的则是出行类、办公类和安全工具类，平均使用的SDK数量相对较少，分别为11.4、9.7和6.7。

从统计得到的数据可以看到，Android应用在开发时都集成使用了数目众多的第三方SDK，尤其是金融借贷类、购物类、银行类等涉及用户身份信息和财产安全的应用，使用的第三方SDK数量普遍在15个以上，最多的甚至达到30多个。而这些应用集成的第三方SDK中，不仅包含大厂商提供的SDK，而且还包含很多开源社区提供的SDK，这些SDK的安全性都没有得到很好的验证，一旦发生安全问题，将直接危害用户的隐私和财产安全，造成严重的后果。

Android平台数目庞大第三方SDK在加速APP应用产品成型、节省开发成本的同时，其相关安全问题也不容小视。总结近几年Android平台发生第三方SDK安全事件，其安全问题主要发生在以下几个方面：

首先，第三方SDK的开发者的安全能力水平参差不齐，且众多第三方SDK的开发者侧重于功能的实现，在安全方面的投入不足，导致第三方SDK中可能存在着这样或那样的安全漏洞。近两年被爆出的有安全漏洞的第三方SDK主要有FFmpeg漏洞、友盟SDK、zipxx等，由于其被广泛集成到大量的APP中，漏洞的影响范围非常大。

FFmpeg漏洞

友盟SDK未导出组件暴露漏洞

ZipperDown漏洞

其次，部分SDK开发者出于某种目的，在其开发的SDK中预留了后门用于收集用户信息和执行越权操作。相关安全事件：

百度SDK Wormhole事件

Igexin SDK窃取用户隐私

再次，部分恶意开发者渗入了SDK开发环节，以提供第三方服务的方式吸引其他APP应用开发者来集成他们的SDK。借助这些合法应用，恶意的SDK可以有效地躲避大部分应用市场和安全厂商的检测，影响大量用户的安全。

“Ya Ya Yun”恶意SDK

“寄生推”恶意SDK

3.3 应用分发渠道安全事件

Android应用分发渠道在供应链中占据着十分重要的位置，也是安全问题频发的环节。Android应用分发渠道众多，应用市场、厂商预装、破解网站、ROM内置等都是用户获取应用的常见方式。不仅第三方站点下载、破解应用等灰色供应链中获取的软件极易被植入恶意代码，就连某些正规的应用市场，由于审核不严等因素也被攻击者植入过含有恶意代码的“正规”软件。

WireX Android Botnet

Pujia8 破解网站携带木马

除了用户直接获取应用的渠道存在的安全威胁外，其他提供第三方服务的厂商如OTA升级、安全加固等也可能在服务中预留后门程序，威胁用于的隐私和设备安全。

广升被爆向Android设备预装后门

OTA厂商锐嘉科在Android设备中植入rootkit

某加固服务被爆出夹带广告

3.4 使用环节的安全问题

用户在使用应用的过程中，也可能面临应用升级更新的情况，2017年12月，Android平台爆出“核弹级”Janus漏洞，能在不影响应用签名的情况下，修改应用代码，导致应用的升级安装可能被恶意篡改。同样，随着越来越多的应用采用热补丁的方式更新应用代码，恶意开发者也趁虚而入，在应用更新方式上做手脚，下发恶意代码，威胁用户安全。

Janus签名漏洞

儿童游戏系列应用

四、供应链安全的发展趋势和带来的新挑战

Android供应链安全事件时序图

分析我们整理的关于Android应用供应链的重要安全事件的时序图可以发现，针对供应链攻击的安全事件在影响面、严重程度上都绝不低于传统的恶意应用本身和针对操作系统的漏洞攻击，针对Android应用供应链的攻击的呈现出以下趋势：

1、针对供应链下游（分发环节）攻击的安全事件占据了供应链攻击的大头，受影响用户数多在百万级别，且层出不穷。类似于XcodeGhost这类污染开发工具针对软件供应链上游（开发环境）进行攻击的安全事件较少，但攻击一旦成功，却可能影响上亿用户。

2、第三方SDK安全事件和厂商预留后门也是Android供应链中频发的安全事件，这类攻击大多采用了白签名绕过查杀体系的机制，其行为也介于黑白之间，从影响用户数来说远超一般的漏洞利用类攻击。

3、从攻击的隐蔽性来讲，基于供应链各环节的攻击较传统的恶意应用来说，隐蔽性更强，潜伏周期更久，攻击的发现和清理也都比较复杂。

4、针对供应链各环节被揭露出来的攻击在近几年都呈上升趋势，在趋于更加复杂化的互联网环境下，软件供应链所暴露给攻击者的攻击面越来越多，并且越来越多的攻击者也发现针对供应链的攻击相对针对应用本身或系统的漏洞攻击可能更加容易，成本更低。

针对供应链的攻击事件增多，攻击的深度和广度的延伸也给移动安全厂商带来了更大的挑战。无论是基于特征码查杀、启发式杀毒这类以静态特征对抗静态代码的第一代安全技术，还是以云查和机器学习对抗样本变种、使用白名单和“非白即黑”的限制策略等主动防御手段为主的第二代安全技术，在面对更具有针对性、隐蔽性的攻击时，都显得捉襟见肘。在这种新的攻击环境下，我们极需一种新时代的安全体系来保护组织和用户的安全。

五、打造Android供应链安全生态

针对软件供应链攻击，无论是免费应用还是付费应用，在供应链的各个环节都可能被攻击者利用，因此，需要对供应链全面设防，打造Android应用供应链的安全生态。在应对应用供应链攻击的整个场景中，需要手机厂商、应用开发者、应用市场、安全厂商、最终用户等各主体积极参与、通力合作。

手机厂商

受到Android系统的诸多特性的影响，系统版本的碎片化问题十分严重。各大手机厂商对现存设备安全漏洞的修复和更新安全补丁的响应时间有很大的区别。

1、关注Google关于Android系统的安全通告，及时对系统已知的安全漏洞进行修复；

2、关注自身维护机型的安全动态，如被揭露出存在严重的安全问题，通过配置或加入其他安全性控制作为缓解措施，必要时对系统进行相应的安全升级；

3、遵守相关安全法规，严禁开发人员在手机系统中留下调试后门之类的安全风险，防止被恶意利用，保证可信安全的手机系统环境。

应用开发商/者

 培养开发人员的安全意识，在开发过程的各个环节建立检查点，把安全性的评估作为一个必要评审项。开发环节严格遵守开发规范，防止类似调试后门等安全威胁的产生。开发完成的应用发布前交给独立的内部或外部测评组织进行安全性评估，及时解决所发现的问题。

通过正规渠道发布应用，对应用签名证书做好保密措施，规范应用发布流程，防止应用签名证书泄露导致应用被篡改。软件升级更新时,要校验下载回来的升级包，保证不运行被劫持的升级包。

应用市场

由于Android系统的开发性和一些特殊的原因，各大手机厂商的应用市场、应用宝和众多第三方应用市场是国内应用分发的主要渠道。应用市场在Android应用供应链生态在处于十分关键的位置，也是安全问题频发的环节。针对应用市场，我们给出了以下建议：

1、规范应用审核和发布流程，各环节严格把控，禁止具有安全风险的应用进入应用市场；

2、完善的应用开发商/者的管理规范，实施有效的奖惩措施，打击恶意开发者，防止恶意开发者浑水摸鱼；

3、提升自身恶意应用检测能力或使用成熟的安全厂商提供的检测服务，预防恶意应用进入应用市场。

安全厂商

长期以来安全厂商大多以应用安全和操作系统本身的漏洞为中心提供产品和服务，针对供应链环节的安全问题似乎并没有投入足够的关注。通过上述对应用供应链各环节的重大安全事件分析可以看到，应用开发、交付、使用等环节都存在巨大的安全威胁，其导致的危害并不低于安全漏洞所导致的情况，因此仅关注软件及操作系统本身的安全威胁是远远不够的。所以，安全厂商需要从完整的软件供应链角度形成全景的安全视野，才能解决更多纵深的安全风险。安全厂商可以加强如下几点：

1.提升发现安全问题的能力，不仅限于通常意义恶意软件和系统上的安全漏洞，而是要关注应用供应链的各个环节，针对应用在终端上的行为，而非样本本身进行防御；

2.提供创新型的产品和服务，为用户实现全面细致的态势感知，立足于安全威胁本身，链接威胁背后的组织、目的和技术手段，进行持续监控，发现可能的未知攻击，并帮助用户完成安全事件的快速检测和响应。

为应对未来严峻的安全挑战，腾讯安全立足终端安全，推出自研AI反病毒引擎——腾讯TRP引擎，TRP引擎通过对系统层的敏感行为进行监控，配合能力成熟的AI技术对设备上各类应用的行为进行深度学习，能有效识别恶意应用的风险行为，并实时阻断恶意行为，为用户提供更高智能的实时终端安全防护。

同时针对恶意软件开发者和黑产从业人员，腾讯反诈骗实验室基于海量的样本APK数据、URL数据和手机号码黑库建立了神羊情报系统，可以根据恶意软件的恶意行为、传播URL和样本信息进行聚类分析，溯源追踪恶意攻击的攻击链条、使用的技术手段、背后的开发团队/者，提供详细的威胁情报，予以精确打击，保护厂商和广大用户免受恶意软件侵害。

最终用户

最终用户身处供应链的最末端，作为应用的使用者，也是恶意应用的直接危害对象，我们给出了以下建议：

1、尽可能使用正版和官方应用市场提供的APP应用；

2、不要安装非可信渠道的应用和点击可疑的URL；

3、移动设备及时进行安全更新；

4、安装手机管家等安全软件，实时进行保护。

参考链接：

https://hackerone.com/reports/226756

http://www.freebuf.com/column/142775.html

http://www.freebuf.com/articles/system/156332.html

https://zipperdown.org/

http://www.freebuf.com/vuls/83789.htmlhttps://www.secpulse.com/archives/40062.html

https://blog.lookout.com/igexin-malicious-sdk

https://news.drweb.com/show/?i=11685&lng=en&c=14

http://www.freebuf.com/articles/terminal/168984.html

https://blog.cloudflare.com/the-wirex-botnet/?utm_content=buffer9e1c5&utm_medium=social&utm_source=twitter.com&utm_campaign=buffer

http://www.freebuf.com/articles/terminal/145955.html

http://www.freebuf.com/articles/network/154029.html

https://www.bleepingcomputer.com/news/security/secret-backdoor-in-some-low-priced-android-phones-sent-data-to-a-server-in-china/

https://www.bleepingcomputer.com/news/security/chinese-backdoor-still-active-on-many-android-devices/

http://www.freebuf.com/news/120639.html

http://www.dgtle.com/article-17069-1.html

http://www.freebuf.com/articles/paper/158133.html

http://www.freebuf.com/articles/terminal/173104.html

*本文作者：腾讯手机管家，转载请注明来自FreeBuf.COM