软件下载捆绑的“全家桶”，你中招了吗？

相信不少用户都有类似的经历
本来只安装一个软件，但安装完却发现，原本整洁的桌面突然被广告弹窗霸屏，在随后的使用中，电脑越来越“卡”，开个扫雷都需要两分钟……种种怪相的背后存在着一条完整的灰色利益链条。

在过去十年间，软件用户的获取本质是互联网人口红利的摘取。随着低垂果实所剩无几，各个软件厂商开始恐慌：用户都去哪儿了？软件厂商的用户需求，使得软件推广渠道受到追捧。通过对国内某类广告软件家族万余个软件的分析，绿盟科技伏影实验室总结了其推广的利益链条以及用户面临的安全风险。

01
全家桶：利欲熏心
出于对利益的追求，推广渠道开始定制自身的推广下载器模板，实现捆绑安装以提高推广效率。由这些下载器模版生成，“安装一个，留下一窝”的下载器，即是受害者口口相传的“全家桶”。与木马下载器相似，这类推广渠道定制的下载器具备统一的流量与行为特征，从而形成了事实上的“推广家族”。

渠道会将下载器伪装为视频播放器等常用软件，并使用相应的名称作为标题，试图“优化”搜索引擎的搜索结果，从而欺骗警惕性低的用户。当用户运行下载器时，后者会从多个网络地址下载大量安装包进行捆绑安装。

与正常的安装包相比，这种安装包的文件名多出了渠道推广信息。当该软件安装完成并达成一定驻留条件后，会将其文件名中的推广信息发送至相关服务器，计入推广渠道的工作量并据此实现收益。安装包文件名中的推广信息如下图所示。

图1 普通安装包和带推广ID的安装包

根据公开的推广价格，单次安装的收益约为0.37元，若成功发生了20次下载安装，意味这次推广带来的收益约为7.4元。

02
羊毛出自羊身上
 图2 被推广软件种类占比
如上图所示，被推广软件中，输入法、压缩软件等“装机必备”软件占据了主导地位，而游戏平台、浏览器与视频/直播软件则瓜分了剩余份额。浏览器作为用户访问互联网资源的入口，其变现能力不言而喻。视频/直播客户端的存在则说明，近年来网络视频正版化，导致花费巨资收购版权的各大视频公司急需用户为之买单，而直播的兴起同样需要大量用户捧场。另一方面，看似人畜无害的图片浏览器和压缩工具等“装机必备”软件并不是活雷锋，其依托用户的变现能力毫不逊色于前两者。

广告弹窗是以上被推广软件获利的重要渠道之一，其在被推广软件中的分布如下图所示：

图3 各类弹窗占比
每安装3次视频/直播类客户端软件，在其释放的可执行文件中，大约有一个会被判定为具备弹窗功能，比率达到0.3。对于所谓的装机必备软件，这一比率则高达1.6（64%的装机软件贡献了81%的弹窗广告）。这说明，广告弹窗是这些装机软件的主要收入来源，而拥有丰富变现渠道的直播软件则不屑于这类小动作。这些广告弹窗多以“头条”和“资讯”的名义强制弹出，为诱骗用户点击，包含了大量低俗内容。

广告弹窗的获利方式以CPM（Cost Per Mille，展示收费）为主，以CPC（Cost Per Click，点击收费）为辅。以CPM为例，相关广告平台会针对广告显示位置和显示时长等维度展示对应价格，如下图所示：
图4 广告业务购买
这些广告弹窗本质上其实是阉割版的浏览器。多个安装包安装后同时释放广告弹窗，形成一波系统资源占用高峰，导致用户主机卡顿。即使弹窗被手动关闭，依然通过各种永驻手段持续消耗用户的网络与硬件资源。从用户角度来看，这些弹窗无时无刻不在消耗网络与硬件资源，与感染木马如出一辙。

03
白夹黑
推广下载器中出现了以逃避检测为目的的代码动态释放执行（Shellcode），加上被推广软件中出现了以检测用户存活率为目的自启动服务，意味着推广软件与恶意软件原本清晰的分界线逐渐模糊。

更有甚者，推广软件直接成为了恶意软件传播的新途径。在相当长一段时间内，这类软件的流氓行为令人不齿，但尚不违法。然而自2017年末起，陆续有安全公司曝出推广软件开始传播挖矿软件和DDoS木马等恶意程序。在2019年第三季度中，绿盟科技伏影实验室在分析广告软件家族SoftCNApp时发现其开始传播广告木马“Mint”。该木马会接收C&C指令，执行劫持浏览器主页、显示弹窗和下载其他推广软件等行为，并配合各种开机启动等永驻手段，形成广告捆绑型僵尸网络。此种现象的产生正暗合了开篇的观点：软件获得用户的难度增加，黑客获得肉鸡的难度亦随之增加，吃干抹净才不浪费。 
图5 Mint木马与行为

04
小结
2019年，新兴直播与传统视频行业对用户争夺战导致推广软件的生存土壤愈发肥沃。在需求驱动下，推广渠道纷纷定制了自身的推广模版，从而诞生了集成大量安装包的推广家族。相比散兵游勇，以SoftCNApp为代表的推广家族在流量与行为方面更加有规律可循，这为安全厂商提供了检测的依据。结合其下发木马的不良记录来看，这种检测是十分必要的。

点“阅读原文”，下载报告完整版



请点击屏幕右上方“…”
关注绿盟科技公众号
NSFOCUS-weixin
↑↑↑长按二维码，下载绿盟云APP