Satori 威胁情报团队的研究人员，刚刚曝光了谷歌 Play 商店上发现的 75 款、以及苹果 App Store 上的 10 款广告欺诈应用程序，并且它们的总计安装量达到了 1300 万。除了向受害移动设备用户猛推广告（可见或隐匿），开发者还通过冒充合法应用程序与演示而牟利。尽管通常情况下不被视作严重的威胁，但幕后运营者显然可将之用于更危险的活动目的。

（来自：Human Security）

作为新一轮“Scylla”广告欺诈活动的一部分，Satori 已经向谷歌和苹果通报了这一情况。

分析师认为，在 2019 年 8 月的“Poseidon”、以及 2020 年底达到顶峰的“Charybdis”之后，其正在掀起第三波活动。

带有 ID 欺骗指令的命令与控制（C2）服务器响应

目前谷歌和苹果已经从 Android 和 iOS 官方应用商店中删除了相关广告软件。对于 Android 移动设备用户来说，除非你已禁用 Play Protect 安全选项，否则系统是可以在更新后自动执行扫描的。

至于 iOS，我们尚不清楚苹果将如何剔除已安装在客户端设备上的广告软件。实在不放心的话，你可以参考 Human Security 分享的以下嫌疑 App 列表。

在网络视图中被揪出的广告 UI 元素

iOS 应用列表：

● Loot the Castle —— com.loot.rcastle.fight.battle (id1602634568)

● Run Bridge —— com.run.bridge.race (id1584737005)

● Shinning Gun —— com.shinning.gun.ios (id1588037078)

● Racing Legend 3D —— com.racing.legend.like (id1589579456)

● Rope Runner —— com.rope.runner.family (id1614987707)

● Wood Sculptor —— com.wood.sculptor.cutter (id1603211466)

● Fire-Wall —— com.fire.wall.poptit (id1540542924)

● Ninja Critical Hit —— wger.ninjacriticalhit.ios (id1514055403)

● Tony Runs —— com.TonyRuns.game

在隐形广告上生成虚假点击的代码示例

Android 应用列表（超百万次下载量）：

● Super Hero-Save the world! —— com.asuper.man.playmilk

● Spot 10 Differences —— com.different.ten.spotgames

● Find 5 Differences —— com.find.five.subtle.differences.spot.new

● Dinosaur Legend —— com.huluwagames.dinosaur.legend.play

● One Line Drawing —— com.one.line.drawing.stroke.yuxi

● Shoot Master —— com.shooter.master.bullet.puzzle.huahong

● Talent Trap —— NEW —— com.talent.trap.stop.all

JobScheduler 代码示例

Bleeping Computer 指出，Scylla 类广告软件因“挂羊头，卖狗肉”欺骗用户下载而臭名昭著。

其中 29 款模仿了多达 6000 个基于 CTV 的应用程序，并定期循环改 ID 而逃过欺诈检测。

广告流量的网络日志

在 Android 平台上，广告会被加载在隐藏的 WebView 窗口中。由于一切发生于后台，因而受害者始终无法留意到任何可疑的事情。

此外与“万恶之源”Poseidon 相比，Scylla 还利用了 Allatori Java 混淆器来加花代码，使得针对此类广告软件的检测和逆向工程变得更加困难。

Scylla 应用加载示例

综上所述，Satori 威胁情报研究团队建议 Android / iOS 用户养成定期检查已安装 App 列表的习惯。

不过比揪出那些行为异常（比如导致过快耗电 / 流量消耗）的恶意或不需要的 App 更重要的，还是尽量避免从不受信任的来源下载软件。