谷歌帮苹果解围 解读Android史上最强悍病毒

　　不久以后，一位Nexus 5用户发现这款应用有问题，打算卸载该应用，但发现无论如何都卸载不了。国外Check Point软件技术公司于是开始对Brain Test应用发起研究，发现其恶意行为非常霸道。Brain Test在8月24日从Google Play Store下架。但很稀罕的是，9月10日，这款应用再度上架，直到15日被再度查出问题才又一次下架。这两次Brain Test在Google Play Store的折腾，前后加起来可能影响到了多达100万Android用户，这个数量级在Android的历史上也并不算多见。

　　话说Google Bouncer做审核的时候难道在睡觉吗？而且居然还让Brain Test两度上架。这是个有些类似于最近大众汽车柴油引擎排放作弊的故事：首先得谈谈啥是Google Bouncer——早在2012年，谷歌发布审核服务Bouncer，它能够对开发者的App进行扫描，甚至还能在谷歌服务器上模拟App活动，检查 App是否在用户不知情的情况下收集个人信息；Android 4.2时代还进行了一次强化。

　　不过Brain Test的作者显然更聪明，他为这款恶意程序的运行添加了一个白名单，即当它检测到自己在某些特定IP，或者包含google、android这样的域名 下运行的时候，就不会激发病毒特性，而是老老实实地作为智力测验游戏存在。也就是说在谷歌Bouncer服务器上表现得很乖，但在用户下载使用的时候才表 现出本性（是不是跟大众最近的这个行为很像啊？）。

　　那么为啥在发现它有问题下架以后，9月份又上架了一次呢？据说是使用一款百度工具来混淆代码，让Google Bouncer无法确定它就是之前那个Brain Test。至于是啥工具，Check Point在分析报告中并没有说。但这的确让它再度成功上架。这个故事告诉我们，一切审核手段都是不靠谱的，如此轻易就能欺骗Google Bouncer（和App Store），以后我们究竟还能不能相信官方商店呢？

Android病毒特性全面与Windows病毒接轨

　　我们知道，由于Windows系统安装在超过90%的个人电脑上，所以其病毒数量和种类真是让人眼花缭乱，尤其在Windows 98和XP时期，甚有突破天际之势。Android系统随着设备数量的急剧上升，病毒和恶意程序也一步步渗透，不过早期的病毒普遍还比较弱智，很大一部分 通过直接卸载或查杀就能搞定。但Brain Test的情况就没这么简单了。

　　在将Brain Test安装到手机以后，不管用户是否运行，该应用都会开始执行“时间炸弹（time bomb）”，20秒以后首次运行，并且每2小时运行一次。8小时以后，将设备数据上传至病毒作者服务器。病毒会检查当前所用Android设备是否已经 root，如果还没有root，则从服务器上下载一组工具，一个个试，直到root为止。

　　所谓的root就是让系统最高权限下放给用户（或应用），和iOS的越狱是同一个道理。只有在越狱以后，病毒才能真正展开手脚去对系统服务和文件做 修改。在root完成以后，该应用会从服务器下载一个名叫malicious.apk的安装文件（名字还真是露骨啊），并默默地安装，作为系统应用存在 （运行起来叫com.android.music.helper，隐蔽性很好啊）。生成的两个进程（mcpef.apk与brother.apk），两者 相互守望，两者都会监视对方是否被删除，只要任意一个被删除，其中一个就会即刻重新生成一个。而且他们会随手机启动而启动。