围剿流氓软件
编者按：本文来自微信公众号盒饭财经（ID：daxiongfan），作者：赵晋杰，编辑：王靖，创业邦经授权转载。
短短半个月内，刘智团队收入暴跌了近五分之一，直接导火索来自华为的一则公告。
6月29日，华为应用市场发布通告称，不再收录新申请上架的清理类、Wi-Fi类应用，并对已在架的清理类、WiFi类应用进行复测排查，原因是这类应用存在违规收集个人信息、自动下载其他软件、频繁弹窗和广告无法关闭等问题。
刘智团队开发的两款相关应用受此政策影响，在7月初被强制下架。根据刘智预测，团队月均收入将从原来的10万元减少至8万元左右，经济来源将更多依靠其他应用分发平台，以及团队另一项业务——网络推广。
在中国互联网发展历程中，地推和网络推广是两股不容忽视的力量，它们共同推动了各类产品用户数的不断增长。
相比循规蹈矩的地推手段，网络推广路子则要野得多。除了常规的官方软件商城、各大应用商店，以及各大App内部的信息流广告渠道，还有一种见不得光的手段，即通过网页劫持或强制弹窗广告的形式，将产品信息推送到用户面前。
刘智团队正是这条灰色产业链上的一环。相比眼下增长趋缓的互联网商业环境，刘智格外怀念BAT大战的时代：从O2O、外卖大战到共享单车、短视频竞争，以及最近的社区团购，“每一次风口到来，（对我们来说）都是一次掘金的机会”。
这些弹窗广告往往没有任何触发条件，甚至手机桌面处于静止状态，也会有广告弹出。
更可气的是，部分打着清理类的恶意应用还擅长通过弹广告等手段营造出手机卡顿的虚假效果，诱导对手机操作不熟练的用户，尤其是老年用户，点击这些伪装成按钮的广告应用链接，最终不仅没能实现清理卡顿的初衷，手机反而下载安装了更多的恶意应用。
杀毒软件公司卡巴斯基亚太区高级安全研究员金烨告诉盒饭财经，“只要一次误触就能安装”“从一开始就有诱导安装行为”的软件，都可以归属于流氓软件之列。这些流氓软件中的一大部分，都是打着所谓清理软件的旗号诱导用户下载，而且这类程序往往还有一个共性，即找不到有效的实体开发公司，甚至给出的一些开发者联系方式也是假的。
对刘智来说，更大的麻烦正在来临。华为之后，vivo、小米分别在7月中下旬发布公告，表示将开展“App侵害用户权益专项整治行动”，重点同样放在了清理类、Wi-Fi类产品的隐私合规问题整顿上。
据盒饭财经从小米内部人士处了解，小米也已停止应用商店收录清理类、Wi-Fi类产品，并将对在架产品进行高频回测和用户反馈复审，内部称“发现问题即刻下架”。
如刘智一样的灰色产业链从业者，正在与手机厂商迎来新一轮的“猫鼠游戏”。
国产手机厂商不得不着急起来了。
今年上半年，国内市场手机总体出货量累计1.36亿部，同比下降21.7%，其中国产品牌手机出货量同比下降更是达到25.9%。
vivo执行副总裁、首席运营官胡柏山在接受媒体采访时指出，“中国手机市场彻底进入了存量市场”，换机周期正变得越来越长，从早期的16-18个月，延长到2022年的36个月。
市场调研机构Canalys公布的二季度报告显示，全球智能手机出货量因经济不景气同比下降9%，跌破3亿台，相比三星、苹果的逆势增长，小米、OPPO和vivo均遭遇两位数跌幅。
相比销量同比下滑，国产手机厂商还面临着更大的风险——库存积压。荣耀终端CEO赵明近期对外表示，（芯片）从供应短缺到变成库存积压其实只有一两个月的反应时间。
包括天风证券分析师郭明錤、中芯国际CEO赵海军在内的供应链大佬，均对外放出了安卓手机厂商2022年大幅“砍单”，以削减订单的消息。就连小米总裁王翔都不得不在一季度财报电话会上承认，“我们面临的是一个不断下滑的市场。”
Canalys研究分析师RunarBjørhovde更是指出，经济动荡、需求低迷以及库存积压正使得厂商迅速调整2022年下半年的产品组合。“消费者的预算紧缩，一部分的需求将转向低端产品，而供过于求的中端产品将是厂商着重调整产品发布的价位区间。”
在Omdia行业分析师于亮看来，低线城市、老年群体无疑将成为消化国内低端手机的两大重点方向。
面对一个增长下滑的市场，于亮认为，国产手机厂商提振销量的途径无外乎两个：一是硬件层面上堆料，提高配置，增强性价比；二是软件层面上优化系统，打造更流畅的使用体验。
在硬件配置日趋同质化的阶段，优化用户体验就成了手机厂商眼下的重要选择之一。这或许也是华为、小米、vivo等手机厂商纷纷打击流氓软件的一大背后原因。
熟悉应用商店审核工作的国内头部手机厂商工程师李振告诉盒饭财经，这类流氓软件往往会带来多重伤害，最直接的伤害是影响用户的正常使用。因为此类应用往往会在非恰当场景，随意弹出弹窗，阻碍用户正常使用手机或应用。“比如在用户锁屏、桌面上粗暴地覆盖满屏的广告，又或是伪造一个虚假的桌面快捷方式（类似创建另一个“微信”），诱导用户点击等。”
同时这类流氓软件还会带来一些隐形的隐私风险，如无节制的“超范围、超频次”获取用户隐私信息，包括身份证、银行卡卡号等敏感用户信息，从而给用户的个人信息安全带来巨大的风险。
对手机厂商来说，则会因为此类流氓软件所导致的频繁自启动、恶意保活、频繁读写存储等行为，造成手机卡顿、发热等基础体验问题，从而引发大量用户投诉，并损伤品牌在用户群中的传播口碑。
硬件趋同之下，对于国产手机厂商来说，谁能在清除流氓软件上做得更好，谁就有可能率先吃下低端市场的最大蛋糕。
与流氓软件之间的“猫鼠游戏”，自从智能手机面世，双方的博弈就从未停止。
从2010年开始，以小米、魅族等为代表的国产安卓手机厂商，开始基于安卓开放源代码AOSP定制自研系统，自此终结了山寨手机时代预装软件、盗版软件横行的模式。但灰产从业者通过更隐蔽的方式，仍在用各种手段攻陷手机用户的桌面。
尽管各大手机厂商也陆续推出了自家的“纯净模式”，如将App一切权限索取举动公之于众，甚至会禁止安装高危险性产品，加上工信部2019年8月就曾发文，要求开展App侵害用户权益专项整治工作，但制造“弹窗癌”的流氓软件却屡禁不止。
据李振介绍，在上架应用商店之前，一款应用需要经过的审核程序包括，通过自动化测试+人工审核，进行安全扫描、稳定性及兼容性测试，保证隐私合规及应用质量。
为了规避审核，第三方App可能通过热更新能力，按不同地域（如三四线城市）、机型、人群云控调整策略等方式进行审核对抗，“在上架审核阶段难以完全检测到恶意弹窗等违规行为，还需辅助上架后的持续回扫巡查和收集外部反馈等方式。”李振说道。
除了寻找漏洞绕开官方应用市场的审核机制，流氓软件难以清除的深层原因则在于安卓生态的开放性。
国内Wi-Fi类软件开发商员工林朝生表示，基于安卓本身的开放性，正规公司开发的软件很容易被人拆包之后再重新打包上架，也就是俗称的套皮应用，即名称图标一模一样，实际下载运行后主体功能也基本一样，但其实一些流氓插件已经通过捆绑安装被植入手机了。
李振进一步解释道，安卓生态的开放性会让部分劣质的App，在技术上通过监听系统广播等方式提升自身保活能力，或者通过多款集成了恶意广告SDK的App进行链式调用，相互拉活，使其能一直在后台运行，从而做到随时恶意弹出广告弹窗。
相比苹果iOS系统，应用分发渠道多且乱也是造成安卓手机难以根治流氓软件的一大原因。
根据金烨总结，当前流氓软件入侵渠道主要包括几种，简单的就是通过刷短视频诱导下载，以及借助短信、二维码、聊天工具等推送。这些都是用户能够感知到的，且比较老套的手法。
对黑客来说，另一种更高效的感染方式是，向官方应用市场提交App上架申请时，先在编译过程中把恶意代码剔除掉，等到通过平台的一系列合法认证上架后，再通过网络动态升级的方式补上恶意弹窗程序，“这些才是安全厂商眼中流氓软件最难清除的一些障眼法。”金烨表示，因为通过此类手法，流氓软件不仅成功避过了审核，还拥有了来自官方平台的背书和更大的潜在受众群。
造成流氓软件难清除的另一层因素则来自用户，因为这类软件往往会诱导用户开启高权限，尤其是针对老人和儿童这类辨别能力差的群体，如引导用户授权悬浮窗、锁屏显示、自启动等“高危”权限，从而进行恶意弹窗。从安全厂商角度来说，金烨认为，这种启动高权限的流氓软件在日常查杀中固化得会比较深。
归根到底，流氓软件清除难，不是难在查杀环节，而是安卓手机感染流氓软件的途径太多，“防不胜防，属于反复感染。”金烨说道。
从目前的现实情况来看，想要彻底清除流氓软件，除了国家出台相关政策约束监管之外，还需要手机厂商和杀毒厂商之间更密切的合作，提升对弹窗癌类似插件的检测拦截能力。
此外，手机厂商也需要强化适老交互模式的开发，只有字体变大、图标变大等功能显然远远不够。
吸引刘智这些人明知违规还毅然投身灰产的核心动力，少不了可观的经济回报。
李振表示，非官方来源的App常常通过弹出弹窗，引导用户下载广告App获利，行业中已经衍生出专门提供恶意高频弹窗广告SDK的公司，形成了一条完善的灰色产业链。
开发流氓软件的这类人群，订单一般分为两种：一种是被动订单，即接收到外部刷单需求，从中赚取流量佣金；另一种则是主动订单，即碰瓷那些下载量大、好赚钱的软件。
林朝生介绍称，这类模式下三五个人就能迅速开发一个软件，通过前文讲述的各种手段将软件上架各大渠道。为了截获更多流量，他们甚至会主动花钱买信息流广告，如投出5000元广告，最后实现收益5500元，净赚500元。模型一旦跑通，这类软件就开始通过后台不停弹广告，利用曝光点击率，快速变现。
纵观当前的主要流氓软件，金烨表示，弹窗广告是他们的最核心赚钱模式。这一模式其实并非移动互联网时代的发明。相比PC时代，弹窗癌算得上是比较温和的流氓插件，PC时代“我们对这一类东西的定义叫广告点击木马，现在就是流氓软件。”
对于任何一个恶意程序来说，除去破坏性的一面，剩下的都是对盈利模式的追求。
国内最早通过流氓插件赚钱的当属世纪之初的QQ珊瑚虫事件。2001年，北京理工大学计算中心老师陈寿福推出珊瑚虫版QQ，这是一款基于腾讯QQ的第三方辅助软件，除了具有 QQ基本功能外，集成了珊瑚虫增强包，可以显示好友IP地址以及地理位置，且能屏蔽腾讯广告，其盈利模式就是在外挂中夹杂第三方软件，赚取流量佣金。
到2006年，腾讯公司以侵犯著作权为由起诉珊瑚虫版QQ并胜诉，经过双方不断上诉，到2008年，据搜狐IT报道，陈寿福被判处有期徒刑三年，追缴117万元，并处罚金120万元，总共涉案金额达237万元。
将兴起于PC时代的弹窗广告这一模式，在移动互联网时代做大做强的则是猎豹。2014年赴美上市时，界面新闻报道称，猎豹移动向资本市场讲述的就是一个360中国模式的海外版故事，即通过工具应用获得流量入口，再靠移动应用的分发和游戏联运、广告赚钱。
为了扩大收入，猎豹移动当时采取了如诱导下载、让用户误触发下载等流氓打法。最终猎豹也因此食下恶果：2018年11月，第三方监测公司Kochava指控猎豹移动有7款应用存在广告欺诈、窃取收益等行为，随后，FaceBook终止了和猎豹移动的合作；2020年2月，猎豹移动45款应用和游戏被谷歌判定存在破坏性流量和无效流量行为，遭全面下架。
对于像刘智之类的小团体而言，追逐互联网创业风口成了其最大的赚钱秘诀，如2017年挖矿热盛行之际，他们通过给一些联网硬件植入恶意程序，来劫持用户宽带，用以挖矿或者满足其他程序运行。
据刘智介绍，这行里最赚钱的一种方式是监听手机语音，同样的团队规模，干一个月的收入是他们的三五倍。通过这类恶意App，用户其他App的浏览记录也会被捕捉收集，经过分析之后，其就能有针对性地向用户发送精准弹窗广告。
不过，高回报背后往往伴随着高风险，语音监测因为调动的流量比较大，很容易被安全应用检测，再提醒到用户，一位互联网大厂安全业务专家孙磊表示，随着工信部对APP侵害用户权益行为的日益重视，这类高违规行为正变得越来越来。
令其减少的另一技术因素则是，现在的精准营销已经打通了线上和线下交易记录，再结合个人的网络信息，如用户的cookie，同一账号的访问记录等综合信息来分析，基本就能实现精准推送，孙磊说道。
像比较典型的场景，很多人在没有操作手机的情况下，登陆手机后还是收到了线下聊天中提到的某个商品信息，在孙磊看来，这就是数据共享机制所带来的结果，像日常在线下超市的购物小票、结账单等，只要商户系统联网，这些消费行为都有可能被共享给其他平台。
当被问及是否担心以后相关应用再无法上架华米OV等所有主流安卓手机应用市场后，刘智表现得并不担心，在他看来，随着万物互联时代的到来，越来越多设备能够联网，也就意味着越来越大的风险。
按孙磊的解释，在万物互联时代，即便你的手机不再受流氓软件侵扰，但某一个联网小设备出了问题，依然有可能拖累家庭的整个网络。“外部不法分子可以通过你家里任何一个设备的漏洞，去攻陷你家里的其他设备”。
以他所在的安全部门为例，孙磊称，公司对内网电脑要求非常严格，第二天必须重启才能上网，且隔一个月，必须强制修改密码，还得是复杂密码。原因就在于公司害怕网络里的某一个设备长时间暴露在外出现漏洞隐患，进而波及到整个公司内网。
以此来看，面对越来越智能化的社会，与诸如弹窗癌之类的流氓软件间的斗争，可能已经不只是手机厂商一家的事情了。
（文中刘智、李振、林朝生、孙磊为化名）