迈克菲详解Android.FakeInstaller恶意伪装程序

Android.FakeInstaller 是一个广泛传播的移动恶意软件系列。它曾假冒奥运会赛事成绩应用程序、Skype、Flash Player、Opera 和许多其他流行应用程序。事实上，在移动恶意软件界，FakeInstaller 系列是我们所分析过的最猖獗的恶意软件之一。迈克菲所处理过的针对 Android 系统的恶意软件样本中，超过 60%是来自 FakeInstaller系列。随着其增加了服务器端多态、混淆、反逆向以及频繁重编译等伎俩用来逃避检测，这一威胁已逐渐加大。

Android.FakeInstaller 会向收费服务的电话号码发送消息，无需用户同意，便可将自身伪装成合法的安装程序。这一恶意软件有大量变体，通过数以百计的网站和假冒市场进行传播，且覆盖面逐日扩大。

Android.FakeInstaller 图标

在用户搜索流行应用程序时，如果通过搜索引擎或社交网络不慎访问了一个假冒的官方站点或假冒市场，就会遇到貌似合法的应用程序，包含截屏、用户评价、说明、视频等，以引诱受害者下载恶意软件。当用户在执行 Android.FakeInstaller 时，首先会显示一个服务协议，告诉用户将会发送一条或多条短信，这一界面足以迷惑很多人，当用户开始点击"同意"或"下一步"按钮，系统便开始强制性的给用户发送收费短信。我们还发现一些版本在受害者点击按钮之前，便已经发送了短信。

Android.FakeInstaller 有不同的版本，它会模拟合法应用程序的安装或下载界面

在用户点击按钮后，FakeInstaller 有时会显示一个虚假的下载进度条。最后，对话框关闭，受害者被重定向到另一个假冒市场。用户也不可能得到想要的应用程序。