手机病毒

手机病毒（英语：mobile phone virus）是影响手机正常使用并且能够自我复制的一组指令或程序代码。^[4]其以智能手机为感染对象，通过发送短信、彩信，电子邮件，浏览网站，下载铃声等方式进行传播，从而导致用户手机死机、关机、SIM卡或芯片损毁、资料被删、向外发送垃圾邮件、拨打电话、订购高额SP（服务提供者）业务、隐私外泄等损失。^[1][5]

手机病毒可分为引导型病毒、文件型病毒、宏病毒、蠕虫病毒与木马病毒，^[1]能通过短信、无线传输、电子邮件、网络下载等多种方式传播，具有传染性、隐蔽性、潜伏性、破坏性、可触发性、体积小、传播速度快及方式多样化等特点。^[6]

从早期的通过短信传播到通过蓝牙传播，手机病毒的攻击性增强并真正具有传染性。^[7]随着智能手机普及与互联网发展，手机病毒的数量不断增长，传播方式更加多样化，对用户造成的危害也极大，^[5][8]如“毒媒”与“手机骷髅”于2011年感染的中国用户手机数量分别超过200万和83万，造成的用户直接经济损失高达千万元以上。^[9]

2000年，“VBS.TimoFonica”病毒出现，被认为是世界上早的手机病毒。该病毒仅是通过西班牙电信公司 “Telefonica”的移动系统向系统内的用户发送辱骂等垃圾短信。因此该病毒最多只能被算作短信炸弹。^[2][5]

此后，全球陆续出现恶意短信攻击手机的报道。据媒体报道，截止2002年8月，美国至少有300万部手机被含有恶意代码的短信息袭击，被袭击后的一般症状是：手机内设置的各种参数会被改变，存储的电话簿有可能被删除。^[10]中国首次发现的手机病毒为2002年的“洪流（Hack．sms＿flood）”病毒，该病毒利用一些手机短信网站的漏洞，使网站自动向被攻击者的手机发送大量短信，用户可能会在短时间内收到上百封甚至更多的短信垃圾。^[5][11]之后，中国又出现了“移动黑客（Hack.mobile.smsdos）”病毒，这种病毒通过带有病毒程序的短信息传播，用户只要查看中毒手机中的短信息，手机就会自动关闭。该阶段的病毒不具传染性，且攻击力小。^[12][10]

2004年6月，“卡波尔（Worm.Symbian.Cabir.a）”病毒出现，它是由世界著名病毒研究组织29A小组编写的概念型病毒，也是全球首个完全在智能手机上运行并感染的蠕虫病毒。该病毒是真正意义上的手机病毒，它会攻击数款采用Symbian手机操作系统的智能手机，并可以通过手机的蓝牙功能进行传染。因为持续的搜索蓝牙设备，从而造成待机时间明显缩短，感染该病毒后蓝牙将不受控制。与手机短信病毒相比，这类病毒开始具备自我传播能力，它们能够通过手机的蓝牙功能自动搜索临近的有蓝牙功能的手机，然后利用蓝牙的漏洞完成对其他手机的感染。由于蓝牙传播方式存在距离与速度限制，病毒编写者占据着蓝牙这个有效的病毒传播手段的同时，也在寻找新的感染途径。^[7][5]

2004年11月，“骷髅（Skuller）”病毒出现，该病毒为木马型病毒，通过提供用户下载手机墙纸、游戏和铃声的网站传播。手机中了骷髅病毒后，骷髅头会代替主页上的小图标和正在运行的应用程序，例如联系人、日历和记事本等，最后智能手机就只能拨打电话及接收来电。^[13][14] 从技术角度上看，这类手机病毒是真正意义上的病毒，有了病毒实体，能够进行自我复制和传播，并能够对手机上的操作系统进行破坏。^[7]2005年3月，全球出现了第一个MMS彩信病毒“Comm Warrior.A”，它会手机上复制数份拷贝，并通过通讯录利用MMS方式将拷贝发送给手机联系人。^[15] 基于彩信的“CommWarrior.A”病毒的出现，预示着手机病毒已经从萌芽期进入了成长期。^[16] 2006年，全球手机用户遭受过手机病毒袭击的人数已高达83%左右。^[17]2007年，手机病毒库中病毒类型已有100种左右。^[18]

随着智能手机的快速普及与移动互联网的深入发展，手机病毒进入快速增长期。病毒数量增长的同时，手机病毒传播渠道也变得更加多元化，逐渐产生WiFi、二维码、微博链接等新的传播途径。黑客们入侵方式的多样化对手机用户的隐私与信息安全造成严重的威胁。^[1][8]并且在移动支付快速发展的背景下，手机支付成为病毒的攻击对象。^[19]2010年9月，ZitMo被检测到，它专门用来盗取由银行发送的短信息中的mTAN代码，具有跨平台传播的能力，因此多个手机系统都被检测到了这种木马，其目的主要是将手机交易码短信息转发给网络罪犯（或者是一台服务器），后者可以利用这些被侵入的银行账户进行非法交易。^[20]2010年中国网络安全状况的调查结果显示，54%被病毒感染的用户手机无法正常使用，50%的用户信息被泄露，47%的用户被恶意扣费。^[9]

2011年3月，在谷歌Android市场中发现“DroidDream”的恶意软件，该病毒通过接管用户设备盗取个人数据，这次DroidDream病毒事件标志着谷歌官方Android Market首次遭到大规模病毒袭击。^[21]2012年5月，NotCompatible被发现，它是第一例Android驱动的恶意软件。该木马分布在含有隐藏的iFrame的页面中，任何访问受感染页面的Android浏览器都会自动下载该恶意软件。^[22]2012年，卡巴斯基的安全软件专家识别出了超过35000个恶意Android程序，在卡巴斯基实验室检测的所有手机恶意软件中， 攻击目标为Android平台的占比达99%。^[23]2013年，中国共监测到手机病毒样本超过70万个，比2012年增长33倍，安卓平台的恶意程序达到99％以上。

2014年上半年，新增手机病毒程序超过367万个。2014年11月，国外安全公司Palo Alto Networks发现了一款跨平台攻击苹果移动设备的“WireLurker”恶意软件，^[24]该病毒能够轻易窃取用户隐私和网购资金信息，截止当月18日已有超过35万人感染。^[25]2015年，猎豹移动安全实验室发布的《2015年上半年移动安全报告》表示全球有6.1亿台次手机中毒，是去年同期的2.77倍，其中，中国受害手机1.49亿台次。^[26]腾讯手机管家移动安全实验室新发现的手机病毒数有1670.37万个，较2014年增长15倍。^[27]

2016年2月，HummingBad出现，它属于“下载攻击应用”，当移动设备访问特定网站时就会受到感染。该病毒会在Android设备上建立一个永久性的rootkit，借助虚假广告和安装额外的欺诈性应用来获利，截止2016年7月全球至少有1000万台设备感染，病毒开发公司每月非法获利达30万美元。^[28]同年，卡巴斯基实验室恶意软件研究人员发现一种主要针对安卓设备的新型木马病毒Triada，该病毒用于攻击移动设备的技术在此前的其他移动恶意软件中从未出现过，能够渗透入运行在移动设备上的所有程序，其设计目的主要是用于金融诈骗，通常是通过劫持金融交易短信来实现。^[29]

2018年上半年手机病毒感染用户超过6000万。^[1]2019年，一个名叫“Agent Smith”的恶意软件出现，该软件伪装成谷歌相关的应用程序，利用Android漏洞，私自在后台下载并替换设备上已经安装的app，这一恶意程序会通过分发恶意广告获取利润，截止2019年7月世界范围内已有约2500万个设备感染该病毒。^[30]2020年上半年，腾讯手机管家共查杀病毒近2.68亿次，拦截恶意网址超过1534.74亿次。^[1] 2021年4月，华为官方应用商城被发现存在携带Joker病毒的恶意软件，并已造成53.8万台设备感染，Joker病毒于2017年就在谷歌应用商城中被检测到，但一直未被根除，并不断产生新的变种。^[31]

智能手机的嵌入式操作系统（JAVA、C++等计算机语言编写）类似于计算机操作系统，会提供一些API函数，供用户来开发自己的应用程序，故为病毒的产生提供了条件。^[5][15]

通常手机病毒不单独出现，而是隐藏在正常的应用程序或文件中。当用户安装并运行了带有病毒的软件、插件、游戏等程序，或下载了带有病毒的铃音、图片等文件时，满足了激活条件，病毒就会被激活，并创建一个新的线程来执行病毒程序。在用户使用正常的程序或文件时，病毒同时也实现了攻击。^[5]

一些手机操作系统的程序设计采用C/S架构，这些系统将请求的资源作为服务器端，将请求作为客户端。客户端主要实现人机交互，服务器端主要管理手机的硬件资源，处于底层。当病毒被激活时，会调用操作系统提供的服务资源来实施破坏。^[5]

通过“无红传送”蓝牙设备进行传播的病毒：这类病毒能在蓝牙可用范围内直接通过蓝牙无线传播到别的手机上，常见的病毒有卡比尔病毒和Lasco.A病毒，它们通过蓝牙无线传播到其它手机上，当用户点击病毒文件后，病毒随即被激活。^[32]

针对移动通讯商的手机病毒：这类病毒通过攻击和控制手机网关，影响手机的正常通讯，^[15]有常见的病毒有“蚊子木马”，该病毒会自动拨号，向所在地为英国的号码发送大量文本信息，结果导致用户的信息费剧增。^[32]

针对手机自身存在的漏洞的病毒：技术限制或研发疏忽会导致某些机型的手机或系统存在一些安全漏洞，如诺基亚3310、3330和6210型手机存在的PDU格式漏洞。黑客可利用这些漏洞，对手机进行攻击。^[33]常见的病毒有“移动黑客”，该病毒通过带有病毒程序的短信传播，只要用户查看带有病毒的短信，手机即刻自动关闭。^[32]

通过短信或彩信进行攻击的病毒：这类病毒通过短信或彩信传播，常见的病毒有“Mobile.SMSDOS”病毒，该病毒利用短信或彩信进行传播，造成手机内部程序出错，从而导致手机不能正常工作。^[32]

引导型病毒是一种在BIOS启动后，系统引导时出现的病毒，会寄生在引导区，在引导系统中时刻监视系统运行，等待机会进行传播和破坏。引导型病毒先于操作系统，依托BIOS中断服务程序。引导型病毒是利用操作系统的引导模块放在某个同定的位置， 并且控制权的转交方式是以物理位置为依据，而不是以操作系统引导区的内容为依据，因而病毒占据该物理位置即可获得控制权，而将真正的引导区内容转移或替换，待病毒程序执行后，再将控制权交给真正的引导区内容，使得这个带病毒的系统看似正常运转，而病毒已隐藏在系统中。 手机感染病毒时会被植入后门程序，黑客可以利用病毒远程控制目标用户手机下载、运行或删除数据文件，同时破坏手机操作系统内核的完整性，发送手机中的敏感信息，导致用户重要信息的泄露。^[18][1]

文件型病毒是主要感染可执行文件的病毒，它通常隐藏在宿主程序中，执行宿主程序时，将会先执行病毒程序再执行宿主程序。它的安装必须借助病毒的载体程序，即要运行病毒的载体程序，才能把文件型病毒引入内存，已感染病毒的文件执行速度会 减慢，甚至无法执行。大多数的文件型病毒都是常驻内存的。 文件型病毒会寄生在用户的手机文件中，通过加密或其他技术隐藏自身，它会修改手机中的源文件，成为带毒文件。手机运行该带毒文件时，病毒会被激活并感染手机实现传播目的。^[18][1]

宏病毒主要是使用某个应用程序自带的宏编程语言编写的病毒，一般寄生在文档或模板中的宏。和计算机一样，智能手机使用了开放的操作系统，所以很容易遭到这种病毒的攻击。宏病毒用户打开含病毒的文档，病毒会被激活感染手机，并永久在Normal模板中驻留，文档自动保存会感染宏病毒。如果用户把含病毒文档发送给其他用户，并且其他用户打开携带病毒的文档，病毒就实现了传播。手机感染宏病 毒，会造成文件存储路径封闭或改变、文件名改变、文件被乱复制以及文件无法正常编辑等后果。^[18][1]

蠕虫病毒通过网络获取手机的部分或全部控制权限进行传播，利用用户手机中系统和程序的安全漏洞进行攻击。它可自动完成复制过程且不需要依附宿主程序，会消耗手机中的系统资源，收发垃圾简讯，使图片与音乐显示和删除异常，影响手机正常运行。^[18][1]

木马病毒指隐藏在正常代码中一段具有特殊功能的恶意代码，一般被植入网页或软件中，当用户启动程序时， 该恶意代码也同时运行，并做一些破坏性动作。手机用户访问含有病毒的网页或下载含有病毒的软件时，木马病毒就会寄生在目标手机中运行。木马病毒会窃取用户输入的敏感信息发送给攻击者，破坏手机中的数据文件，影响用户正常使用。^[18][1]

手机病毒和计算机病毒比较相似，它基本上具备了计算机病毒的大部分特征。比如：传染性、隐蔽性、潜伏性、破坏性、可触发性等特点。除此之外，手机病毒由于其依托设备手机的特殊性，还具有自己特有的一些特点。^[6]

体积较小：手机病毒以手机为传播对象，不同类型的手机所具有的存储空间与手机使用者以及手机制造商有关， 由于这个限制，体积小的病毒程序传播成功的机率更高。因为手机存储空间不够会导致大体积的手机病毒程序不能成功传播感染。由于各方面的限制，手机病毒的体积往往比较小，一般在兆字节以下。^[6]

传播速度较快：手机病毒传播速度要大于计算机病毒。因为手机使用便捷，移动互联网用户的规模庞大，手机用户随处可见，这使得手机病毒可以轻而易举的实现跨距离的传输。^[6]

传播方式多样化：手机是无线网络设备终端，手机病毒就可以利用无线网络平台实现无线传输。短信发送，彩信发送，访问网络，下载软件、铃声，蓝牙、红外线传输都是手机病毒传播的常见方式。^[6]

手机病毒传播形式灵活多变，从早期的短信、彩信，发展为通过蓝牙、网络等传播，增加了用户感染手机病毒的机率，也提高了安全防护难度。^[8]

WAP服务器：手机的WAP功能使手机接入Intermet网，完成一些简单的网络浏览操作功能，其需要专门的WAP服务器来支持。^[33]攻击WAP服务器，会使用户无法正常接收网页信息。这类攻击会导致的安全问题包括无线窃听、漫游漏洞、假冒攻击、完整性侵害、业务抵赖等。^[1]

攻击互联网：当目标用户的手机连接到互联网时，攻击者可以找到手机程序的漏洞并用相应的语言编写攻击整个网络的脚本病毒程序，目标用户的手机网络将产生异常。^[1]

攻击控制网关：手机用户通过网关连接外部互联网。^[33]攻击者可以编写含ARP欺骗病毒的木马对目标进行攻击， 病毒运行时会欺骗安全网关局域网内所有设备需要通过 病毒手机连接互联网，发出大量数据包，导致局域网拥塞，并且用户经常无法连接互联网，同时当用户输入一些敏感信息时，病毒时刻监听并发送给攻击者从而窃取敏感信息。^[1]

攻击手机本身：有些病毒会导致手机内部程序出错，使手机无法提供服务；^[32]将用户的手机锁住以勒索钱财；添加、修改或删除手机中的数据文件实现感染破坏的目的，严重的病毒会使手机系统死机，自动关机，甚至能损坏内部芯片。^[1]

窃取用户信息：大部分手机用户都会将个人信息存储在手机上，如个人通讯录、个人信息、日程安排、各种网络帐号、银行账号和密码等。病毒入侵智能手机，便会导致这些信息被窃取、删除或者篡改，对用户造成重大损失。^[15]

恶意传播：以用户手机为载体进行大范围的病毒传播，如以短信形式进行病毒传播等。此外，文字、图像、视频等信息传播速度的加快，可能会导致色情、非法、民族分裂、反动煽动信息利用智能手机病毒传播。^[17][15]

造成经济损失：恶意牟利，通过无提示扣费或模糊提示扣费等方式，直接造成用户 经济损失；非牟利性质，大量发送短信或消耗手机流量，造成用户话费损失。^[17]

远程控制：在用户不知情或未授权的情况下，能够接受远程控制端指令并进行相关操作的，如发送短信指令，隐蔽式联网下载软件，上传用户隐私资料等。^[17][27]

破坏手机：手机病毒最常见的危害就是破坏手机软件、硬件，病毒通过执行一些比较危险的指令或者比较耗时的指令，占用大量内存浪费手机资源；或导致手机某些软件数据库遭到破坏无法使用；甚至会破坏手机操作系统，导致手机死机、黑屏、重启、无法正常使用。^[15]

诱骗欺诈：通过伪造、篡改、劫持短信、彩信、邮件、通讯录、通话记录、收藏夹、桌面等方式，诱骗用户，达到不正当目的，如冒充正常商家发送服务信息，或者利用浏览器进行钓鱼欺诈的软件，甚至盗用正版软件名称诱导用户安装。^[17][27]

造成通讯网络瘫痪：手机病毒感染手机后，通过一些特殊指令，强制手机不断地向所在通讯网络发送大量的垃圾信息，在短时间内会产生大量数据流在网络中交换。若网络运营商服务器不够强大，最终将导致大量垃圾信息和病毒充斥在通讯网络中，造成网络拥堵甚至瘫痪。^[15][27]

机身温度经常过热：在不进行任何操作的时候，手机温度变热发烫，并且出现突然无法开机的现象。手机在中了硬件损害类的病毒后，会产生该现象。^[35][36]

手机话费突然减少：在没有打电话、用流量等情况下，手机话费减少。手机在中了恶意扣费或资费消耗等类型病毒后，会产生该现象。^[35][36]

通话期间经常中断：手机在没有欠费，信号正常的情况下，经常出现电话被中断的情况。一些病毒会对通话品质造成影响，进而会窃取通话记录，导致用户隐私泄露。^[36]

出现未知通话记录或短信：出现了没有拨打过的电话记录或者短信，可能是病毒自动发送。告知接收方不要相信或者不要点击发送出去的链接，一旦点击后，接收方手机可能也会中病毒，造成隐私泄露或者是钱财的损失。^[36]

耗电速度加快：如果在没有观看视频、玩游戏等耗电较大的操作时发现手机电量骤减。有些病毒会自动开启某些手机功能，造成手机电量消耗。^[35][36]

手机无法更新：有些病毒通过破坏手机系统中的程式管理器，阻止使用者下载新的应用程式或其他更新，并且还会阻止手机删除病毒。^[35]

擅自安装软件：手机中多出了没有下载安装过的APP软件，可能是手机感染病毒导致的。^[36]

手机异常卡顿：在网络正常的情况下，手机运行速度明显比往常慢得多，打开个页面总是要等待很久，甚至需要反复刷新几次才会跳转出来。查看手机后台数据，发现存储空间明显减小，这可能是手机病毒的运行在消耗大量存储空间。^[35]

手机自动关机重启：如果经常出现手机突然黑屏自动关机或自动重启情况，有可能是手机已经感染病毒导致的。^[35]

2010年，“毒媒（AVK.DuMusic）”手机病毒爆发，它是一种针对Symbian S60系统的手机木马程序，是“手机僵尸”类病毒。其会伪装成如“移动梦网”等常用软件进行传播。手机感染“毒媒”病毒后，会自动连接互联网，向网上特定的控制服务器上传本机手机号、手机型号、IMEI号码、IMSI号码、信息中心号码等，窃取用户隐私；自动接受来自远程控制服务器的指令，实现删除指定手机软件的功能，包括关闭和删除各类手机杀毒软件等。该病毒严重破坏了用户的手机运行，威胁手机的信息和数据安全。截止2010年12月，“毒媒”在中国累积感染40万部手机，并出现四个变种。^[38]

2010年，“手机骷髅”病毒迅速传播，该病毒是一种恶性欺诈病毒，主要针对Symbian S60 3系列版本操作系统的智能手机，包括大部分诺基亚手机和部分三星手机。感染该病毒的手机会在用户不知情的情况下，连接互联网且向手机通信录中的联系人大量群发带有病毒链接的彩信和短信。用户点击链接后会中招，不仅会导致手机运行异常，频繁关机或重新启动，还可能导致用户手机因大量发送短信、彩信而被收取高额费用。^[39]截止2011年8月，“手机骷髅”病毒累计感染83万余个中国用户手机。^[40]

2010年3月，网秦手机安全中心截获一款名叫InSpirit.A的“钓鱼王”手机病毒，它被打包在一些正常手机游戏软件中，在某些论坛进行传播。在安装后30秒左右，会生成一条本地诈骗短信，让用户误认为收到银行系统通知短信，以诱骗用户到非法钓鱼网站，窃取用户的账号及密码，从而导致账户中现金被非法提取，造成严重经济损失。^[41]

2010年4月末，北京网秦手机安全中心截获了一个专门针对手机炒股软件的恶性木马病毒同花顺大盗，该病毒是第一款针对同花顺这类炒股软件的盗取账户名和密码的病毒，主要通过没有经过安全认证的下载网站进行传播。当股民用户不小心在手机上安装后，该木马会在后台运行偷取用户的账号和密码进行非法牟利。^[42]

2010年7月，网秦全球手机安全中心截获了一个名为"安卓短信卧底"（SW.Spyware.A）的手机病毒，以及它的一个变种（SW.Spyware.B）。这是首款出现在安卓手机上的病毒，该病毒会每隔一小时上传用户的短信内容到指定邮箱，造成用户隐私严重泄露，其变种病毒除能窃取短信外还能监控用户的通话记录，还可以设置定时上传的时间，黑客只需登陆服务器就可随意查看用户的所有通讯隐私。^[43]

2011年2月，中国国家计算机病毒应急处理中心接获了一种名为“X卧底”（SPY.Flexispy）的手机病毒的变种，这种病毒一旦植入到手机之中就可以实现对用户的通话记录、短信等等内容的全程监控，在用户毫不知情的情况下窃取到用户的隐私信息。^[44]

“X卧底”病毒主要利用了智能手机三方通话功能中存在的漏洞，中毒手机之后会被强制开启第三方通话的功能，实现对通话信息的全程监控，并且将机主收发到的信息内容全部抄送到一份监控的手机之中。^[44]

2014年8月2日，“××神器”恶意手机病毒被发现，它通过手机短信传播，会恶意调用手机短信、邮件、通讯录、监听用户安装APP等权限，并会自动随系统启动，轻易盗取用户隐私信息。此外，该病毒安装时会同时释放具备更多恶意行为的恶意子包，恶意子包一旦安装，会将图标隐藏，因此即使删除“××神器”，木马依然存在。××神器”木马病毒危害极大，迅速在中国范围内形成爆炸式传播，并被冠以“超级手机病毒”的称号，造成了较大影响。^[45]

2021年，“TeaBot”（或Anatsa）出现，该恶意软件窃取用户的凭证和短信以对西班牙、德国、意大利、比利时和荷兰的银行进行欺诈活动。这一木马病毒应用Android模仿媒体和包裹运送服务，如TeaTV、VLC媒体播放器、DHL和UPS。TeaBot利用访问权限实现与被攻击设备的实时互动，允许不良行为者记录击键、截图，并在银行应用程序的登录屏幕上注入恶意覆盖，以提取密码和信用卡信息。^[46]