警惕另类Activity“劫持”

AVL移动安全团队最近发现一类木马私自发送扣费短信，上传用户隐私到控制服务器，并且采用了一种Activity劫持手段诱骗用户安装和防止卸载，给用户手机安全带来威胁。

诱骗安装

木马被安装后，监听重启，锁屏等消息，并自动触发联网下载恶意APK文件：

当下载完成，会触发安装管理器，但此时显示的却是一个伪造的“协议申明”，并骗取用户点击，当用户误点击取消后，木马应用就被安装在用户手机上了。

接着，木马会再次尝试激活设备管理器，并且同样伪造一个界面骗取用户点击，从窗体层次来看，此时顶层的Activity为设备管理器，所以当用户点击确认时，实际上完成了设备管理器的激活操作：

防止卸载

当用户尝试从设备管理器取消激活木马应用时，木马会弹出“设备管理器异常”的提示，并且阻止用户点击退回或者返回桌面，导致只能重启手机：

木马小结

该木马通过改变当前Top Activity的layout层次，而不是通过覆盖一个伪造的Activity，这是因为木马需要诱骗用户点击执行静默安装和激活设备管理器操作。这种通过修改Activity layout层次实现覆盖效果的行为，还能够更改原始Activity组件对用户点击的默认响应行为。

用户可以下载AVL Pro对上述木马进行查杀。