Satori 威胁情报团队的研究人员，刚刚曝光了谷歌 Play 商店上发现的 75 款、以及苹果 App Store 上的 10 款广告欺诈应用程序，并且它们的总计安装量达到了 1300 万。除了向受害移动设备用户猛推广告（可见或隐匿），开发者还通过冒充合法应用程序与演示而牟利。尽管通常情况下不被视作严重的威胁，但幕后运营者显然可将之用于更危险的活动目的。
（来自：Human Security）
作为新一轮“Scylla”广告欺诈活动的一部分，Satori 已经向谷歌和苹果通报了这一情况。
分析师认为，在 2019 年 8 月的“Poseidon”、以及 2020 年底达到顶峰的“Charybdis”之后，其正在掀起第三波活动。
带有 ID 欺骗指令的命令与控制（C2）服务器响应
目前谷歌和苹果已经从 Android 和 iOS 官方应用商店中删除了相关广告软件。对于 Android 移动设备用户来说，除非你已禁用 Play Protect 安全选项，否则系统是可以在更新后自动执行扫描的。
至于 iOS，我们尚不清楚苹果将如何剔除已安装在客户端设备上的广告软件。实在不放心的话，你可以参考 Human Security 分享的以下嫌疑 App 列表。
在网络视图中被揪出的广告 UI 元素
iOS 应用列表：
● Loot the Castle —— com.loot.rcastle.fight.battle (id1602634568)
● Run Bridge —— com.run.bridge.race (id1584737005)
● Shinning Gun —— com.shinning.gun.ios (id1588037078)
● Racing Legend 3D —— com.racing.legend.like (id1589579456)
● Rope Runner —— com.rope.runner.family (id1614987707)
● Wood Sculptor —— com.wood.sculptor.cutter (id1603211466)
● Fire-Wall —— com.fire.wall.poptit (id1540542924)
● Ninja Critical Hit —— wger.ninjacriticalhit.ios (id1514055403)
● Tony Runs —— com.TonyRuns.game
在隐形广告上生成虚假点击的代码示例
Android 应用列表（超百万次下载量）：
● Super Hero-Save the world! —— com.asuper.man.playmilk
● Spot 10 Differences —— com.different.ten.spotgames
● Find 5 Differences —— com.find.five.subtle.differences.spot.new
● Dinosaur Legend —— com.huluwagames.dinosaur.legend.play
● One Line Drawing —— com.one.line.drawing.stroke.yuxi
● Shoot Master —— com.shooter.master.bullet.puzzle.huahong
● Talent Trap —— NEW —— com.talent.trap.stop.all
JobScheduler 代码示例
Bleeping Computer 指出，Scylla 类广告软件因“挂羊头，卖狗肉”欺骗用户下载而臭名昭著。
其中 29 款模仿了多达 6000 个基于 CTV 的应用程序，并定期循环改 ID 而逃过欺诈检测。
广告流量的网络日志
在 Android 平台上，广告会被加载在隐藏的 WebView 窗口中。由于一切发生于后台，因而受害者始终无法留意到任何可疑的事情。
此外与“万恶之源”Poseidon 相比，Scylla 还利用了 Allatori Java 混淆器来加花代码，使得针对此类广告软件的检测和逆向工程变得更加困难。
Scylla 应用加载示例
综上所述，Satori 威胁情报研究团队建议 Android / iOS 用户养成定期检查已安装 App 列表的习惯。
不过比揪出那些行为异常（比如导致过快耗电 / 流量消耗）的恶意或不需要的 App 更重要的，还是尽量避免从不受信任的来源下载软件。
