这款新型恶意软件被称为“ExpensiveWall”，名称源于其用于感染设备的一个应用程序“Lovely Wallpaper”。ExpensiveWall 是今年早些时候现身Google Play 的恶意软件新变种。整个恶意软件系列现已有 590 万到 2110 万次的下载量。
与其他同系列软件相比，ExpensiveWall 的不同之处在于它经过“包装”，这是恶意软件开发人员用于加密恶意代码的高级混淆技术，以此让恶意代码避开 Google Play 内置的反恶意软件保护措施。
了解 SandBlast Mobile 如何防御诸如 ExpensiveWall 等恶意软件。
Check Point 于 2017 年 8 月 7 日就 ExpensiveWall 一事通知 Google，Google 随即将所报告的样本从其商店中删除。不过，即使受感染的应用程序已被移除，短短数天之内，另一个样本渗透到 Google Play，并在移除前的四天时间内感染了超过 5,000 个设备。
需要强调的是，任何受感染应用程序，若从应用商店移除之前已被安装，则会保留安装于用户设备这一状态。因此，下载这些应用程序的用户仍会处于危险之中，并且应手动将其从设备中移除。
ExpensiveWall 会进行哪些破坏？
在用户毫不知情的情况下，恶意软件使受害者注册收费服务，并发送欺诈性收费 SMS 消息，向用户帐户收取虚假服务费。
ExpensiveWall 有何危险性？
虽然 ExpensiveWall 目前仅被设计为从其受害者处获取利润，但类似的恶意软件可以稍作修改，使用相同的基础设施，用作盗取图片、录制音频甚至窃取敏感数据，并将数据发送到命令和控制 （C＆C） 服务器。由于恶意软件能够悄无声息地运行（所有这些非法活动都是在受害者毫不知情的情况下进行），其最终转化为间谍工具。
其中一款包含 ExpensiveWall 的恶意应用程序。
ExpensiveWall 的运作方式是什么？
ExpensiveWall 一旦下载，便会请求几个常见权限，包括互联网访问（允许应用程序连接到其 C＆C 服务器）以及 SMS 权限（使其能够发送收费 SMS 消息，并在用户不知情的情况下为用户注册其他付费服务。）
虽然此情境下，恶意软件请求这些权限会造成危害，但许多应用程序也会以合法目的请求相同的权限。尤其是在从可信赖的来源（如 Google Play）安装应用程序时，大多数用户不经思索便授予这些权限。
ExpensiveWall 包含连接应用内操作和 JavaScript 代码的接口，该代码在名为 WebView 的网站界面上运行，这意味着在 WebView 中运行的 JavaScript 可以触发应用内活动。在安装并授予其必要权限后，ExpensiveWall 将与受感染设备相关的数据发送至其 C＆C 服务器，包括其位置和唯一标识符（如 MAC 和 IP 地址、IMSI 和 IMEI）。
ExpensiveWall 恶意软件使用的点击功能
每次设备开机或进行连接更改时，此应用程序都会连接到其 C＆C 服务器，并接收一个 URL，该 URL 会在嵌入式 WebView 中打开。该页面包含一个恶意的 JavaScript 代码，可以使用 Javascript 接口 调用应用内功能，例如订阅收费服务和发送 SMS 消息。恶意软件会悄无声息地点击网页中的链接，从而启动 JavaScript 代码，与在其他情景中点击广告的方式如出一辙。
为受害者订阅付费服务
恶意软件获取设备的电话号码，并使用其为用户订阅不同的付费服务，如下列示例：
用于获取电话号码的代码
恶意软件为用户订阅的收费服务
发送收费 SMS 消息
在某些情况下，SMS 活动在不给用户任何通知的情况下发生。而有时候，恶意软件会向用户显示名为“继续”的按钮，一旦用户点击该按钮，恶意软件就会以其名义发送收费 SMS 消息。以下是包含嵌入式 JavaScript 的 HTML 代码的示例：
嵌入式 JavaScript，负责发送 SMS 消息
Google Play 上的 ExpensiveWall
用户已对恶意活动有所察觉，参见下方所示的一条评论：
用户对 ExpensiveWall 应用程序的评论
如上图所示，许多用户怀疑 ExpensiveWall 是一个恶意应用程序。评论表明，该应用程序在多个社交网络上推广（包括 Instagram），这可能解释了其如何拥有如此多的下载量。
有关完整的技术报告，请参阅 Check Point Research。
分析恶意软件的不同样本后，Check Point 移动威胁研究人员认为 ExpensiveWall 已作为名为“gtk”的 SDK 传播到不同应用程序中，开发者会将其嵌入自己的应用程序中。包含恶意代码的应用程序存在三个版本。第一个是今年早些时候发现的未包装版本。第二个是本文讨论的包装版本；第三个包含代码但不会主动使用。
用户和组织应该意识到，任何恶意软件攻击都会严重破坏其移动网络，即便其貌似始源于无害的广告软件。ExpensiveWall 是又一个实例，说明我们需要即时保护所有移动设备、防范高级威胁。
如何获得完善保护
对于尖端恶意软件（如 ExpensiveWall）需采取高级保护措施，能够通过静动两态应用程序分析来识别和拦截零日恶意软件。只有通过在设备上恶意软件运行的情境下检查恶意软件，才能创造出阻止它的成功策略。
用户和企业应像对待网络的其他部分一样来对待移动设备，并通过最佳的网络安全解决方案来保护设备。
Check Point 客户受到 SandBlast Mobile 的保护，而在网络阵线还有 Check Point 防僵尸软件刀片提供保障，以此防御具有下列标签的威胁：
Trojan、AndroidOS、ExpensiveWall。
附录 1：程序包名称和下载列表：
| 程序包名称 | 应用程序名称 | 最小 | 最大 | 上传到 Google Play |
| com.star.trek | I Love Fliter | 1,000,000 | 5,000,000 | 18/09/2016 |
| com.newac.toolbox | Tool Box Pro | 500,000 | 1,000,000 | 19/10/2015 |
| com.newac.wallpaper | X WALLPAPER | 500,000 | 1,000,000 | 27/09/2015 |
| com.yeahmobi.horoscopeinter | Horoscope | 500,000 | 1,000,000 | 16/03/2015 |
| com.gkt.xwallpaper | X Wallpaper Pro | 500,000 | 1,000,000 | 02/06/2015 |
| com.gwqcv.zsfy | Beautiful Camera | 100,000 | 500,000 | 11/05/2017 |
| com.hdsj.hdey | Color Camera | 100,000 | 500,000 | 16/03/2017 |
| com.lovephoto.gp.inter | Love Photo | 100,000 | 500,000 | 13/03/2017 |
| com.parrot.tidecmr | Tide Camera | 100,000 | 500,000 | 22/03/2017 |
| com.zerg.charmingcmr | Charming Camera | 100,000 | 500,000 | 22/03/2017 |
| com.constellation.prophecy | Horoscope | 100,000 | 500,000 | 30/06/2016 |
| com.desktoptools.screenunsubscribe | DIY Your Screen | 100,000 | 500,000 | 21/07/2016 |
| com.gkt.ringtonegp | Ringtone | 100,000 | 500,000 | 02/06/2015 |
| com.gpthtwo.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 03/11/2015 |
| com.guard.defend | Safe locker | 100,000 | 500,000 | 17/06/2016 |
| com.newac.wifibooster | Wifi Booster | 100,000 | 500,000 | 04/11/2015 |
| com.newera.desktop | Cool Desktop | 100,000 | 500,000 | 30/06/2016 |
| com.newera.toolbox | useful cube | 100,000 | 500,000 | 12/06/2016 |
| com.pl.toolboxpro | Tool Box Pro | 100,000 | 500,000 | 22/01/2016 |
| com.something.someone | Useful Desktop | 100,000 | 500,000 | 17/09/2016 |
| com.yeahmobi.horoscope | ดวง 12 ราศี Lite | 100,000 | 500,000 | 20/28/2014 |
| com.yeahmobi.horoscopegpadap | Horoscope2.0 | 100,000 | 500,000 | 23/03/2015 |
| com.cegqz.uoud | Yes Star | 50,000 | 100,000 | 03/05/2017 |
| com.cmr.shiny | Shiny Camera | 50,000 | 100,000 | 03/05/2017 |
| com.johg.udrad | Simple Camera | 50,000 | 100,000 | 07/07/2017 |
| com.scamera.smiling | Smiling Camera | 50,000 | 100,000 | 07/06/2017 |
| com.cmr.universal | Universal Camera | 50,000 | 100,000 | 16/05/2017 |
| com.gb.toolbox | Amazing Toolbox | 50,000 | 100,000 | 23/03/2016 |
| com.genesis.awesome | Easy capture | 50,000 | 100,000 | 24/10/2016 |
| com.newera.memorydoctor | Memory Doctor | 50,000 | 100,000 | 15/06/2016 |
| com.pl.toolbox | Tool Box Pro | 50,000 | 100,000 | 08/12/2015 |
| com.sexy.pic | Reborn Beauty | 50,000 | 100,000 | 28/07/2016 |
| com.joy.photo.gp.inter | Joy Photo | 50,000 | 100,000 | 02/08/2016 |
| com.fancy.camera.gp.inter | Fancy Camera | 50,000 | 100,000 | 09/08/2016 |
| com.amazing.photo.gp.inter | Amazing Photo | 50,000 | 100,000 | 13/09/2016 |
| com.amazing.camera.ggi | Amazing Camera | 50,000 | 100,000 | 05/01/2017 |
| com.super.wallpaper.gp.inter | Super Wallpaper | 50,000 | 100,000 | 30/08/2016 |
| com.aolw.maoa | DD Player | 10,000 | 50,000 | 13/03/2017 |
| com.bbapcmr.fascinating | Fascinating Camera | 10,000 | 50,000 | 13/04/2017 |
| com.coral.muse | Universal Camera | 10,000 | 50,000 | 13/07/2017 |
| com.cream.lecoa | Cream Camera | 10,000 | 50,000 | 27/03/2017 |
| com.dmeq.oopes | Looking Camera | 10,000 | 50,000 | 23/05/2017 |
| com.dosl.wthre | DD Weather | 10,000 | 50,000 | 23/05/2017 |
| com.fqaf.dlksk | Global Weather | 10,000 | 50,000 | 03/05/2017 |
| com.ivxz.ykvlf | Love Fitness | 10,000 | 50,000 | 23/05/2017 |
| com.jpst.lsyk | Pretty Pictures | 10,000 | 50,000 | 06/04/2017 |
| com.kifb.mifv | Cool Wallpapers | 10,000 | 50,000 | 10/01/2017 |
| com.magic.beautycmr | Beauty Camera | 10,000 | 50,000 | 04/04/2017 |
| com.opaly.nqib | Love locker | 10,000 | 50,000 | 12/05/2017 |
| com.real.stargh | Real Star | 10,000 | 50,000 | 27/02/2017 |
| com.sadcmr.magic | Magic Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scamera.wonder | Wonder Camera | 10,000 | 50,000 | 14/06/2017 |
| com.scmr.funny | Funny Camera | 10,000 | 50,000 | 02/06/2017 |
| com.simon.easy | Easy Camera | 10,000 | 50,000 | 28/02/2017 |
| com.smgft.keyboard | Smart Keyboard | 10,000 | 50,000 | 14/06/2017 |
| com.xnoc.jdvy | Travel Camera | 10,000 | 50,000 | 02/05/2017 |
| com.yiuw.fhly | Photo Warp | 10,000 | 50,000 | 20/01/2017 |
| com.yjmn.vokle | Lovely Wallpaper | 10,000 | 50,000 | 07/07/2017 |
| com.ysyg.wtmca | Lattice Camera | 10,000 | 50,000 | 09/06/2017 |
| fast.bats.chaz | Quick Charger | 10,000 | 50,000 | 08/05/2017 |
| com.upcamera.xgcby | Up Camera | 10,000 | 50,000 | 18/01/2017 |
| com.photo.power.gp | Photo Power | 10,000 | 50,000 | 23/11/2016 |
| com.asdf.fg.hdwallpaper | HDwallpaper | 10,000 | 50,000 | 13/12/2016 |
| com.gb.wonderfulgames | Wonderful Games | 10,000 | 50,000 | 09/04/2016 |
| com.gkt.fileexplorer | BI File Manager | 10,000 | 50,000 | 01/08/2016 |
| com.gkt.wallpapershd | Wallpapers HD | 10,000 | 50,000 | 03/01/2016 |
| com.kevin.beautyvideo | Beautiful Video-Edit your Memory | 10,000 | 50,000 | 22/09/2016 |
| com.newera.beautifulphoto | Wonderful Cam | 10,000 | 50,000 | 12/06/2016 |
| com.next.toolset | useful cube | 10,000 | 50,000 | 30/06/2016 |
| com.ringtone.freshac | Ringtone | 10,000 | 50,000 | 26/11/2015 |
| com.gkt.gamebar | Exciting Games | 10,000 | 50,000 | 15/09/2015 |
| com.replica.adventure.gp | Replica Adventure | 10,000 | 50,000 | 07/07/2016 |
| com.gg.player.gp | GG Player | 10,000 | 50,000 | 12/07/2016 |
| com.love.camera.gp | Love Camera | 10,000 | 50,000 | 20/10/2016 |
| com.oneshot.beautify.gp | Oneshot Beautify | 10,000 | 50,000 | 01/08/2016 |
| com.pretty.camera.gp | Pretty Camera | 10,000 | 50,000 | 18/10/2016 |
| com.hygk.hlhy | CuteCamera | 5,000 | 10,000 | 22/02/2017 |
| com.kkcamera.akbcartoon | Cartoon Camera-stylish, clean | 5,000 | 10,000 | 08/03/2017 |
| com.craft.decorate | Art Camera | 5,000 | 7,000 | 13/08/2017 |
| com.amazing.video.gp | Amazing Video | 5,000 | 10,000 | 16/11/2016 |
| com.fine.photo.gp | Fine Photo | 5,000 | 10,000 | 22/12/2016 |
| com.applocker.coldwar | Infinity safe | 5,000 | 10,000 | 09/09/2016 |
| com.final.horosope | Magical Horoscope | 5,000 | 10,000 | 21/02/2017 |
| com.gp.toolboxche | Toolbox | 5,000 | 10,000 | 28/04/2016 |
| com.prettygirl.newyear | Cute Belle | 5,000 | 10,000 | 12/01/2017 |
| com.roy.cartoonwallpaper | CartoonWallpaper | 5,000 | 10,000 | 06/09/2016 |
| com.thebell.newcentury | Ringtone | 5,000 | 10,000 | 01/08/2016 |
| com.aypx.ygzp | Best Camera | 1,000 | 5,000 | 16/02/2017 |
| com.colorful.locker | Colorful Locker | 1,000 | 5,000 | 09/05/2017 |
| com.hlux.wfsha | Light Keyboard | 1,000 | 5,000 | 21/07/2017 |
| com.ytkue.oprw | Safe Privacy | 1,000 | 5,000 | 07/06/2017 |
| com.qwer.enjoy.enjoywallpaper | Enjoy Wallpaper | 1,000 | 5,000 | 03/11/2016 |
| com.file.manager.gp | File Manager | 1,000 | 5,000 | 13/12/2016 |
| com.highfirst.fancylocker | Fancy locker | 1,000 | 5,000 | 05/01/2017 |
| com.cute.puzzle.gp | Cute Puzzle | 1,000 | 5,000 | 05/10/2016 |
| com.keyboard.smile | Smile Keyboard | 500 | 707 | 16/05/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 500 | 04/07/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.camera.kfcfancy | Fancy Camera | 100 | 500 | 20/03/2017 |
| com.hhcamera.useful | Useful Camera | 100 | 224 | 06/03/2017 |
| com.owexs.iouert | Vitality Camera | 100 | 224 | 04/07/2017 |
| com.sec.transfer | Sec Transfer | 100 | 136 | 14/03/2017 |
| com.tools.yidian | Lock Now | 100 | 500 | 23/01/2017 |
| com.bpmiddle.oneversion | Magic Filter | 100 | 224 | 21/09/2016 |
| com.funny.video.gp | Funny Video | 100 | 500 | 07/10/2016 |
| com.ads.wowgames | Amazing Gamebox | 100 | 224 | 22/05/2016 |
| com.wtns.superlocker | Super locker | 10 | 50 | 25/04/2017 |
| com.musicg.ckiqp | Music Player | 1 | 2 | 06/04/2017 |
| 总计 | 5,904,511 | 21,101,567 |
