為了讓 Android 用戶更加充分的了解 Android 系統的情況，Google 自前年開始展開 Android 應用程序的安全調查。Google 在去年發布了第一份 Android 系統安全報告，在本周 Google 發布了第二份、也就是 2015 年的年度 Android 系統安全報告。2015 年的年度 Android 系統安全報告以 PDF 文檔形式提供給外界下載，文檔內容共計 46 頁。我們節選了部分內容進行詳細剖析： 潛在有害軟件(Potentially Harmful Applications ，PHA)

Google 一共將潛在惡意軟件分為了十個大分類，分別是數據收集、間諜軟件、木馬、惡意下載、釣魚、權限提升、后門、短信詐騙、WAP 詐騙和 Rooting。

　　上圖為圖一：2014 年與 2015 年 Google Play 中潛在惡意軟件所占比例的對比

從圖一中我們可以看到 Google Play 中潛在惡意軟件中絕大多數都是因為收集數據而被發現，其他類目的潛在惡意軟件數量總和都不到數據收集的一半。

另外從上圖數據中我們也可以看到 Google Play 中 2014 年和 2015 年潛在惡意軟件總比例分別為：0.24%和 0.13%。

這并不是意味著威脅 Android 的應用少了，相反，威脅 Android 的應用不但沒有減少而是逐年增加。數據的降低只是 Google 審核和掃描的更加嚴格阻擋了很多 PHA。

　　圖二：2014 年和 2015 年第三方應用商店中潛在惡意軟件所占比例

圖二是第三方應用商店中潛在惡意軟件 2014 年與 2015 年的對比圖，從圖中我們很容易發現情況是非常糟糕的。

其中數據收集軟件較前一年增長了兩倍、惡意下載較前一年增長了四十二倍、權限提升較前一年增長了十一倍。

使用過 Android 設備的同學應該比較容易理解上圖，因為安裝的許多軟件均會申請并不需要權限，例如一個手電筒 APP 要獲取位置、獲取通訊錄、讀取/發送短信等等。

而惡意下載則是更為普遍的事了，諸如積分墻這類強制用戶下載某個應用去除積分墻至少還算是正大光明的干的。

而不知道有多少用戶的 Android 設備已經淪為新時代的肉雞，后臺自動按指令下載各類推廣 APP、模擬點擊等等來幫一些不法分子賺錢。

圖二我們也看到了 Root 類應用在 2014 年和 2015 年都居高不下，以中國為例：一方面手機廠商為了賺取更多利潤會預裝諸多不可卸載的應用，如果用戶想要卸載則必須進行 Root 后才可以卸載；另一方面除了實質上需要 Root 的用戶外相當一部分用戶是在不明不白之中被 Root 的。

在中國的第三方應用商店中 Root 類應用更是數不勝數，除了這部分本身就是為了 Root 而開發的應用外還有需要應用直接集成了 Root 功能在后臺直接進行 Root。

對于 Android 設備來說 Root 過后安全性大大降低， 甚至部分木馬可以直接對設備進行 Root 后把自己設置為不可卸載讓用戶無從下手。

Google 目前的做法是強化機器學習能力及事件關聯性來檢測潛在的有害行為，包括每天檢測超過 60 億個用戶所安裝的移動程序來檢測惡意程序及潛在惡意程序。

Google 還在每天掃描 4 億個設備上的網絡與設備威脅、通過 Safe Browsing 保護 Android 設備上的數億名 Chrome 用戶等等。

結束語：

介于 Google Play 在中國的實際情況，我們只能通過第三方應用商店進行應用下載或者是通過應用的官方網站進行下載。

可是實際情況卻不盡人意，以圖二為例，PHAs 在中國的應用商店里的比例可能遠遠高于 Google 統計的數據。

主管此方面的中國行政部門工業和信息化部（以下簡稱“工信部”）在數次抽查國內應用商店市場時，均發現不少 PHAs。

工信部抽查的包括中國國內主流的第三方應用商店，如百度手機助手、應用寶、360 手機助手等等。

由于龐大的應用數量如果第三方應用商店沒有嚴格的審核機制和自動化掃描機制，那么 PHAs 潛入這些第三方商店的概率是相當相當高的。

另外由于中國國內網絡狀況，即使用戶通過應用官網下載也并非能保證萬無一失。 幾乎半公開的劫持用戶網絡、將用戶下載的文件換成其他可獲利的軟件誘騙用戶安裝。

并且正如前段時間發生的大規模劫持 LOL、優酷、搜狗輸入法客戶端那樣，如果通過劫持手段將用戶正常下載的軟件篡改為惡意軟件那么后果將不堪設想，然而我覺得這種情況可能已經發生只是規模不大我們并未知曉。

傳聞 Google Play 中國版三月份就會到來，然而已經快五月份了還是沒有見到蹤影。不過就算有了 Google Play 中國能使用的版本又能如何呢？除非 Google 能夠強制 OEM 制造商必須預裝 Google Play 不然我估計有多少人會用 Google Play 都是個大大的問號。