测试了250款Android 杀毒应用，三分之二的 App 竟杀不了毒？！

测试了250款Android 杀毒应用，三分之二的 App 竟杀不了毒？！

出品| CSDN（ID：）

以下为译文：

介绍

2017年，国外知名杀毒软件测试公司AV-对杀毒应用进行了测试。 这次测试的机会是：一款名为 AV- 的应用程序声称能够扫描移动设备上的恶意软件，但事实并非如此。 事实上，运行该应用程序只是显示一个表示扫描进度的进度条，然后在“扫描”结束时声明该设备没有恶意应用程序。 令人担忧的是，该应用程序已经在 App Store 上架，并且有数千名用户为其付费（尽管钱最终被退还给他们）。

去年的测试结果显示，一些应用程序不仅无法保护设备免受恶意软件攻击，有些甚至启用了可疑的监控机制。 经检查发现，除白名单中的软件包外，其他大部分杀毒软件均存在潜在危害。 鉴于用户界面可能是由多个模板生成的，这些防病毒应用程序的主要作用似乎是轻松地为其开发人员创造收入，而不是实际保护用户设备。

除了这些可疑的应用程序之外，我们还发现近 40% 的测试 AV 应用程序无法有效阻止恶意软件。

为了帮助用户区分真正有效和可疑无效的防病毒软件，AV-在其2019年测试中再次对防病毒应用程序的有效性进行了测试。

测试对象

本次测试中，我们从应用商店搜索并下载了来自不同开发团队的250款杀毒安全软件。

以下 80 个应用程序可以检测超过 30% 的恶意软件，且不会出现任何误报：

不过，仍有138个品牌的防病毒软件能够检测到不到30%的恶意软件样本，并且对于 Play商店中的热门清理文件误报率很高。

我们认为上述应用程序是有风险的，即它们是无用的或不可靠的。 其中一些只是有缺陷，例如使用较差的第三方引擎。 其他人检测一些古老的 恶意软件样本，同时允许任何包含特定字符串的应用程序通过一些快速检查被接受到应用程序商店。

同时，上述部分应用程序也被多个知名移动安全应用程序检测为木马、可疑/假AV或可能无用的应用程序。 希望 将来能够将它们从 Play 商店中删除（并期望 加强对证书的验证以防止这些应用程序被列出）。 我们也建议各品牌商家主动下架其应用，直到其能够提供真正有效的保护服务。

过去两个月，以下 32 个品牌的防病毒应用程序已从 Play 商店中删除：

.inc、、、AVC、、Big Fun 免费应用程序、、、、2019、Erus IT、、、、考拉、LA L​​ab、Lab、Tools、NCK Corp、Ocean、PICOO、& for Lab、、Dev、Smart bapp、、Top Maxi Group、、Vasa Pvt、、、、、 雷达、和

上述大多数应用程序，或者已经提到的高风险应用程序，似乎是由业余开发人员或非专业安全软件开发人员开发的。 非专业安全软件开发人员开发了各种应用程序。 他们从事广告/货币化业务，并且可能希望拥有自己品牌的 保护应用程序以用于宣传目的。 通过查看作者信息可以识别 Play 商店中由业余开发者开发的应用程序。 通常，业余爱好开发者不提供网站地址，而只提供电子邮件地址（通常是 Gmail、Yahoo 等）。 此外，大多数此类应用程序不提供任何隐私政策。 谷歌试图从应用商店中清除所有缺乏隐私政策的应用，这有助于清理低质量的应用。 当然，并非所有业余开发者创建的应用程序都是无用的。

测试流程

测试系统介绍

我们通过防御2018年2000种最常见的恶意软件类型来验证安全应用程序的有效性。手动测试250种杀毒软件对2000种病毒的防护效果是不现实的。 因此，测试是在自动化的测试框架上进行的。

尽管测试过程是自动化的，但该框架可以模拟真实场景。 这包括在物理 设备（而不是模拟器）上进行测试并模拟真实设备的使用模式。

该框架由两个组件组成：每个测试设备上的客户端应用程序和服务器应用程序。 客户端应用程序监视设备的状态，并在测试用例结束时将结果发送到服务器以记录测试过程。 客户端应用程序检查文件和进程的更改、新安装的应用程序及其权限，并监视已安装的安全软件如何对设备上的恶意行为做出反应。 服务器应用程序通过 Wi-Fi 远程控制测试设备并组织接收客户端应用程序发送的测试结果。

该系统可以很好地衡量已连接的客户应用程序的数量。 这为并行测试大量安全应用程序提供了条件。 为了确保所有接受测试的应用程序都有平等的机会同时连接到客户应用程序，我们同时执行相同的测试用例。 这对于测试最新的恶意软件样本尤其重要，这些样本甚至可能没有被安全开发人员看到。

测试原理

该测试于2019年1月进行，主要使用三星S9手机的 8.0系统（即“奥利奥”）。 由于某些安全应用程序在 8.0 下无法正常运行，因此改用 Nexus 5 手机的 6.01 操作系统（详见下文）。 将每个安全应用程序安装在单独的物理测试设备上。 在测试开始之前，所有测试设备的测试平台（系统本身、正在测试的应用程序以及明确测试的第三方应用程序）都会更新到最新版本。 然后，关闭自动更新以稳定测试系统的状态。 然后，测试中的应用程序将安装并在特定设备上运行，更新到适用的最新版本，并且恶意软件定义将完全更新。

如果安全应用程序鼓励用户执行某些操作以确保设备安全（例如启动扫描），请执行此操作。 如果应用程序提供激活其他保护功能，例如安装时扫描、云保护或潜在有害应用程序 (PUA) 检测，这些功能也将被激活。

执行这些步骤后，将拍摄每个设备存储的干净快照并开始测试。

每个测试用例都是通过相同的步骤生成的：

1.打开Goog​​le 并下载恶意样本；

2.使用file打开下载的.apk文件；

3.安装恶意软件；

4． 执行被测试的应用程序。

在上述每个步骤中，被测试的已安装应用程序有足够的时间来分析恶意样本并通知用户设备上的恶意行为。

在测试用例执行期间，如果防病毒应用程序检测到并阻止了恶意样本，则该样本将被视为“已检测到”，并且测试用例将终止。

在每个测试用例结束时，设备的状态也将被重置。 如果设备上的恶意样本未执行，则会从设备内存中卸载或删除该样本。 如果恶意样本已经被执行，则在执行下一个测试用例时会恢复干净的设备快照。

在评估每个应用程序的防护效果时，我们不考虑恶意样本被拦截的阶段，即不区分下载、安装或执行过程。 影响保护率的唯一因素是安全应用程序是否保护设备免受恶意样本的侵害。

为了验证防病毒软件是否只是通过将所有应用程序视为恶意应用程序来“保护”系统，我们进行了基本的误报测试。

测试用例

该测试使用了2018年最常见的2000个恶意软件。对于真正有效的防病毒应用程序，这些样本的检测率很容易达到90%-100%。

该测试项目总共进行了超过50万次测试操作。

检测结果

上表显示了80个样本保护率超过30%的应用。 对恶意样本防护率低于30%的AV应用被认为是无效/不安全的。

对2000个恶意应用程序检测率低于30%的防病毒软件并未反映在上表中。 一是表的空间有限，二是它们被认为是无效/不安全的。

测试记录

某些应用程序使用其他开发人员的引擎（请参阅下面的示例）。 同一开发商的某些引擎产品大致相同，但有些则不然。 据授权开发人员称，这可能是由多种因素造成的，例如第三方应用程序使用不同的内部设置、使用旧引擎或不同的辅助引擎、引擎启用和错误报告。

在我们的测试过程中，我们发现许多应用程序似乎与同一件事密切相关，或者使用相同的“AV应用程序模板”。 在某些情况下，它们仅在名称、品牌和配色方案上有所不同。 如下：

危险的安全应用程序

正如上面测试主题部分中提到的，某些应用程序由于其风险而未出现在结果列表中。 其中一半被排除在外，因为恶意软件检测率太低。 另一半，虽然在测试中检测到了很多恶意样本，但仍然被认为存在风险； 我们将在下一节中详细阐述这个结论。

当打开这些应用程序的文件包时，我们可以在“”子文件夹中发现名为“.json”的可疑文本文件。 下图显示了此类文件的部分内容：

{
 "data":
 [
 {
 "packageName": "com.google.android.*"
 },
 {
 "packageName": "com.adobe.*"
 },
 {
 "packageName": "com.booking"
 },
 {
 "packageName": "com.facebook.*"
 },
 {
 "packageName": "com.instagram.*"
 },
 {
 "packageName": "com.twitter.*"
 },
 {
 "packageName": "com.whatsapp"
 },
 [...]
 ]
}

“.json”文件的内容与误报测试中发现的一致：包名符合白名单的应用程序被“AV应用程序”视为“可信应用程序”。 例如，包名称为“com.adobe.*”的白名单会匹配包名称以“com.adobe”开头的所有应用程序。 这意味着实际由 Adob​​e（例如）开发的应用程序被认为是安全的，这也允许任何恶意应用程序通过使用“com.adobe”绕过安全扫描。 包裹名字。

除了各自白名单上的应用程序外，高风险“AV应用程序”会阻止几乎所有其他应用程序，无论它们是否是从官方 Play商店安装的。 而有的甚至懒得将包名添加到白名单中，导致自己的程序出现警告。 由于反病毒应用程序的这种“白名单排除”政策，使用反病毒应用程序的用户无法确定其设备上的其他应用程序是否是恶意的。 因此，我们认为这些应用程序的保护能力是有限的。

除了使用相同的“检测”机制之外，这些应用程序的用户界面看起来也非常相似。 这些类型的应用程序通常仅在颜色上有所不同，主要具有以下几种不同布局之一：

我们认为上述应用程序存在风险，由以下 61 个开发团队开发：

Sdn Bhd, o, 实验室, , , , , AS 团队电话实验室, AVC Joint Stock , , , , 最佳应用程序, , 电话, , 核心实验室, TEAM, , dev, Fast n Clean, , , , 便捷工具应用程序, jixic , , MAN , Tech, MaxVV, Lab, , Mond Corey, , , APPS, My , , NPC , Ocean , Omha, Oxic , , , prote apps , & for , Apps 2018 , 以及 for , Apps Team, , Smart bapp, Smart & Lock、东京东京、工具开发、工具、工具、媒体和应用程序、XZ Game 和。

8项实时保护功能

从 版本 8（“Oreo”）开始， 对后台运行的应用程序实施了更严格的限制。 根据最新的官方日志，这种做法是为了防止过度使用设备资源，例如 RAM。

此更新还做出了一些更改，要求 Oreo 的应用程序更改其响应操作系统发出的系统事件的方式（“隐式广播”）。 此更改还会对 AV 应用程序的实时保护功能产生影响，因为它们取决于收到的系统事件。 AV应用程序使用“添加包”广播模式来检查和扫描新安装的应用程序。

一些AV应用程序开发人员（包括一些“高手”开发人员）似乎忽略了这一变化。 这会导致应用程序的实时保护功能错过新安装的应用程序，从而使该功能变得毫无用处。 在日志工具中可以看到不恰当的操作：

W : 不是 : { act=... [...]}

以下开发团队未将其应用程序正确迁移到 Oreo：AZ Tools、、、、、、GOMO Apps、IObit、eScan、PSafe、、、、、、TG Soft、、、、、、、Z Team Pro。

起初（1月-2月），奇虎360应用程序也存在此问题。 但到三月份这份报告发表时，他们已经解决了这个问题。

该问题不影响应用程序按需扫描的防护能力。 但由于我们的测试侧重于实时检测，因此我们决定在 6 上测试这些应用程序。

综上所述

在我们的测试中，一些 安全应用程序阻止的恶意样本非常少，在某些情况下根本没有阻止，因此它们不能被合法地视为防病毒应用程序。 与去年相比，今年更多的应用程序仅使用黑/白名单作为检测机制。 事实上，尽管我们今年又测试了 46 个应用程序，但被认为“可用”的应用程序数量仍然保持不变。 百分之五十五的测试应用程序的恶意软件防护无效。 此外，我们发现有 16 个应用程序未正确迁移到 8 个，这降低了它们在新 版本上的保护。

测试中，23个应用程序实现了100%的恶意样本检出率。 考虑到他们都使用了2018年最常见的恶意软件，达到这种效果也是合理的。 大多数定期参加独立测试的开发人员得分都很高，因为他们的应用程序会定期接受审查，并且他们正在积极开发以确保其有效性。

选择 安全应用程序时，我们建议考虑以下因素。 参考用户评级显然是不可能的，因为绝大多数用户只会根据用户体验进行评级，并不确定应用程序是否提供真正有效的保护。 其他一些评论只是开发商的虚假评论。 我们研究的 250 个应用中，大多数在 Play 商店中的评分至少为 4。 同样，下载量也是一个非常不可靠的参考； 一个成功的假冒应用程序只有在被下载多次后才可能被发现是一个陷阱。 “最后更新”日期也不应该是一个好的指标，因为许多低分应用程序也有相对较新的更新日期。

出于这些原因，我们建议仅使用来自知名、经过认证且信誉良好的开发人员的应用程序。 除了参加独立测试机构的测试外，他们还会开设包含联系信息和隐私政策的专业网站。 用户可以在购买前试用该应用几周。 然后，用户评估产品的可用性和任何附加功能。 许多开发者提供非常有用的免费版本； 但通常这些免费版本比付费版本更有可能有广告，但情况并非总是如此。

有关 安全应用程序的其他测试和评论，请参阅：