研究人员 加比-西尔里格、迈克尔-盖特斯、丽莎-甘斯基、亚当-塞尔
如果你和兄弟姐妹一起长大，你很可能经历过某种形式的经典儿童 "模仿 "游戏。 通常，当模仿者被骗做了或说了一些自我侮辱的话，或者被谁告发时，游戏就结束了。
正是本着这种精神，我们将我们的最新产品命名为none调查"CopyCatz". 简而言之：我们在 Google Play 商店中发现了大量应用程序，它们模仿知名应用程序以获得下载，但却诱使用户看到一大堆意想不到的广告。
CopyCatz 应用程序真正值得注意的是它是如何很多我们发现164在共享这种特殊方法的应用程序中，有超过1000万下载量。 截至本文撰写之时，所有这些应用程序都已从 Play Store 中删除。
#@#3317921#@#
萨托伊团队发现，这些应用程序包含的代码能够在以下内容下显示断章取义的广告com.tdc.adservice软件包。 这些应用程序的行为由托管在 Dropbox 上的命令控制 JSON (注：Dropbox 是 CopyCatz 行动的另一个受害者，而非参与者). 不同应用程序的 JSON URL 各不相同，但结构非常相似，都说明了广告的频率和要使用的发布者 ID。
下面是我们发现的第一个触发断章取义广告的应用程序--Assistive Touch 2020。 这款应用是一款合法应用的复制品、辅助触控none
| 应用程序名称 | 辅助触控 2020 |
| 软件包名称 | com.teen.asasitivetouch.easytouch |
| MD5 | f5a170925701ca242975b7188343cb65 |
| SHA256 | ccd87882dff824165aded2cb6d0f8c2780471a0de1d1388f06ec13f08f0bf074 |
| 文件大小 | 8.15 MB |
| Google Play 商店链接 | |
| 当前版本 | 1.0 |
| 开发商 | MoJetStudio |
| 联系电子邮件 | Mojetstudio@gmail.com |
| 域名 | 不适用 |
| 公司地址 | 印度尼西亚 Mojet 工作室 |
#@#3317921#@#
(点击图片放大）
none
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
有趣的是，这些应用程序并没有试图掩盖自己的踪迹。 所有这些应用程序都内嵌了开源的 Evernote 作业调度程序，并将其作为一种持久化机制（"Evernote"）。注：Evernote 也是这一操作的受害者):
在代码中嵌入 Evernote 作业调度程序
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
通过对 Evernote 作业的快速查找，我们找到了上下文外广告控制器的入口点，它位于广告招聘类。 值得注意的是，本报告中介绍的所有代码都位于com.tdc.adservice包装
文本外广告控制器的入口点
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
根据从服务器接收到的配置，任务会显示内部广告或断章取义的插播广告。
#@#3317921#@#
广告配置设置
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
当应用程序首次启动时，会从云端托管的 JSON 中动态检索显示的广告，然后每隔一段时间再检索一次。
广告检索流程
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
然后将其存储在应用程序的共享首选项中，数据通过none类。 通过利用开发人员使用的合法工具来建立上下文外广告的持久性和实例化，SDK 的作者成功地瞒过了以下人员的眼睛至少两年在 VirusTotal 上仅有一个引用。
VirusTotal 上的一次检测
资料来源 White Ops 威胁情报，2020 年 11 月
安装应用程序后，它就会与上述命令控制服务器建立联系：
安装后首次连接 C2
资料来源 White Ops 威胁情报，2020 年 11 月
这全频none内部启用参数决定是否显示内部产品广告，以及应从哪个平台获取插播广告。
#@#3317921#@#
跨多个应用程序的 C2 通信
资料来源 White Ops 威胁情报，2020 年 11 月
#@#3317921#@#
几个小时的宽限期后（取决于命令控制服务器的配置），设备上开始出现断章取义的插播广告。
#@#3317921#@#
捕捉检索到的插页
资料来源 White Ops 威胁情报，2020 年 11 月
断章取义的插页将自己排除在最近的应用程序列表之外，用户一离开它，它就会消失。 如上图第二部分所示，堆栈上的前一个活动是手机的启动器。 网络流量（如下图所示）也将其与所分析的应用程序关联起来，而该应用程序在广告弹出时根本没有运行。
#@#3317921#@#
网络流量捕获
资料来源 White Ops 威胁情报，2020 年 11 月
简而言之，如果您有以下附录中提到的应用程序，请将其从移动设备中删除。 此外，萨托伊团队建议您屏蔽以下应用程序任何从软件包内的活动中调用广告的应用程序com.tdc.adservice.*. 尽管平台可以选择只屏蔽断章取义的广告来允许来自这些应用程序的合法流量，但 Satori 团队建议使用更严厉的方法来屏蔽所有应用程序，因为这些应用程序很可能是专门为利用数字生态系统而创建的。
下载新应用程序时，请确保您下载的是真正的应用程序、官方你想要的版本。 查看评论，不仅要看五星好评，还要看一星和二星评论。 这些评论会指出不属于自己的广告，并在出现问题时提醒您。
下载与此次调查相关的全部应用程序列表这里none
| 应用程序名称 | 应用程序 ID | 安装 |
| 3D 照片编辑器 | com.vmins.frameefects | 50,000 |
| none | com.softwalk.threedtattoo | 10 |
| Applock 2020 - App Locker & 隐私卫士 | com.applock.meetink | 1,000 |
| AppLock New 2019 - 隐私区 & 锁定你的应用程序 | com.padgamestd.applock | 1,000,000 |
| 辅助触控 2020 | com.teen.asasitivetouch.easytouch | 10,000 |
| 音频视频编辑器 | audiochin.com.mp3.cutter.ringtone.video.maker.trimmer | 10,000 |
| 音频视频混合器 | ttpjsc.com.mp3.cutter.ringtone.video.maker.trimmer | 1,000 |
| 电池保护程序 Pro 2020 - 新款省电软件 | com.lastwod.battery.saver.ram.cleaner | 100,000 |
| none | none | 1,000 |
| 精密计时器 | com.chronometer.gnuh | 10,000 |
| none | com.master.djsona | 1,000,000 |
| GPS 速度计 | com.lissandras.telannasi.free | 100,000 |
| none | com.popperx.graffitiphoto2020 | 500 |
| none | com.goldese.controlcenter | 5,000,000 |
| 使用密码锁定应用程序 - Applock All App Protector | none | 100,000 |
| 史上最响闹钟 | com.loudultrasound.alarmclock | 10,000 |
| 爱的记忆 2020 - 爱的计数器在一起 | com.go2counter.lovedays | 500 |
| 放大镜变焦+手电筒 | kr.xmatools.magnifier | 100 |
| Max Cleaner - Speed Booster Pro 2021 | com.pipgami.phonecleaner | 100 |
| 2018 摩托越野赛 | com.ganplank.motorracing | 10,000 |
| 姓名艺术照片编辑器 | com.binkai.heartnameart | 10,000 |
| Nox 冷却大师 - 冷却 2020 | none | 1,000 |
| OS 13 启动器 - Phone 11 Pro 启动器 | none | 50,000 |
| 适用于 iPhone X 的 OS Launcher 12 | com.landroid.ios12.ios12us | 100,000 |
| 照片编辑器超棒的框架效果 3D | com.pipgamiz.photoeditor | 1,000 |
| 雨水照片制作器 - 雨水效果编辑器 | com.goldxia.raineffect | 10 |
| none | systym.rypyir.fyx.opyryting.systym.pryblym | 100 |
| 铃声制作器 - MP3 剪切器 | com.xmwork.ringmaster.maker | 1,000,000 |
| 铃声制作器终极版 新的 MP3 剪切器 | com.castofworld.ringtonemaker | 100,000 |
| 安全图库保险箱： 照片、视频隐私安全 | com.kovelp.securegallery | 50,000 |
| 智能清洁器-电池保护器，超级助推器 | com.cleaner2020.myphone.pro | 1,000 |
| 超级手机清洁器 2020 | com.phonecludner.memorycxeener.fsxtcharging | 1,000 |
| 视频音乐剪切与合并工作室 | com.macthink.musictrimmer.mp3ringtonecutter | 100,000 |
| Wifi 文件传输 2019 | wifi.transfer.pops | 500 |
| Wifi 密钥 - 免费主 Wifi | none | 100,000 |
| 无线网络速度测试 | pth.speedtest.PeaSoft | 500,000 |
| Wps 测试仪 | com.veigar.dravenpthis | 500,000 |
| WPS WPA Wifi 测试 | com.vendra.ivernwpswpa | 100,000 |
| 100 mb 网速测试 - 宽带速度测试 | mb.speedtest.network | -- |
| none | com.skud.callrecorder.test | -- |
| 3D 效果 | com.gankmi.frameworkers | -- |
| 3D 相框特效及 3D 艺术照片制作工具 | com.photo_frame.frame_maker | -- |
| 真正免费的动物声音铃声 | com.mikjay.animalringtones | -- |
| 反 WannaCry 病毒 - Android | none | -- |
| 杀毒软件 - 病毒清除器 | com.ceberusni.antivirus | -- |
| 杀毒软件 2017 | com.goldmob.antivirus.security | -- |
| 杀毒软件 2017 | com.mobileagency.xray | -- |
| 杀毒软件 2017 | com.mobiquev.antivirus | -- |
| 杀毒软件 2017 & 清洁器 | com.antivirus.freecleaner0021 | -- |
| 杀毒软件 2017 & 清洁器 | com.avast.antiviru | -- |
| 杀毒软件 2020、清洁器和增强器 | com.toodoo.smart.cleaner.pro.top2020.virus | -- |
| 安卓杀毒软件 | com.uranusmobile.antivirus | -- |
| 杀毒软件 Pro 2017 | none | -- |
| 辅助触控 2018 | com.volibears.assistouch | -- |
| 音频视频编辑器混合器 2019 - 视频切割器 | macthinkbox.mp3audioeditor.videomixed | -- |
| AV Antivirus 2017 | com.tonyinc.antivirus | -- |
| 电池医生 - 2018 年动力电池 | com.tools.padbattery | -- |
| 电池医生 2018 - 快速充电器 | plutanio.fastcharger.batterysaver | -- |
| 电池保护器 - 快速充电 | com.batterylife.battery | -- |
| 电池保护器 - 节约电量 | com.Connon.batterysaver | -- |
| none | com.enverall.phone.optimize.battery.fastcharging | -- |
| BeanPro 杀毒软件 | com.beanpronew.antivirus | -- |
| 大前襟 - 更改前襟尺寸 | com.bigfont.aether | -- |
| boost clean (junk cleaner pro) | com.junk.cleaner.phone.boost.security.speed | -- |
| 计算器 | ltc.razarthur.android.calculator | -- |
| 轻松阻止来电黑名单和短信 | com.tklinkmast.callblacklist | -- |
| 安卓版通话记录器 | com.zuka.callrecorder.voice | -- |
| 中国象棋 | none | -- |
| Clean My Android - 杀毒软件 | none | -- |
| 清洁促进剂--超级安全-- | none | -- |
| none | Photo.mnxmax.collagemakerpro | -- |
| 控制中心 IOS 12 - Phone X 控制中心 | com.goldese.phonrcontrolcenter | -- |
| Cool Master -CPU 设备散热器 | com.ktopgames.coolmaster | -- |
| 磁盘清理套件 | com.avast.clean | -- |
| Don't Stop 第八音符 | com.cassiopei.shen | -- |
| Don't Stop 第八音符 | com.fizzgaren.ryze | -- |
| 不要停止第八音符 2 | none | -- |
| Don't Stop 第八音符僵尸 | none | -- |
| 第八音符 | com.tryndamer.us | -- |
| 第八音符 V2 | com.EighthNote.new | -- |
| 第八音符：Yasuhati | com.khapkamer.kali | -- |
| 快速充电器 - 电池博士 2017 | com.kenpasea.saver | -- |
| 喂鱼 | none | -- |
| Insta 的关注者 - 取消关注者 | app.draven.unfollow | -- |
| 免费杀毒 | com.ANTIVIRUSAPP.ANTIVIRUSAPP | -- |
| 免费杀毒软件--手机安全 | com.namiprotect.antivirus | -- |
| 免费 VPN 代理 - 无限 VPN & Wifi 安全 | none | -- |
| 获取追随者 2019 | com.followers.getfollowers.followersinsta | -- |
| 获得追随者 2020 年 | com.follower.getfollowers.followersinsta | -- |
| GPS 导航 | com.nakrothtoro.malochgildurgps | -- |
| 圣经 | com.omisego.action | -- |
| 我的网速有多快 - 网速测试 | none | -- |
| 网速检查 2019 | none | -- |
| 网速测试 | hp.leesin.leblanc | -- |
| 网速测试 | internet.speedtest.wifi.analyzer.morganas | -- |
| 网速测试 APK | ayoub.dev.wifi | -- |
| 免费网速测试 | none | -- |
| 网速计检查 | speedmeter2018.internetanalytics.testwifi | -- |
| K-Lock 图库图片和视频 | com.kenpazi.securegallery | -- |
| 学习 Excel 2019 | none | -- |
| 学习弹钢琴 - 钢琴家 | com.qjoker.renlpianotenshen | -- |
| 利奇万年 2017 | jp.cotts.lichviet | -- |
| 2018 年的新生活 - 2018 年的新生活 | lb.alice.lichviet | -- |
| 雄狮杀毒软件 2017 | techmob.lion.antivirus.security.freeantivirus | -- |
| 最响亮的音量放大器 | annie.fiddlestick.execution | -- |
| 爱心日计数器 | com.mloves.countdays | -- |
| 男声变女声器 | com.sunnyapp.voicechanger | -- |
| 离线免费数独大师 2018 | sdkpro.sudoku | -- |
| Max Cleaner - 增强器、优化器、超级清洁器 | com.max.booster.cleaner.phone.memory.pro | -- |
| 内存清洁器 2020 | com.beoszei.mazzer.czeanez.czean | -- |
| Milab 音乐播放器 - 所有格式的音频文件 | com.minplayer.musicmp3ring | -- |
| 扫雷 - 免费矿工游戏 | violet.rammus.quinn | -- |
| Mp3 切刀 - 视频切刀，简易铃声制作器 | com.photovideo.maker.video.trimmer.mp3.cutter.Ringtone | -- |
| MP3Cutter & Ringtone Maker 2020 | com.rekcos.ringtonemaker | -- |
| 新的电池保护器 - 电池管理器和清洁器 | none | -- |
| 夜间模式 | com.morgana.nightscreen | -- |
| none | com.ringtones2018.annie.alarms | -- |
| 优化程序专业版清洁增强器 | com.obtimizersupercleaner.antivirus | -- |
| 电话放大器 | goldmast.lovefaster.speedcleaner | -- |
| 手机清洁器 - 提速器 | none | -- |
| 手机冷却器 - Cooling Master | com.ritamobile.cooldownphone.cpucooler | -- |
| 照片编辑器 | com.beststudian.photocollage | -- |
| 相框特效 3D | com.kenpasx.framephotox | -- |
| QR 码扫描器 - QR 阅读器 | com.Mobinet.scan | -- |
| 快速球 | com.goldenwd.assistouch | -- |
| none | com.kinvkep.instasquareemojisticker | -- |
| 恢复删除的所有照片 | com.vttl.app7.restoreimages | -- |
| 尖叫吧 - 八分音符 T-Rex | none | -- |
| 秘密锁 | com.goldmast.applock | -- |
| 安全专业 | com.hilas.forsecuritypro | -- |
| 简单应用锁 | com.zooinc.applock | -- |
| 斯马达夫杀毒软件 2017 | com.smailapps.antivirus | -- |
| 斯马达夫杀毒软件（安卓版）2018 | com.smallapp.antivirus | -- |
| Smadav pro 全面安全 | com.smartbapp.antivirus | -- |
| 声音测量仪 | com.yornstone.mina | -- |
| 互联网速度测试 - 速度检查 | hp.plutini.speedico | -- |
| 测速网应用程序 | inter.speed.test | -- |
| 数独 2 | hp.sudoku | -- |
| 2019 年初学者数独基础 | gemosm.sudoku | -- |
| 超级杀毒软件 2020 | com.jaybox.cleaner.security | -- |
| 超级清除器 - 手机缓存清除器、内存增强器 | com.cleanbooster.ducleanerjungle.phonepro.info | -- |
| 超响闹钟 | carthus.warhamme | -- |
| 超大音量放大器 | com.veerajax.volumebooster | -- |
| 超级 Wifi 计数器 - 谁在使用我的 Wifi | com.whenanalyzer.speedtxts.wifireuter.wifibeoster | -- |
| 超级 Wifi 计数器 - 谁在使用我的 Wifi | com.wifibestusas.speedusas.wifibester.wifibestusa | -- |
| 免费电视杀毒软件 + Applock | toto.prosecurity | -- |
| none | com.anti.antianti | -- |
| Insta 的取消关注者和幽灵关注者 | lux.elixir.unfollow | -- |
| 病毒清除器 - 杀毒软件 2018 | jems.antivirus.security | -- |
| none | free.vpnmaster.leBlanc.proxy.anand | -- |
| WiFi 工具箱 | net.appstyl.wifi.booster.analyser | -- |
| WPS 测试仪 | none | -- |
| انفالوياب اينستاگرام | instapersan.youch.unfollow | -- |
| -- | com.adrocklink.batterysaveras | -- |
| -- | com.maloch.colorballsnbl | -- |
| -- | com.miyoo.myoubaidian | -- |
| -- | com.vttl.app7.restoreimaget | -- |
| -- | com.xmwork.ringmaster.makes | -- |
| -- | elphitamine.controlcenter | -- |
| -- | free.vpn.super.proxy.anou | -- |
| -- | hp.toolbox.speed | -- |
| -- | lulu.drmundow2017 | -- |
| -- | none | -- |
#@#3317921#@#