PG移动端安全实验室：伪装安装包识别

伪装安装包识别的术语范围

“伪装”强调呈现身份与可验证身份不一致。文件可复制名称、图标、启动画面和版本文字，也可用“升级”“修复”“专版”解释证书变化。相似外观而无明确关系时不能称为正版；未找到关系也不等于证明恶意，准确结论是“身份未确认”或“存在不一致信号”。

“安装包”包括Android侧载文件、诱导安装的配置或描述文件及网页触发安装流程。本页不把普通缓存或媒体都叫安装包。先由扩展名、系统提示和取得方式确认对象；文件名可伪造，最终看系统识别类型、证书与行为。不要靠运行来判断类型。

“识别”是风险筛查，不是完整恶意代码分析。地址、摘要、签名、权限、版本与运行前提示可排除很多高风险路径，却不能发现所有未知行为。深入分析应在授权隔离环境。普通读者原则是证据不足不运行，不为好奇扩大权限。

伪装可以发生在四个层面：页面模仿主体、文件模仿名称、应用模仿界面、更新模仿维护通知。某对象可能只在一层伪装，因此检查不能停在“网页是真的”或“证书没变”。页面被入侵也可能提供错误文件，真实文件也可能被假更新替换。把四层分别画出来源与连接证据，能发现可信外壳之后的断点。

包名看似正规也可能是伪装的一部分。Android包标识通常用于区分应用，但普通读者无法从字符串格式判断归属；证书与可信发布记录才提供更强连接。文件若试图覆盖已安装应用，系统可能因签名不同拒绝，这是一项重要冲突，不应通过先卸载旧版来绕过。卸载会失去一个可用于比较的可信基准，也可能删除本地数据。

伪装安装包常利用读者先认图标、后看系统字段的习惯。一个具体场景是文件名只差一个空格，安装后图标与熟悉页面一致，却以不同软件包标识出现，并在首次启动请求悬浮窗和通知读取。识别时先关闭安装界面，不运行样本，记录文件摘要、包名、版本代码、签名证书和清单权限，再与可信旧版或受控来源资料对照。图标、截图、证书显示名和文件名都容易复制，只能做辅助线索。若伪包使用另一个包名，它可能与真实应用并存，用户不会看到更新冲突提示，因此系统桌面上的两个相似图标尤其需要从应用信息页区分。

若系统允许导出已安装包，也不要从日常设备随意复制未知对象。优先保存摘要和系统字段，确需样本时使用专业流程，避免在共享文件夹和云盘留下新的传播副本。

公开资料能够证明什么

WCAG 2.2用可感知、可操作、可理解和健壮四项原则组织网页可访问性。^来源1 可检查警告文字、按钮焦点、键盘退出、倒计时施压、颜色是否唯一提示。可访问性差可能增加误触，却不自动证明恶意；设计良好也不证明文件真实。

Apple平台安全指南把系统安全、更新、应用代码签名、运行保护与应用访问数据分别说明，并指出应用安全采用多层保护。^来源2 这支持不依赖单一信号。它描述Apple平台，不能直接鉴定Android APK，也不能替第三方建立发布关系。系统允许打开不等于身份或长期行为确认。

来源没有目标文件证书、摘要、包名、分发地址或版本记录，本页不列“已验证包”。公开资料只定义检查维度。具体结论须来自对象可观察信息，并明确设备与日期；把一般标准写成文件认证属于越界。

可访问性检查还应关注危险操作是否被设计成默认焦点、取消是否需要更多步骤、错误提示是否用含糊图标、倒计时结束后是否自动开始下载。此类设计可能让键盘、屏幕阅读器或视力受限读者更难退出。记录具体交互，不推断设计者意图；即使只是糟糕设计，读者也有充分理由离开，不需要点击下一步来验证。

界面模仿还包括伪造系统弹窗。真正的系统权限框与网页绘制框可能外观相近，读者可用系统返回、应用切换和权限设置确认请求是否真实登记。不要在弹窗中输入系统密码或验证码；权限请求通常不需要这些秘密。无法分辨时关闭页面，从系统设置查看最近权限变化，比在原界面继续点击更安全。

识别表可以按身份、分发、权限、网络和更新五组信号排列。身份组看包名、签名和版本连续性；分发组看起始域、重定向与是否来自私人文件；权限组关注短信、通讯录、无障碍、覆盖层和安装未知应用；网络组记录首次启动主机及明文连接；更新组查看是否由同一渠道维护。单个异常不必被夸张为恶意结论，但签名冲突、身份无法对应和高影响权限组合出现时，已经足以停止。表中另列可解释证据，例如正式迁移说明或明确功能用途；解释必须来自可追踪主体，不能由分发页自我声明完成。

对照表：信号、风险与行动

强风险常成组出现：缩短链接隐藏终点，倒计时施压，按钮要求关闭保护，证书与旧版不同，首次打开请求辅助功能或设备管理。每项可能有其他解释，组合却显著提高身份与控制风险。应保存公开事实并退出，不继续试装。

中等信号包括版本与页面日期不一致、下载主机与主体无公开关系、权限说明含糊、更新后大小异常。它们需一手材料，而非评论。图标清晰、有隐私文字、系统能识别只是低信息信号，不能降低身份缺口权重。

行动对应信号：域名变化记跳转；签名变化比较证书而不运行；权限异常拒绝；取消不可见时用系统返回或关闭。Apple多层保护思路说明来源、签名、运行与数据访问分别检查，不能用一层覆盖其他层。^来源3

证书比对不能只看“有效”字样。验证程序可能只说明签名结构未损坏，并未确认密钥属于声称主体。应保存完整指纹、主题、有效期、签名方案、包标识和可信基准来源。若旧版基准本身来自匿名页面，比较一致也只证明两个对象共享密钥或证书，不能建立真实身份。哈希同理，只识别字节，不赋予信誉。

版本文字也容易伪造。应用内“关于”页面显示的版本可以与系统包信息不同，落地页又可能写第三个数字。三者不一致时分别保存，不选择最合理的一个替它们解释。系统包信息更接近安装对象，但仍需证书与文件对应。所谓内部版、抢先版若没有明确主体的公开说明，不降低签名或权限检查标准。

若样本已运行，先在不输入任何资料的前提下断开不必要网络，记录正在显示的权限和页面，然后从系统设置撤销特殊访问并卸载。检查无障碍服务、设备管理、通知读取、VPN、用户证书、默认浏览器和未知来源授权是否改变。异常弹窗仍出现时，记录触发时间与前台应用，不随意安装清理器。若同名真实应用也在设备上，避免误删其数据，先核对包名。账号或验证码已经输入时，应从另一台可信设备处理相关安全设置。诊断报告只描述观察到的行为与残留，不在没有分析证据时给样本贴上超出范围的标签。

三个情境化检查示例

情境一：消息出现“最新版修复包”，图标与旧应用一致。记录地址和时间，再比较新旧摘要与证书。变化可能是升级也可能重打包；没有主体版本说明，不能选择安装。若要求删旧版并关闭扫描，退出。

情境二：移动页只有醒目继续，取消文字很淡且键盘焦点无法到达。可记录可感知与可操作问题，因为设计提高误触；不能仅凭此宣布恶意。用浏览器关闭或系统返回，不点击确认下一步。截图含地址和上下文，分享前移除通知。

情境三：签名稳定、摘要一致，但首次打开请求联系人和短信。身份线索强不代表权限合理。拒绝并观察核心功能；若阻止退出或反复引导，停止并卸载。记录“权限与功能不相称”，没有网络证据时不推断数据已被窃取。

三个情境分别得到身份未确认、界面误触风险和权限独立风险。分别命名比笼统标签准确。继续比签名可参考“APK签名与哈希教程”，需要清理则看“卸载和残留清理”。

若读者已经误装，先不要在应用内寻找申诉或卸载按钮。断开非必要网络，从系统设置撤销设备管理、辅助功能、通知读取与VPN，再正常卸载，并在可信设备上保护可能暴露的邮箱或复用密码。没有证据证明凭据泄露时也可采取预防性更改，但要从独立入口完成。保留的记录只需时间、权限和文件属性，不保留真实密码或验证码。

安装后若出现异常，不要急于清除全部证据或继续操作。先记系统时间、权限、版本、安装来源和可见错误，随后撤销控制权限并卸载。涉及密码复用时，从另一台可信设备更改相关凭据、撤销会话并检查恢复方式；不要使用可疑设备打开邮箱。没有确认外泄也可做预防性处置，但报告应区分预防与已证实事件。

伪装包还会利用系统分享与默认打开设置扩大影响。样本首次运行后若请求成为默认浏览器、短信应用、链接处理器或安装器，应把默认角色与普通权限分开记录。成为默认处理器后，它可能截获之后的链接或消息，即使用户不再主动打开图标。检查系统默认应用、受支持链接和“打开方式”列表，撤销本次新增关联。若同名包把真实域声明为受支持链接，却没有得到系统验证，点击网页时仍可能弹出选择；不要因为能接住链接就认定官方关系。卸载后再测试这些链接是否恢复正常，并检查其他应用默认值是否被误改。将默认角色、深层链接和特殊访问加入身份表，可以发现只看安装权限时遗漏的持久控制面，也为清理提供明确路径。

结论、限制与后续更新

最终记录包含对象、取得路径、日期、摘要、证书、权限、界面诱导和边界。能确认写事实，不能确认写缺口。不公开设备标识、私人消息、联系人或凭据。文件删除后可保留非敏感摘要用于比较，但不能声称代表所有同名版本。

本页未执行恶意代码分析、服务器审计或法律判断，也没有由Apple或W3C认证文件。WCAG用于理解可访问性与误触，Apple指南用于多层安全；它们与Android文件有明确边界。系统、地区、证书更新和分发变化都会使旧记录失效。

更新应由可验证材料触发，如主体发布版本说明、解释证书连续性或权限改变。保留旧观察日期和原因。只有匿名评论或截图而无地址和身份，不改变结论。复审尤其检查是否把“未发现”写成“绝对没有”。

任何识别清单都有盲区：恶意行为可延迟触发，服务器可按地区返回不同内容，合法应用也会存在漏洞，系统扫描也可能漏报或误报。因此结论要写检查日期、版本和未覆盖范围。未来发现新证据时，区分“此前未观察到”与“此前不存在”；前者允许纠正，后者是无法由有限检查支持的绝对断言。

伪装识别还需防止“反向认证”：有些页面会先列出常见骗局，再宣称自己因此必然可信。能准确描述风险只说明作者了解这些术语，不证明其文件、域名或证书。应对该页面采用与其他来源完全相同的标准，不因它展示安全教程、检测动画或用户评价而降低要求。评价数量、星级与即时在线人数都容易被构造，只能当页面呈现，不能当独立证据。若页面允许在不下载时查看文件摘要，也要找明确主体的基准进行比对；页面自报值与页面自供文件属于同一来源，二者一致不能形成交叉验证。

还要警惕文件扩展名被隐藏或重复，例如看似图片的名称末尾实际带有可执行扩展。应让系统显示完整类型，不从聊天预览判断。压缩包内含多个安装文件时，不逐个运行寻找正确版本；先核对清单与明确主体说明，缺失就整体退出。

文件提供者若拒绝公开版本、证书或更新说明，却要求读者先运行后识别，已经颠倒安全顺序。身份检查应尽量在执行前完成，无法完成就停止。

伪包证据清单包括原文件、摘要、取得路径、图标截图、包名、签名、权限清单、网络目标、特殊访问和卸载后状态。常见问题是“安全扫描无报警能否排除伪装”；扫描不建立品牌归属，也可能未覆盖动态行为。另一个问题是“证书名称与公司相同是否可接受”；证书显示字段可自填，需由受控来源确认指纹。提交样本截图时遮住本地路径、账号和通知。若后来发现正式包，使用相同字段并排比较，不仅比较文件大小。最终结论可写成身份不一致、权限不相称或来源不可追踪，保持每项判断都能回到具体证据。

发现疑似伪装后，不在日常社交群直接转发样本求证。可向有明确样本接收政策的可信安全渠道提交摘要和最小信息，并遵守其隐私要求。公开提醒只描述可验证字段与退出措施，避免贴出可点击下载地址而扩大传播。

伪装包识别还要复查默认角色、深层链接和卸载后关联。