关于荣耀应用市场含有害应用

应用名称:守护宝孩子端
包名:com.blabla.watchdog
签名状态:V1 + V2
UID:11274
SHA256:9dff092349b86f39957594d7964f53e880c655f9096a3fe1e0d51407708ae84f
SHA1:31bf338f6d32641c4b0b5b0827365dce4aa111f6
MD5:a606b52f43ff99c895fd49904932908c
下载渠道:荣耀应用市场
行为观测:该样本为家长控制类工具，宣称可管控孩子沉迷网络，实际运行中样本强制频繁申请多项敏感权限，包括但不限于无障碍、设备管理器、使用情况访问、通知使用权，并请求创建VPN网络，同时样本要求下载管控插件，该插件在设备管理器中声明了设置超级白名单、设置USB策略、设置管理APP的权限、设置设备管理、设置VPN、设置定位服务、设置Device Owner，样本还诱导开启无线调试激活超级管控，该超级管控实际为shizuku，样本在实际运行中表现出多项可疑行为，该样本默认禁用了QQ与Kimi，同时在用户未经授权下修改桌面布局，并且设置-应用管理、应用信息、开发人员选项均被阻止，阻断方式为利用无障碍和悬浮窗强制将自身Activity置顶，设备管理器取消激活、卸载、强行停止按钮均灰显，并且样本的VPN设置存在绕过用户授权自动、始终开启且无法关闭，此操作还直接阻断了防火墙工具的网络监控，并且play保护机制的安全扫描也无法正常进行，该样本自称能靠VPN提供上网保护，但实际对网址的屏蔽方式为导向其他链接（百度），但对Chrome无效，同时该样本在获取shizuku后其他shizuku工具无法连接和使用，并且即便选择进入安全模式仍然触发的是普通重启，无法进入，样本同时声称能够防恢复出厂设置，但目前团队多人测试并未有此能力，这理论上是绝无可能的，并且样本在运行过程中还存在拦截防火墙工具通知的行为，大概率别有用心，经监控，样本表现出极为频繁的网络活动，其孩子端在10分钟内与sJ-99.com、app.mi.com、spark-api-open.xf-yun.com、android.bugly.9.com、cs.map-qq.com、cs.map-qq.com等多达20个链接产生过网络活动，其中下行达9.5 MB，上行达179.5 KB，其家长端在10分钟内与111.202.16.75、125.31.59.229、map-dren.platform.dbankcloud.cn、soohubao.com等9个链接有过网络活动，下行达102.3 KB.，上行达45.3 KB，同时该样本在禁用部分应用时还存在利用全屏弹窗做掩护强行停止当前应用的行为，并且样本声称开启超级管控后能够做到无感截屏/同屏，在实际测试中并非完全无感，会有一瞬间的闪烁（这是Android系统设置决定的必然结果），但确实可做到远程截屏与同屏，而且在未激活超级管控下仍然可做到无任何提示，具体原因未知，若被滥用存在极高的隐私泄露风险，在测试中，样本共出现4次ANR，代码质量较为堪忧
检出率测试:
未检出组:360、腾讯、卡巴斯基、比特梵德、Certo，Avira，Avast，AVG、ESET、McAfee、F-Secure，Dr.web、Protectstar
检出组:
Malwarebytes:未反馈命名，但同时检出插件
MalwareFox:Trojan (005206bal)
AhnLab-V3:Trojan/Android.Agent.1295387
eScan:Android.Riskware.Agent.gHMJG
Google play protect.:干扰设备或其他应用的正常使用
qde2:QDE.V2.3.36WPMCZM2V.CT9
风险IP研判结果（基于微步研判、VTURL检测、腾讯云天御检测与360）
cs.map-qq.com:微步研判恶意，垃圾邮件，VT1/92
sj-99.com:微步研判未知，测绘存在异常标签kaiyun体育，VT0/71，云天御判定违规欺诈，360疑似诈骗风险
112.202.16.75:微步研判存在端口扫描行为，VT0/65
125.31.59.229:微步研判同C段含恶意IP，VT0/92，云天御判定存在风险（违反国家法律法规）
微步判定:未知
奇安信判定:恶意（恶意评分10）
         标签:TROJAN、Installation
VT判定:clean
综合看来，此应用已严重超出合法家长管控范畴，我方研判意见如下:
综合判定:Riskware（风险软件）/PUA（潜在有害程序）
风险等级:极高
危害自评:严重