一、背景介绍

近日，阿里移动安全收到多方用户反馈，手机中了一种难以清除的病毒。病毒一旦发作，设备将不断弹出广告，并自动下载、安装、启动恶意应用，最终设备衰竭而死，用户很难通过常规的卸载手段清除病毒。由于该病毒有多个版本演变并有起死回生之术，我们将该病毒命名为“九头虫”。

我们分析发现，“九头虫”病毒利用多家知名root sdk对设备提权，可轻松提权上万总机型，成功提权后获得设备最高权限，随后向系统分区植入多个恶意app，删除设备其他root授权程序、su文件，并替换系统启动脚本文件，实现“起死回生”同时保证病毒具备root权限，将自身插入某杀软白名单中，并禁用掉国内多家知名杀软，致使设备安全防护功能全线瘫痪。

中毒设备将作为“九头虫”病毒的僵尸设备，每天推送上百万广告，其点击率大概15%（主要是病毒自身的模拟点击），也就是说每天广告点击上10万次，再加上静默安装与欺骗安装，每成功安装激活赚取1.5~2元，如此收益不菲！

二、“九头虫”传播途径与感染数据统计

2.1、传播途径

最早我们截获到伪装成“中国好声音”应用的“九头虫”病毒，通过排查历史样本，我们发现大量“九头虫”变种病毒，其传播方式包括：伪装成热门应用、重打包生活服务类、色情诱惑类、系统工具类应用，比如伪装成“中国好声音”、“清理大师”、“新浪娱乐”等，以及色情应用“帮学姐洗澡”、“性感の嫩模”、“寂寞少妇”等，同时“九头虫”的恶意模块完全受云端控制，导致用户也不清除中毒来源。

↑传播病毒图标

2.2、感染数据统计

1、全国地区感染分布

对2016年初到2016年10月的监测统计数据显示，“九头虫”病毒累计设备感染量高达33万。从感染地区分布图中可以看出四川、广东是感染重灾区。

2、每月设备感染趋势

从每月设备感染趋势图可以看出，“九头虫”病毒爆发周期是4～5个月，在随后的4～5个月每月感染数下降，这正好也是病毒变种的一个周期。最近在8月初达到峰值，随后几月将是衰减期。