恶意Android机器人应用程序可定位用户方位

最近发现一个可能是恶意的Android机器人应用程序：Tap Snake（经检测为TSPY_DROISNAKE.A）。该程序在用户接受其用户使用授权协议（End User License Agreement，简称EULA）后，能通过HTTP POST（gpsdatapoints.appspot.com/addpoint）将用户的卫星定位信息偷偷传送出去。

图1 Tap Snake应用程序的屏幕截图

图2 用户安装Tap Snake后出现的信息窗口屏幕画面

图3 Tap Snake用户接口

应用程序说明：另一款改版的Google Android机器人蛇游戏，这一只蛇会随敲打的声音转向。

更糟的是，用户将无法通过关闭该程序来阻止用户数据的泄漏。因此，用户只有两个选择：完全卸载该程序，或者停止SnakeService服务。只要该程序仍安装在用户的工具栏中，远程使用者就可以利用另一个叫做GPS SPY的Android机器人应用程序，来监控Tap Snake的用户所在位置。

图5 GPS SPY应用程序说明

图6 用户终止Tap Snake后所出现的窗口屏幕截图

用户在安装应用程序前先检查所要求的许可项目，本次案例中，Tap Snake并未要求采集GPS卫星定位数据，而是将此要求放在用户使用授权条款中，这应该就足以让用户在安装该程序前产生警觉。