信息来源：嘶吼网

Doctor Web研究人员发现华为官方应用商店AppGallery中10个看似无害的APP中含有连接到恶意C2服务器来接收配置信息和其他组件的恶意代码。目前，有超过50万台华为设备下载了感染Joker 恶意软件的APP。

伪装成功能APP

研究人员分析发现，恶意APP的功能仍然与宣传的一致，但是会下载让用户订阅付费移动服务的组件。为了不让用户察觉APP的恶意行为，APP会请求对通知的访问权限，这样就可以拦截订阅服务通过SMS发送的确认码了。

目前，恶意软件会让用户订阅最多5个服务，但是攻击者随时都可以修改这一限制。恶意APP包括虚拟键盘、照相机、启动器、在线消息软件、涂色程序、游戏等等。

这些恶意APP的开发者多数来自山西快来拍网络科技有限公司。据统计，目前有超过53.8万华为用户下载了这10款恶意APP。

Doctor Web 通知华为后，华为已经从AppGallery 应用商店中移除了这10款含有恶意代码的应用程序。

Joker

研究人员称，AppGallery中受感染的APP下载的模块也出现在Google Play中的应用程序中，属于Joker 恶意软件的不同版本。

一旦激活，恶意软件就会与远程服务器连接来获取配置文件，其中含有任务列表，付费服务的网站、模拟用户交互的JS代码等。

Joker 恶意软件的历史可以追溯到2017年。2019年，Kaspersky研究人员对70款受感染的APP 进行了分析。2020年，谷歌发布报告称自2017年，谷歌已经移除了超过1700个被Joker 感染的APP。