一种新型 Android 恶意软件正在将你的手机变成代理节点

网络安全研究人员发现了一种名为 Mirax Android RAT 的复杂新型威胁。这是一种远程访问木马，通过在 Facebook 和 Instagram 等 Meta 平台上投放广告，已悄然感染超过 22 万名用户。Mirax 的特别之处不仅在于其传播规模，还在于它安装后的行为：它会将受感染的 Android 设备转化为 SOCKS5 代理网络中的节点，实际上是将普通智能手机变成路由犯罪互联网流量的工具。

如果你曾点击过移动广告，并被提示从 Google Play 官方商店以外的地方安装应用，那么这一威胁与你息息相关。

什么是 SOCKS5 代理僵尸网络？犯罪分子为何要构建它？

要理解 Mirax 的危险性，首先需要了解 SOCKS5 代理是什么，以及它为何对网络犯罪分子具有价值。

SOCKS5 代理是一种网络中继方式，通过中间设备转发网络流量。它也存在合法用途：企业使用代理进行网络管理，注重隐私的用户有时会通过可信服务器转发流量以隐藏自己的 IP 地址。SOCKS5 灵活且高效，因此对合法用途和恶意用途均具有吸引力。

然而，犯罪分子看重代理网络的原因在于匿名性。当攻击者通过数千部受感染的智能手机路由其活动时，他们的真实位置和身份几乎无法被追踪。每台受感染的设备都充当一块跳板。调查人员追踪网络攻击的踪迹时，最终可能指向另一个国家某位无辜者的手机，而非真正的攻击者。

这也是基于僵尸网络的代理网络在犯罪市场上具有商业价值的原因。运营者可以出租这些网络的访问权限，为其他恶意行为者提供一个分布式、持续更新的住宅 IP 地址池——这些地址看起来比通常被安全系统标记的数据中心服务器更为可信。

Mirax RAT 似乎正是为构建这类基础设施而设计，同时还会窃取受感染设备上的个人数据。

Mirax 如何通过 Meta 广告传播

Mirax 的传播方式值得深入研究，因为它利用了大多数用户已习以为常的东西：社交媒体广告。

研究人员发现，Mirax 通过在 Meta 平台上投放的恶意广告感染了超过 22 万名受害者。这些广告很可能引导用户从官方应用商店以外的渠道下载应用，这种技术被称为"旁加载"（sideloading）。Android 的开放架构允许用户从第三方来源安装应用，而恶意软件传播者正是持续利用这一特性。

利用付费广告传播恶意软件，反映了网络犯罪分子作案方式的更广泛转变。他们不再仅依赖钓鱼邮件或被攻陷的网站，而是投入合法广告基础设施，以便快速且具有说服力地触达大量受众。精心设计的广告看起来值得信任，尤其是当它与亲友的内容并排出现时。

Meta 已建立相应机制来检测和删除恶意广告，但鉴于其广告平台的规模，部分广告活动在被发现之前不可避免地会漏网。

这对你意味着什么

如果你使用 Android 设备并经常与社交媒体广告互动，Mirax 活动是对多个实际风险的直接警示。

首先，你的设备可能在你不知情的情况下被攻击，并被用于协助犯罪活动。成为僵尸网络的一部分不一定会产生明显症状。你的手机可能运行时温度略有升高，或电池消耗更快，但许多用户不会察觉，或会将这些迹象归因于其他原因。

其次，犯罪代理网络所服务的目标——即掩盖流量和隐藏在线身份——与消费者通过 VPN 和隐私工具合法追求的目标相同。关键区别在于知情同意与安全性。合法 VPN 通过你自主选择的可信加密服务器路由你自己的流量；而僵尸网络则在你不知情的情况下，通过你的设备路由他人的犯罪流量，使你面临潜在的法律审查，并消耗你的带宽和流量。

第三，在社交媒体平台上看到应用广告，并不代表该应用是安全的。广告的来源无法保证所宣传内容的合法性。

保护你的 Android 设备的可行步骤

保护自己免受 Mirax 等威胁不需要技术专长，但需要养成持续的良好习惯。

  • 只从 Google Play 商店安装应用。 避免通过广告、消息链接或第三方网站提示进行旁加载安装，无论它们看起来多么合法。
  • 仔细审查应用权限。 手电筒应用不需要访问你的联系人或运行后台网络服务。过度的权限申请是一个警示信号。
  • 保持操作系统和应用更新。 安全补丁可修复恶意软件利用的漏洞。
  • 使用声誉良好的手机安全软件。 多款口碑良好的安全应用可以检测已知恶意软件家族并标记可疑行为。
  • 对推广应用下载的移动广告保持警惕。 如果某条广告促使你进行安装操作，请在继续之前通过官方渠道核实该应用。
  • 监控你的数据使用情况。 后台数据消耗出现无法解释的峰值，可能表明你的设备正被用于你未授权的目的。

Mirax Android RAT 是犯罪操作已成熟到能够大规模利用日常数字习惯的一个典型案例。了解这些攻击的运作方式，是做出正确选择、真正守护你的设备、数据和网络连接的第一步。