假冒 VPN 应用：恶意软件如何藏在“免费 VPN”下载背后

VPN 应用需要您给予很高的信任。它位于您的手机和互联网之间，而人们往往是在匆忙中安装它的：出行之前、看到某条新闻之后，或者因为朋友在聊天里发来一个链接。犯罪分子很清楚这一点，所以“免费 VPN”成了他们传播恶意软件常用的伪装之一。

本文分析一个有据可查的案例，解释为什么大部分风险来自官方应用商店以外安装的应用，并给出一份警示信号清单，供您在点击“安装”之前对照检查。

真实案例：一款掏空银行账户的“电视 + VPN”应用

2025 年 9 月下旬，安全公司 Cleafy 发布了对一种新型安卓银行木马的研究，并将其命名为 Klopatra。它通过一款冒充“自带 VPN 的免费 IPTV 服务”的应用传播。Malwarebytes 在 2025 年 10 月 9 日报道这项研究时指出，这并不是真正的 VPN，而是一款在应用商店之外安装的恶意应用，它让攻击者能够完全远程控制被感染的手机，从而窃取账号凭据并进行欺诈交易。

Cleafy 的发现揭示了这个骗局的运作方式：

**诱饵是免费电视。**习惯从网站而非应用商店获取非官方流媒体应用的人，愿意在 Google Play 之外安装它。
**看似无害的安装程序。**第一个应用只有一个简单界面和一个“继续安装”按钮。点击后会把用户带到安卓设置中，允许安装未知应用，随后悄悄装上真正的恶意软件。
**无障碍权限是关键。**恶意软件接着会申请无障碍服务（Accessibility）权限，Cleafy 称这是它得逞的关键。拿到这个权限后，它可以自己在其他权限弹窗里点击“允许”或“确定”。
**趁您睡觉时动手。**操作者偏好在夜间行动，此时手机通常在充电、屏幕关闭；他们还能在屏幕上覆盖一层黑色画面，让手机看起来像是关着的，同时在远程操作它。

Cleafy 称，在其分析时，这一行动已感染 3000 多台设备（报告还提到已确认的受害者超过 1000 人），主要在西班牙和意大利；自 2025 年 3 月以来，研究人员追踪到40 多个版本。

为什么商店以外安装的应用风险最大

“侧载”是指从网站、聊天、文件分享链接或广告中安装应用安装包（安卓上是 APK），而不是从官方应用商店安装。这样做并不总是危险的，一些正规开发者也提供直接下载。但它会让您失去几道安全防线：

**没有商店审核。**官方应用商店在上架前会审核应用，发现问题后可以下架。
**发布者不明。**聊天里的一个文件可以自称是任何东西，您很难看出是谁做的。
**没有可信的更新渠道。**假冒应用之后可能下载额外代码，或者要求您从同一来源安装“更新”。

假冒应用还会通过名称与真实品牌相近的仿冒网站、搜索结果中的广告，以及承诺“免费获得高级版”的消息传播。

警示信号清单

如果看到以下任何一项，请停下来想一想：

应用不在官方商店里，而链接来自聊天、论坛、弹窗或广告。
**安装过程中要求您允许“安装未知应用”。**从 Google Play 安装的 VPN 应用不需要安装其他应用。如果您通过 APK 直接安装我们的 Android 应用，请只从 vpnrice.com 下载；请求安装权限的是您的浏览器，而不是 VPN 应用。
**它申请无障碍服务权限。**Malwarebytes 建议问问自己：为什么一个应用想要控制您的设备、设置或无障碍功能，或者想安装其他应用？VPN 不需要读取您的屏幕。
**承诺得太多：**免费看付费频道、“破解版”高级功能，或者把 VPN 和毫不相干的东西捆绑在一起。
发布者名称与品牌不符，或者开发者没有网站、隐私政策和联系方式。
**评价看起来是假的：**大量简短的五星好评集中在同一时间出现，或者近期评价提到广告、耗电快或莫名扣费。
网站几乎是真网站的翻版，只是域名略有不同。

更安全的下载习惯

使用官方商店或开发者自己的网站

从 Google Play、App Store 或服务商的官方网站安装 VPN 应用，这也是 Malwarebytes 的建议。自己输入网址，而不是点击广告，就能避开大多数仿冒网站。

核对发布者和详细信息

在商店页面上，查看开发者名称、官方网站链接、隐私政策和更新记录。据安卓开发者博客介绍，自 2025 年 1 月起，Google Play 会为通过名为 MASA Level 2 的独立安全审核的 VPN 应用显示 “Verified”（已验证）徽章。它并不能保证应用完美无缺，但是一个有用的参考。