美图软件“YellowCamera”读取短信验证码、触发WAP/运营商账单

       近日，美国的研究人员在GooglePlay上发现了一个名为“YellowCamera”的美图应用程序，该应用可从系统通知中读取SMS验证码，激活无线应用协议（WAP）计费。

       无线应用协议计费服务是由一系列协议组成，用来标准化无线通信设备的协议，如：移动电话、移动终端等；其负责将Internet和移动通信网连接到一起，客观上已经成为移动终端上网的标准。WAP将移动网络和互联网、内网紧密联系起来，提供一种与网络种类、承运商和终端设备都无关的移动增值业务。移动用户可以像使用他们的台式计算机访问信息一样，用他们的袖珍移动设备（如WAP手机-支持WAP协议的手机）访问互联网，从而在随时随地在手机屏幕上浏览互联网上的内容，收发电子邮件、查询数据、浏览信息等。

       Google Play商店在今年年初的时候更新了其在安卓应用的权限请求，特别对短信和调用日志权限做出了限制，还增加了对非默认应用程序的要求，让其能进行提示，询问用户开放访问设备数据的权限。本意是要想阻止虚假或恶意应用滥用这些特性来传播恶意软件、窃取个人识别信息或进行欺诈，但看来骗子总是百折不挠。

       根据研究人员的检测，该恶意应用程序为AndroidOS_SMSNotfy，该应用冒充相机和美图应用，在功能中嵌入了一个从系统通知中读取短信验证码的例程，而后激活WAP，在用户的手机费或银行卡里直接产生服务费。

       研究人员发现其他应用程序冒充这个美图应用订阅WAP服务，其原理相同，但是否来自同一运营商尚不得而知。

       目前，GooglePlay商店已经下架了这款应用。