2026-10-22 13:07:36 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

2026年9月移动设备威胁态势盘点

原创

安天移动安全
安天移动安全

安天移动安全

2026年10月19日 17:30
湖北

去阅读

威胁盘点 | 情报分析 | 风险预警

—第32期移动设备威胁态势报告—

移动端攻击活动主要态势

活跃手机银行木马为Trojan/Android.FakeBank.av和 Trojan/Android.FakeBank.aw家族，主要表现为仿冒知名银行。
活跃移动间谍木马多出自 Trojan/Android.ORCASpy家族，主要表现为窃取用户支付密码，可能会造成用户财产损失。同时我们注意到Trojan/Android.FakeAnalySDK.a跃升为恶意软件类别主要威胁，其伪装成色情、破解类软件，会动态下载恶意子包，根据远程服务器指令执行下载并加载指定文件、弹窗强制更新、打开浏览器、静默安装指定软件等操作，会导致用户设备感染其他恶意软件。
移动端风险应用类型以“色情应用” 和 “涉赌应用” 为主。
移动端涉诈应用以“即时通讯诈骗” 类场景为主。
移动端色情、博彩类风险应用多属于RiskWare/Android.Porn.a和 RiskWare/Android.Gambling.a家族。

安天移动安全每月对移动端活跃的恶意软件及风险应用开展跟踪监测，移动端恶意软件主要分为八大类：资费消耗、流氓行为、隐私窃取、系统破坏、诱骗欺诈、恶意扣费、远程控制、恶意传播。风险应用主要分为六大类：诈骗风险、色情风险、博彩风险、引流风险、换皮风险、传销风险。

常见恶意软件活跃情况

月度移动端常见恶意软件活跃类型对比如下图：

监测数据显示，本月八大类恶意软件，其中活跃量TOP3的类型为：“远程控制”、“流氓行为”、“恶意传播”。

本月移动端活跃恶意木马家族TOP10如下图：

Trojan/Android.FakeAnalySDK.a（31.76%）该程序包含恶意代码，会动态下载恶意DEX子包，子包上传设备信息到指定服务器，根据远程服务器指令执行下载并加载指定DEX文件、弹窗强制更新、打开浏览器、静默安装指定APK等操作，会导致用户设备感染其他恶意软件，存在严重的安全隐患，建议用户立即卸载。

Trojan/Android.ORCASpy.f（8.80%）该应用伪装正常应用，运行后诱导用户启用无障碍辅助服务，启用后自动获取相关系统权限。接收远程服务器控制指令，开启远程屏幕共享，获取用户联系人、短信、设备参数、照片等隐私信息，执行开启摄像头、录音、录像等操作，通过虚假密码输入界面窃取用户输入的支付宝、微信支付密码以及锁屏密码。给用户造成严重的隐私泄露和财产损失风险。

G-Ware/Android.xiaocao.a（6.54%）该应用运行后加载色情敏感内容，建议使用绿色健康软件。

Trojan/Android.AppCrack.b（6.33%）软件非官方应用，植入恶意代码，宣称破解版，主要诱导用户支付付款二维码，造成用户财产损失，建议使用官方正版应用。

Trojan/Android.ORCASpy.k（4.44%）该应用伪装成正常应用或色情应用，运行后诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

G-Ware/Android.GDowgin.oa（3.60%）该应用伪装成正版应用，重打包后添加无关代码，运行时加载广告，可能会造成流量资费消耗，请谨慎使用。

G-Ware/Android.Andut.b（2.63%）该样本运行后加密上传用户IMSI、手机号等固件信息，可能造成用户隐私泄露，请谨慎使用。

Trojan/Android.ORCASpy.b（2.37%）该应用伪装正常应用，运行后诱导用户启用无障碍辅助服务，启用后自动获取相关系统权限。接收远程服务器控制指令，开启远程屏幕共享，获取用户联系人、短信、设备参数、照片等隐私信息，执行开启摄像头、录音、录像等操作，通过虚假密码输入界面窃取用户输入的支付宝、微信支付密码以及锁屏密码。给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.n（1.79%）该应用伪装成正常应用或色情应用，运行后诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.u（1.78%）该应用伪装成正常应用或色情应用，运行后诱导用户安装子包，子包运行诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

活跃手机银行木马

本月移动端银行木马家族TOP5如下图：

Trojan/Android.FakeBank.av（53.86%）应用伪装成银行相关应用，非官方应用，可能会导致用户财产受到损失，建议卸载。

Trojan/Android.FakeBank.aw（22.75%）该应用伪装成银行相关应用，非官方应用，可能会导致用户财产受到损失，建议卸载。

Trojan/Android.nbank.g（13.85%）程序伪装正常应用，运行隐藏图标，请求激活设备管理器，上传用户手机固件、联系人、短信、彩信、通话录音、程序安装列表等隐私信息、还会判断是否存在指定银行app上传包名，同时存在私发短信、修改手机设置、拨打电话、设置置顶虚假界面等高危行为，造成用户隐私泄露和资费损耗，请卸载。

Trojan/Android.BankerSpy.d（3.59%）该程序伪装安全防护，运行后拦截用户短信，上传用户短信箱、联系人、手机基本信息、银行相关隐私信息。造成用户隐私泄露。

Trojan/Android.BankBot.g（2.16%）该程序运行隐藏图标，激活设备管理器，联网上传用户短信，手机号，手机固件信息。访问指定网址，利用银行相关钓鱼界面窃取用户银行卡账号密码相关信息造成用户隐私泄露和资费消耗。建议卸载。

活跃移动间谍木马

本月移动端间谍木马家族活跃趋势如下图：

当前移动间谍软件威胁格局呈高度集中态势。ORCASpy.f与ORCASpy.k构成一级威胁。

Trojan/Android.ORCASpy.f（35.76%）应用伪装正常应用，运行后诱导用户启用无障碍辅助服务，启用后自动获取相关系统权限。接收远程服务器控制指令，开启远程屏幕共享，获取用户联系人、短信、设备参数、照片等隐私信息，执行开启摄像头、录音、录像等操作，通过虚假密码输入界面窃取用户输入的支付宝、微信支付密码以及锁屏密码。给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.k (17.13%)该应用伪装成正常应用或色情应用，运行后诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.b（9.26%）该应用伪装正常应用，运行后诱导用户启用无障碍辅助服务，启用后自动获取相关系统权限。接收远程服务器控制指令，开启远程屏幕共享，获取用户联系人、短信、设备参数、照片等隐私信息，执行开启摄像头、录音、录像等操作，通过虚假密码输入界面窃取用户输入的支付宝、微信支付密码以及锁屏密码。给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.n（9.21%）该应用伪装成正常应用或色情应用，运行后诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

Trojan/Android.ORCASpy.u（8.50%）该应用伪装成正常应用或色情应用，运行后诱导用户安装子包，子包运行诱导用户启用无障碍辅助服务。其后开启摄像头、相册、短信等敏感权限，接收远程服务器控制指令，执行远程屏幕共享、模拟点击等操作，窃取用户相册、短信、视频、锁屏密码、支付宝和微信密码等隐私信息，给用户造成严重的隐私泄露和财产损失风险。

恶意软件国内受害区域分布情况