2026-11-13 11:09:56 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

2026年第三季度IT威胁演变--移动端统计

原创

Securelist
Securelist

网络与信息安全参考

2026年11月11日 07:45
山东

去阅读

MALWARE REPORT2026.11.1

2026 年第三季度 IT 威胁演变 · 移动平台统计

卡巴斯基安全网络季度数据 · 作者 Anton Kivva · 译自 Securelist

攻击量连续回落，银行木马占比升至 31.63%

移动安全银行木马

EDITOR'S NOTE

移动部分

作为季度网络威胁报告的移动部分，本文包含 Android 平台恶意软件、广告软件与潜在不受欢迎软件的统计数据，以及报告期内发现的 Android 与 iOS 平台最值得关注的威胁。上述统计基于卡巴斯基产品的检测告警，数据来自同意向卡巴斯基安全网络（Kaspersky Security Network）提供统计信息的用户。

同系列 · IT threat evolution in Q3 2026. Non-mobile statistics（非移动平台统计）

PART

本季度关键数字

THE QUARTER IN FIGURES

根据卡巴斯基安全网络的数据，2026 年第三季度：

拦截涉及移动恶意软件、广告软件或不受欢迎软件的攻击超过 166 万次。
Trojan-Banker 类别是最主要的移动恶意软件威胁，占全部检出恶意应用的31.63%。
检出恶意安装包超过 37.8 万个，其中移动银行木马安装包119,688 个。

PART

季度重点事件

QUARTERLY HIGHLIGHTS

7 月，我们发现一款针对巴西用户的恶意应用，它可能利用 AI 实现欺诈流程的自动化。该应用伪装成 Google Play Protect——面向 Android 设备的一套安全服务。

仿冒 Google Play Protect 的恶意应用界面（截图为葡萄牙语，目标为巴西用户）

该应用的代码使用 DistilBERT 模型解析 C2 服务器下发的自然语言指令。代码中留下的痕迹表明，服务器端的指令本身也可能由大语言模型（LLM）生成。

8 月，我们发现一款木马，它会分析设备相册中保存的图片并截取屏幕截图，从中搜寻银行数据，包括 CVV 码。该恶意软件使用设备端 AI 模型对图片进行分类。应用还可以更新这一模型，这为诈骗者提供了扩展木马功能的手段。

第三季度，检测名为 Trojan.AndroidOS.Subscriber.bh 的知名订阅木马再次进入 Google Play。这一次，它伪装成一款制作键盘主题的应用。

伪装成键盘主题应用的订阅木马：Google Play 上的「Dapple Keyboard: DIY & Themes」页面

该木马在隐藏的 WebView 中打开订阅链接，并截获包含确认码的短信。据我们的数据，诈骗者主要针对泰国用户。

iOS 用户同样遭遇了新的攻击。8 月，Socket 的研究人员在 Packagist 仓库中发现 13 个被感染的 PHP 包。恶意载荷会向使用这些包的网站注入赌博网站链接，并且仅在 iOS 设备上注入一个隐藏 iframe，用于加载 DarkSword 漏洞利用工具包。该攻击投递了一个间谍软件模块，窃取钥匙串内容、Wi-Fi 密码、短信、照片及其他个人数据。在此次行动中发现的其它模块则用于窃取加密钱包数据，以及用于恢复钱包的助记词。

慢雾（SlowMist）的研究人员发现，同一套 DarkSword 漏洞利用链被用于一款名为 FomoPeek 的仿冒应用。FomoPeek 曾上架 App Store，自称是一款加密钱包追踪工具。该恶意软件的设计目的是从备忘录和加密钱包应用中窃取数据。

同样在 8 月，我们发现热门 iOS 应用的感染版本通过 Telegram 传播（原文链接为俄语）。为安装这类应用，攻击者要求用户购买开发者证书。被修改的版本内含一个恶意模块，会收集设备信息、截取屏幕截图，并将这些数据发送至服务器。

PART

移动威胁统计

MOBILE THREAT STATISTICS

涉及恶意软件、广告软件或不受欢迎软件的移动设备攻击延续下降趋势：攻击数量从第二季度的 1,996,823 次降至第三季度的 1,668,368 次。

卡巴斯基移动安全解决方案用户遭受的攻击次数，2025 年第一季度至 2026 年第三季度（下载）

第三季度的下降部分源于广告软件攻击的减少，我们将在下文详细分析。

与上一报告期相比，Android 恶意软件样本数量有所增长，达到 378,456 个。

检出的恶意及潜在不受欢迎安装包数量，2025 年第三季度至 2026 年第三季度（下载）

检出的安装包按类型分布如下：

按类型划分的检出移动应用，2026 年第二季度\*至第三季度（下载）

\* 由于部分检测判定经过回溯修订，上一季度的数据可能与先前发布的数据略有差异。

Trojan-Dropper（木马-投放器）应用的急剧上升，源于越来越多的投放器在投递 Mamont、Creduz 等已知银行木马。上一季度，我们描述过攻击者把银行木马「打包」的趋势。由此产生的恶意软件被归类为投放器，这解释了上述增长。需要注意的是，独立的银行木马仍居首位。若与投放器合并计算，两者占全部检出恶意应用的一半以上。

各类恶意或潜在不受欢迎应用攻击用户占比\*，2026 年第二季度至第三季度（下载）

\* 若同一用户遭遇多种类型的攻击，各项占比之和可能超过 100%。

AdWare.AndroidOS.HiddenAd 与 AdWare.AndroidOS.MobiDash 的攻击数量继续下降，但按受攻击用户数量计算，广告软件传统上仍居首位。Trojan-Dropper 占比的上升，与上一节所述打包式银行木马的增加相对应。在 Trojan-Spy（木马-间谍）攻击中，增幅最大的是 BTMOB 与 SpyNote 这两款用于盗取资金的 RAT 木马。

PART

移动恶意软件 Top 20

TOP 20 TYPES OF MOBILE MALWARE

请注意，下列恶意软件排名不包含风险软件或潜在不受欢迎软件，例如 RiskTool 或广告软件。

检测名称 Verdict

Q2 %

Q3 %

变动

排名

Backdoor.AndroidOS.Triada.ag

9.35

13.14

+3.79

Trojan.AndroidOS.Boogr.gsh

3.33

5.21

+1.87

DangerousObject.AndroidOS.GenericML.

5.25

4.61

-0.63

DangerousObject.Multi.Generic.

5.65

4.01

-1.64

-2

Trojan-Proxy.AndroidOS.Vo1d.b

0.07

3.20

+3.13

—

Backdoor.AndroidOS.Triada.z

3.23

2.85

-0.38

-1

Trojan-Dropper.AndroidOS.Mamont.am

0.00

2.72

+2.72

—

Trojan.AndroidOS.Vo1d.c

0.00

2.16

+2.16

—

Trojan-Spy.AndroidOS.Btmob.c

1.02

2.09

+1.07

+22

Trojan.AndroidOS.Fakeapp.in

0.00

2.03

+2.03

—

Trojan-Dropper.AndroidOS.Mamont.aq

0.00

2.03

+2.03

—

Trojan-Banker.AndroidOS.Mamont.hl

2.48

2.03

-0.45

-6

Backdoor.AndroidOS.Triada.ad

1.93

1.75

-0.18

-1

Trojan.AndroidOS.Triada.fe

2.18

1.70

-0.48

-5

Backdoor.AndroidOS.Triada.ae

1.44

1.67

+0.23

Trojan-Spy.AndroidOS.GGtrack.a

1.20

1.65

+0.45

Trojan-Banker.AndroidOS.Agent.ws

1.11

1.46

+0.34

+10

Trojan-Dropper.AndroidOS.BeatBanker.c

1.01

1.33

+0.32

+14

Trojan.AndroidOS.Triada.hf

1.93

1.33

-0.61

-8

Trojan-Dropper.AndroidOS.Creduz.t

0.00

1.30

+1.30

—

\* 遭遇该恶意软件的唯一用户数，占卡巴斯基移动安全解决方案全部受攻击用户的百分比。表中 Q2、Q3 分别指 2026 年第二、第三季度；「变动」单位为百分点（p.p.），「排名」为相对上一季度的位次变化。

榜单大部分由上一季度就已活跃的木马变种构成：预装型 Triada 木马的多个版本、Mamont 银行木马以及 BTMOB 间谍软件。

第三季度最猖獗的恶意软件中，最主要的新面孔是由预装木马投递的 Trojan-Proxy.AndroidOS.Vo1d.b 应用。这类应用会把设备变成某个 VPN 服务的出口节点。此类攻击的危险性有两方面。第一，它会消耗用户可能正在付费的上网流量，用来中继他人的数据。第二，网络犯罪分子可以利用被感染的设备攻击在线服务、访问被禁网站，以受害者的名义违法。

PART

移动银行木马

MOBILE BANKING TROJANS

2026 年第三季度，Trojan-Banker 安装包数量在上季度下降之后重新开始上升。