仅从Google Play商店下载应用，仍会遭遇应用重打包攻击吗？

别以为Google Play的审核是铜墙铁壁——哪怕你只从这里下应用，照样可能碰到被重打包的恶意软件，而且这类攻击真的能绕开商店审核上架，主要原因有这些：

1. 审核不可能做到100%覆盖 #

Google Play每天要处理几十万的应用提交和更新，不可能对每一个应用做全量代码审计。重打包者的套路很多：

• 把恶意代码藏得很深，用代码混淆、动态加载的方式伪装，或者做成触发式功能——只有满足特定条件（比如凌晨1点、用户输入支付信息时）才会激活，自动化审核工具根本查不出来，初期人工抽检也容易漏过。
• 先提交一个完全合规的“干净版本”过审，等上架后再偷偷推送带恶意代码的更新。虽然Google有后续监控，但这个时间差里已经有大量用户完成更新了。

2. 蹭热门应用的信任度 #

重打包者最爱找那些用户量百万级的热门应用下手，把恶意代码注入后，原封不动照搬官方应用的图标、名称、描述，甚至连开发者信息都模仿得八九不离十。很多用户看到是Google Play里的，又和常用应用长得一模一样，根本不会去核对签名或者开发者账号，直接就下载了——等于把恶意软件当成正版装到了手机里。

3. 签名环节出漏洞 #

• 有些开发者不小心泄露了应用的签名密钥，重打包者拿到后，就能给篡改过的应用签上合法的签名。Google Play的核心校验之一就是签名，只要签名匹配，就会默认是正版应用，允许上架或者更新。
• 早期还有人利用系统漏洞做“签名剥离”，不过现在这种操作已经很难了，但签名密钥泄露的情况至今仍时有发生。

4. 第三方SDK埋雷 #

很多正规应用都会集成各种第三方SDK，比如广告、统计、社交分享工具。如果某个第三方SDK本身被恶意篡改过，开发者不知情就集成到了自己的应用里，那这个从Google Play下载的“正版”应用，其实已经带了恶意代码。这种情况不算直接重打包应用，但本质也是恶意代码通过正规渠道流入用户设备。

内容的提问来源于stack exchange，提问作者n0unc3