今天发现在酷安下的 app 有私货

[des]

就是这个

在 data 目录发现的


相信大家用屁股想都能知道是做啥的。
新版的酷市场有校检，不大可能被劫持

说实话，我还是蛮相信酷安的，相信不是他们自己干的。以后我还是会继续用。
但是有理由相信他们的审核机制有问题，不管哪里弄得 apk 都能上。

很可惜的是我自己复现失败了。
是不是我想弄大新闻大家自己斟酌好了

[des]

附上 apk 和可疑文件
https://cloud.mail.ru/public/35ad6dNk81in/files.zip

权限还挺多，不知道和黑产有没有关系

[iAV]

连 Google Play 上的国产 app 我都不敢信，国内的软件市场怎么可能有清纯的。。。。。

[Kirscheis]

关注，电脑不在身边，谁来反编一下那个 xiaomi_minotelte.apk ，感觉有严重木马嫌疑。

[pimin]

关注下，坐等小编和楼主 py 交易

[xuboying]

有问题到 app 下面留 comment 啊， comment 被删才能证明酷安有问题

[des]

@xuboying 没说是内部干的，我是说审核不严。

另外我自己复现失败了。。

[VmuTargh]

@pimin 酷安其实在 v 站很多人的（
只不过好多都是万年深海烂泥……（光速逃

[243205964]

我一直都不推荐用酷安，实际上酷安和其他的第三方市场一样，尤其是酷安的游戏，好一部分和官方签名都不一样。 Google Play 都警告了，居然还有人洗地。

[fengxiang]

里边一堆破解，有各种加料很正常。

[des]

@xuboying 我觉得那个 blackbox 应该更有料才对，很可能是个提权工具

[rosu]

关注。感觉有大事。

[arfaWong]

在 关于 --> 网络诊断 里可以看到有几个下载源不是酷安的，所以这个锅不一定有酷安来背。

[des]

嗯。。怎么说呢，这是一个自带 root 工具的木马 /后门。
可以确定百分之百和黑产有关

[des]

@arfaWong 随便你怎么说，不信你自己去下载尝试好了

[des]

@arfaWong 我已经抓过包了，是从 dl.coolapkmarket.com
这个域下载的。
另外对于刚刚的过激我表示抱歉

[xuboying]

@des 到底是不是酷安的锅。。。看不懂

[LGA1150]

说不定是无良 ISP 偷偷劫持了呢？

[xuboying]

@arfaWong 小米上好像没有这个功能

[dphdjy]

@tastypear 酱紫不就明白了

[arfaWong]

@des 这么看来，酷安在 app 审核方面确实存在问题

[des]

@LGA1150 都说了不可能了，新版的酷市场有校检的。
再者说运营商不大可能劫持的时候，即时下载到自己的服务器，然后编译成自己的，然后再跳转。

[LGA1150]

@des 我看了一下 URL ，发现是这样的格式：
http://dl.coolapkmarket.com/down/apk_file/2016/0112/com.thankcreate.StrangeAdventure-5.4.4-31.apk?_upt=cbc3c0481461856284&md5=339fb73ca09ee7ec2780d08a2c0c3432
md5 作为参数被加到 URL 里面，也就是说 ISP 可以劫持文件 md5

[myang]

酷安本来就是各路盗版破解，根据不同来源，有夹带很正常。免费 app 就不说了，盗版 app 嘛酷安的安全度和论坛其实差不了多少。大家一致认为酷安“良心”，是因为酷安在提供免费和盗版的时候，比其他的市场要良心，对于免费 app 从 google play 提取干净 apk ，对于盗版 app 从国内外论坛找来相对比较安全的破解，其他市场则是乱七八糟险象环生。酷安同时还有非常多不上架 google play 的， apk 来源只能是作者提供，是完全不可能指望小编试用两下就能保证安全的，这类 app 建议除了口碑好的，能不装就不装。

[des]

@LGA1150 md5 是可以被修改，但是我在两个完全不同的网络中下载的的确是同一个文件，而且这是一个算是小众的 app ，总不能说有人针对我吧？

[KillAd]

@des 楼主听说过 DCM 吗
这可能是一枚 DMC for Android
以上文字是键盘驱动故障自动敲出(

[bdbai]

@KillAd 键盘厂问你要 1000w 准备好没

[Khlieb]

@LGA1150 如果要求小编上 HᴛᴛᴘS 会怎样

[TakanashiAzusa]

事实上酷安那么多破解和第三方插件，完全有理由可以相信有私货——不过这最多只能说小编审核不严(然而 App Store 去年都被 ghost 搞了，酷安小编也没有什么值得指责的地方。毕竟很多即使有后门藏的也比较深，排查需要一定的技术能力。只能建议尽量官方下载

[des]

@TakanashiAzusa Xcode 那个只是信息收集。如果里面内置了提权工具+后门，你觉得苹果真查不出来？？

另外我提供的网盘自带的杀毒都报毒了好不？

[7654]

发现楼上几位为酷安洗地的逻辑感人

[66beta]

半年没摸过 Android ，酷安是什么鬼？国内市场统统信不过

[yangff]

@des 下载不聊

[laowu2012]

要嘛 Google Play ，要嘛 1 Mobile 。

[ylx]

前两天接到谷歌商店提示就卸载了

[SourceMan]

没 root 的机能执行这个脚本吗

[greatghoul]

之前在上面下载的 minecraft 竟然有弹屏广告，于是我就再不在上面下载东西了。

[des]

@SourceMan 自带 root 工具，你觉得呢？


@yangff 重传了，还是那个地址，密码 v2ex

[SourceMan]

@des 哎，好像说自作孽不可活，不过帖子不是声讨用户

[FringJX]

@des a 这个游戏的作者怎么可以这样

[fansekey]

打算删了，感谢提醒

[tastypear]

@greatghoul 一开始用了某个国外的修改版，出了一次问题后一直都用原版了

[FringJX]

现在的问题不应该是声讨木马作者吗？ MD5 值在那里放着，查一查不就知道谁的锅了吗？各位技术大拿

[tastypear]

LZ 真是好屌还会看 md5 ，太了不起了，那么 LZ 那么厉害，懂不懂 apk 签名？
那么上图：
既然信誓旦旦说自己没有被劫持，应用宝、 Play 、酷安，是同样的包，同样的签名，那关酷安屁事？有问题 LZ 不该去挂游戏作者吗？
现在的人为了搞个大新闻真是跑得比香港记者还快，还有下面说洗地的，没技术的就不要假装是个技术宅在那儿起哄，谢谢。
——酷安梨编

[Halry]

其实不给 su 什么都好

[tastypear]

@hfl1995 大众的平均智商感人，终于看见一个懂的人

[AWWBWG]

。。。。。。。。。
这波洗地有点厉害

[21grams]

@tastypear 最上面的那个明显跟下面两个的 CRC ， MD5 都不一样啊。

[des]

@tastypear 这番话我不做评价，很有可能是作者干的，但是你确定酷市场完全没有义务去进行安全扫描吗？

我也不清楚酷市场里面有没有这样的免责条款

[des]

@Halry 不给 su ？？自带 root 工具好不好？

[kamen]

酷安小编的话:
这个 app 已经被 play 下架了，我们当初都是跟着 play 更新，后来是跟着国内市场更新，这个开发者的本名叫谢创，大家在应用宝的页面去看开发者名字 http://coolapk.com/r/2j3u ，而且我们提供的下载包和应用宝的 md5 都一样，所以提醒你是危险应用那也是开发者的锅，要问也应该是去开发者啊，和我们有什么关系，毕竟这游戏很不错今早看到 V2EX 上面有人说我们，我只想说，作为一个有理想还在为生存奋斗的团队，谁 tm 有那个闲心去修改 apk 啊，我们加新人才 3 个程序员，酷市场自己一堆功能都做不完，去修改 apk 简直就是 tm 吃饱了撑的。

[tastypear]

@des 市场的义务是保证源头，杀毒不是我们的工作，这个包本身就在所有市场流通，而你专门针对酷市场，我是不是该说几句？如果你可以举证这段代码的触发方式，造成了何种后果，确认是木马行为，我们应该下架此应用，这和 play 的做法是一致的，这才是我们作为市场的义务。

[EchoWhale]

所以说：
第一，优先 google play 安装，因为 google 会审核。
第二，其次去官网装，连官网都没有的小应用不装也罢。

肯德基的鸡肉出了问题， KFC 说：这 tmd 是鸡肉提供商的锅，你去声讨他

[tastypear]

@EchoWhale 全国的鸡肉源头都出了问题，而你去声讨肯德基

[dong3580]

酷安市场应该尽力做好垃圾软件，恶意软件过滤诶！

这回复，虽然有道理，但问题应用在你们商店上，大家相信你才去你家下载。能力越大，责任越大，而不是推卸自己的责任。

[EchoWhale]

@tastypear 然而肯德基有审核义务，鸡肉有问题，可以提供牛肉。
既然提供了有问题的鸡肉，就不该继续说我们 KFC 是安全的卫生的有良心的

[yexm0]

做个检测，如果安全软件报警就在软件介绍里做个说明或者挂个免责条款啥的都行啊。
例如像楼主这个连个网盘自带的杀毒都报毒了的货。

[Kongloli]

@EchoWhale 沃德天，你想拿买鸡肉的钱用来买牛肉。

[LMkillme]

@tastypear 你们在帖子里的回应显然有点用力过猛了，别先树立对立情绪啊

[EchoWhale]

@Kongloli 鸡肉牛肉只是比方，你要纠结于价格，那就改成鸭肉好了。

[v2htm]

某年央视 315 晚会，揭批麦当劳的薯条居然超过 7 分钟后不按照自己的要求倒掉，这事让我乐了很久
@tastypear 我觉得总得来说网友的反应不管怎么样前提都是高度认可酷安，所以才会有求全责备，甚至苛刻（如果有由于利益关联而带恶意的除外）
用户一厢情愿得希望高逼格市场不光自己不作恶，而且能尽量对源头把关，让人更加放心得使用，这是人之常情，我觉得酷安首先消除误解就够了，能在有限的人力下尽可能再把一层关当然更好了，酷安的逼格只会更高

[AWWBWG]

@tastypear 你就真的觉得这件事上面酷安一点需要改进的地方都没有？整个贴子可能有很多都是酷安用户，只是在合理发表意见建议。我看你在酷安评论里面张口闭口一个傻逼，你不觉得伤得都是用户吗？

[v2htm]

LMkillme 3 分钟前
@tastypear 你们在帖子里的回应显然有点用力过猛了，别先树立对立情绪啊

确实，我有同感，但前提是看了他的回应知道怎么回事之后。想想如果我的网站被人公开指责或怀疑挂了马，却连简单的验证没做（或者不懂），我会爆粗口的

[chih]

支持梨编，支持小编

[v2htm]

我在想，如果酷安对收录的应用能加个来源标记会不会解决很多类似的问题？比如来源分： play 、开发者官网、其他市场、网络

[tastypear]

@EchoWhale
这句话对所有人说，酷安是个汇聚资源的中转站，我们的责任是保证源头来的货完整不变地到达用户手中，至少不是在我们环节出错。
就说 KFC 事件， KFC 最终的处理方式就是发了个公告说不再和问题厂商合作。
你说的良心就是餐馆采购质检合格的食品，上游质检部门出了问题怪下游采购没自己的化验，这逻辑是不通的，就像我们的包本身就和 play 一致，也确认是作者亲自发的，我们作为下游已经做到位。
再说现在只能说是 LZ 主张应用有嫌疑，谁主张谁举证，我们能做的就是举证确认后下架。

[des]

果然这种帖子就是铜币多，我对酷安的回复态度表示失望，我也不是想针对你们。
我只是碰到了这种事情拿出来吐槽，我怎么知道你们是从哪里弄得 apk
幸好没人说我造谣

[Kongloli]

@EchoWhale 那价格也不一样啊，差上一毛一分对大型采购都是影响巨大，而且都属于家禽类的，如果鸡肉出问题，鸭肉也不会好到哪里去。

[tastypear]

@v2htm
然而 V2EX 并不需要刷友善度 233
实际上我不是公关，酷安也没有公关。既然是 V2EX 讲道理就行了，这里又不是微博还要搞点眼泪出来。

[tastypear]

@des 我不是客服，所以不爽就说得重了些，我也不是公关，所以不会一有突发事件就先出来道歉…… 我只是表达一下作为酷安立场的看法，如果你表示认同，欢迎一边继续用酷市场一边跟人说，梨编就是个脾气暴躁的二百五

[EchoWhale]

@tastypear 然而去 KFC 吃东西的人并不是你说的『上游质检部门』，而是鸡肉的最终消费者。 KFC 作为消费者的直接上游，确实该承担相应责任

[Kongloli]

@tastypear 不，梨子是个傻逼。

[PP]

@tastypear 由此事不难看出，如果酷安有意愿、有能力实现安全审核与标识，对酷安的服务等级的提升无疑会是非常巨大的。如果能够据此建立相应的警示系统和黑白名单系统，无疑可以直接走走同业前头。市场的合理需要就是机会，酷安是否还要坚持忽视这一机会？坚持做“资源的中转站”？同时，您言论中的商业部分是否代表酷安的官方政策？所限定之商业部分言论即“中转站”相关。

楼主遇到异常，基于个人立场及合理怀疑，有充分理由提出关于酷安审核机制的疑问。楼主不可能清楚您提到的酷安只做源头审核的中转站立场，无论是酷安官方还是酷安工作人员对此都不应苛责，您出口伤人更是错误的。

[des]

@tastypear 所以你觉得我们质疑的人都是傻 b 咯？
上面也证明了不是你们干的(ps 我也没说是你们干的)，所以我也还是信任酷市场的

我是我有一句忠告，说话这么冲，小心被打

[LMkillme]

@Kongloli
那价格也不一样啊，差上一毛一分对大型采购都是影响巨大，而且都属于家禽类的，如果鸡肉出问题，鸭肉也不会好到哪里去。





@EchoWhale 只是打个比方而已，你这种胡搅蛮缠的方式，简直是一粉顶十黑

[des]

@PP 我就喜欢这种公平不偏袒一方的话，而且比较严谨。
能方便透露下是做什么的吗？

[tastypear]

@des 这么凶！你真要打我的话…… 我就不会这么冲了（逃

[slixurd]

为什么我觉得酷安小编说的很有道理
检测有害软件这东西说起来简单，实现起来就不好说了
难不成写个程序自动安装到手机让其他安全软件来扫么....
Cool APK 能保证直接搜到的应用没被修改就不错了
-因为很多私人分享集里面都是破解版-

[PP]

@des 大家讲道理就好了。个人事务无法提供，事出有因，恳请见谅！

[vvtoo]

如果已经中招了删了游戏就行吗? ＝ ＝
外行想知道这个东西是干嘛的。

[gxm123gxm]

看了鸡肉牛肉鸭肉的争论之后，我怎么还是想继续歪个楼...

这就好比，酷市场这个小盆宇长大了上班，一直以来都还挺出色，有天有人说你这个孩子不太检点啊，他爸妈自然会出来护着孩子，心情愤怒点儿能理解的吧。但是围观群众也很有道理啊，你孩子的工资特么我们发的啊！

总体来说，酷市场上的应用不是个个靠谱，但是在国内，仍然是最不让人觉得恶心的市场吧

个人观点还是很欢迎 lz 这样的怀疑，也希望酷市场能越做越好

[Slienc7]

@LGA1150
你这样黑酷安真的好嘛。虽然酷安不怎样，但是应该不会拿这种东西做校验的。

[nvidiaAMD980X]

看来 Google Play 做得对！

[pimin]

楼主质疑酷安的审核机制
然而小编出来说：
我们根本就没有审核机制哪！

是这样的理直气壮

我们不生产水，我们只是大自然的搬运工
所以这个水出了问题，完全是你们人类自己造成的
要怪就怪大自然吧

[dangbiao1991]

@tastypear
“全国的鸡肉源头都出了问题，而你去声讨肯德基”

那么请问，是所有开发者都夹带私货了么？

这逻辑，百度搜出来假药广告，吃死人，和百度没有一毛钱关系了？

[kkzxak47]

还是太年轻啊，要吃亏

[dphdjy]

感觉啊主要问题不是 coolapk 不给予审核，而是审核产生的负面效应远大于现在

1. 审核成本
2. 意外带来的信任危机
3. coolapk 的很多应用本身就越权了，那莫非需要应用分级？

简言之: 如果谁能提供一个审核途径+背锅声明，我相信小编一定会接受¯\_( •́ω•̀ )_/¯ 然而那是不可能的~

[tastypear]

酷安小编说要上来发帖，结果他刚注册的账号还要 1 个多小时才能发言，看他着急的样子，真是… hhhhhhh

[FringJX]

大家都静一静，听我说两句。
首先，从酷安下载的游戏包和应用宝是一个版本，什么都一样， md5 都一样。而且谷歌 play 也上加架过。这么说来，欢迎审核机制，大家一起黑。这没什么，就是没 ios 审核严格啊！况且酷安这样的积极向上的小公司，应用有问题反馈一下，让管理员下架就完了呗。
问题很简单，有问题先怀疑酷安，为什么不先怀疑作者，楼主发帖开头以酷安二字，“夹带私货”，这个私指的是谁！确有不妥！
大家都是搞技术的，这点道理
以上！

[Jerry5850022]

@tastypear 话说酷安都是人工扒包吧，我还是比较相信酷安的。不过还是会优先从 Google Play 下载。

[FringJX]

相信楼主和大家都不是恶意，不要被某些别有用心的人所煽动。玩 Android 这么多年，谁好谁坏大家自己心里都有底。所以楼主以后有什么问题直接在应用下评论比较好，反馈率相当高，在这里你吐槽一句我吐槽一句，有的还夹带着个人情感利益，一点用没有。真的！

[evttxs]

app 有问题不代表酷安有私货，别家没问题，酷安有问题，这才叫带私货

[GhostFlying]

其实这事酷安未必有多大责任，不过这回应如果是官方的态度的话。。实在算不上明智

[Sacore]

靠，突然发现这个游戏好像我曾经玩过。。。。

[chengzhoukun]

用酷安搜软件， play 下载不就好了，国内这破网络环境不挂代理我也信不过，各种缓存劫持

[tastypear]

@dangbiao1991 问题的关键就是百度看没看厂商资质，如果说药检部门说那个药没问题，百度也查看了资质，结果投放后还是吃死人，那责任就不在百度，如果百度压根没看，百度就有责任。目前 Android 的权威机构是 play ，这个包来自 play ，那就默认没问题。
最重要的是，暂时这个应用只是嫌疑，没有受害者，也没有投诉和举证，和吃死人也没法比。

@nvidiaAMD980X 有害应用事件你也很活跃，可惜这个包的源头就是 play ，那理应没有分歧。

@pimin 我们的审核机制之一就是默认 play 来源安全，国内外都发布的话以签名作准则，你还有更好的方案吗？

[fengxiang]

v2ex 是禁止讨论盗版的，你们那市场对我们没有好处，笑看酷安越洗越黑。('・ω・')

[xpfocus]

我是酷安小编，其实也没什么，我们反应大是因为楼主这个标题写的很伤人，而且语气上已经是定论：酷安的 app 有私货，所以我们才来讨论一下，摸着我们自己的良心说，我们真的是在艰苦的做一个好市场（我们没投资没钱没资源没人，所有的都靠自己），天天吭哧苦逼的干着有理想的事情，被人误解，有些火大也正常，刚好最近 google 又在说我们是恶意应用（这个我们到现在都不知道是什么原因，按道理国内没有比我们更喜欢 play 的了，连 play 回归中国我们都是双手赞成），关于这个 app 的验证审核，说实话很难，像楼主说的这个游戏，连应用宝这样的超级大厂都查不出来，何况我们这种小团队，我们能保证的是酷安所有上架的 app 都是我们编辑团队亲自试用过的，另外我看有人说 google play 有审核，可以这么说 play 那审核形同虚设，和苹果的比相差十万八千里，只能说国内安卓这潭水太浑了，当然酷市场本身我们是有自己底线的，不忘初心吧，就这么多。

[gauzeehom]

@tastypear 快可以发言喽

[xpfocus]

@v2htm 这个其实没什么太大的必要，因为我们所有的 apk 收录都是人工，所以我们只会去我们默认安全的源头来拿包，而这几个源头就你说的这些

[xuboying]

酷安可以加强举报渠道