你以为是广告，其实是探针，别再搜“每日大赛吃瓜”了——这种“APP安装包”用“恢复观看”逼你扫码
最近一个通过搜索热词传播的套路又回来了：用户在搜索“每日大赛吃瓜”这类关键词时，会看到看似无害的页面或短视频播放界面，提示“视频加载失败/需恢复观看”，并给出一个“下载APP安装包”或“扫码恢复观看”的选项。很多人以为是下载一个视频播放器或补丁，点开后发现要求扫码，这时候危险已经开始了——这类“广告”往往不是宣传，而是探针，专门用来探测并入侵设备。
这套诈骗 / 恶意传播的典型流程
- 诱导流量：用热门关键词、标题党或仿真播放器页面引诱用户点击。
- 提示恢复观看：页面显示“恢复观看”或“安装观看工具”，制造紧迫感和合理性。
- 下载或扫码：提供APK下载或要求扫码打开下载链接（有时二维码连到另一个下载页，或直接到支付页）。
- 获取权限：安装的APK会请求大量权限（存储、短信、通讯录、无障碍等），或诱导用户开启“无障碍服务”或“设备管理器”。
- 扩散/获利：程序在后台下载其他组件、劫持二维码付款、弹窗钓鱼、窃取验证码/账户信息，或将设备变成传播节点继续推送该类页面。
为什么叫“探针” 这些安装包往往含有探测能力：先判断设备型号、系统版本、已安装的应用和权限状况，然后决定下一步加载何种恶意模块。也就是说，安装包本身可能不立即做出明显破坏行为，而是探测、上报、再下发针对性的payload，躲避检测并提高命中率。
典型风险与表现
- 弹出频繁的全屏广告或覆盖层，阻止正常操作。
- 要求开启无障碍服务或设备管理权限；一旦开启，恶意程序可模拟点击、读取屏幕内容、拦截验证码。
- 安装未知包名的后台服务，消耗流量和电量，自动安装更多应用。
- 二次跳转到支付页面或诱导扫码付款、输入验证码，从而盗用银行/支付账户。
- 短时间内收到大量账号登录异常、短信验证码被窃取、通讯录信息外泄等现象。
如何判断有没有被盯上
- 最近安装过来源不明的APK，或在未使用时出现安装界面、权限请求。
- 手机弹窗提示“请开启无障碍/允许安装未知来源/设为设备管理器”，且理由模糊。
- 应用列表或设置中出现陌生应用，或相同图标的应用反复出现、无法卸载。
- 手机出现异常流量、快速耗电、CPU或数据使用激增。
- 频繁收到可疑验证码或银行提示异常行为。
立即应对步骤（普通用户）
- 断网：立刻关闭Wi‑Fi 和 移动数据，防止恶意程序继续下载/上报。
- 进入设置→应用，找到疑似安装的应用，强制停止并卸载。若无法卸载，继续下一步。
- 检查设备管理与无障碍：设置→安全/应用→设备管理（或“高级权限”）和无障碍服务，关闭可疑应用的权限并取消设备管理授权。
- 进入安全模式（大多数安卓机长按电源键，长按“关机”选项即可进入），在安全模式下再卸载恶意应用。
- 清理浏览器缓存、删除可疑书签和下载文件夹中的APK。
- 更改重要密码（邮箱、支付、社交），并开启二步验证；如果有银行账户风险，立即联系银行冻结相关卡/账户。
- 用可信的杀毒软件或安全应用扫描系统（例如查找木马、木马特征），或把可疑APK上传到 VirusTotal 进行检测。
进阶处理（技术能力或请专业人士）
- 使用ADB查看/卸载顽固包：adb shell pm list packages | grep suspicious，然后 adb shell pm uninstall --user 0 package.name（风险操作，谨慎使用）。
- 导出并核验APK签名和哈希，或在沙箱环境分析其行为。
- 恢复出厂设置：当无法确认已清除后门或敏感信息被窃取时，备份重要数据后执行恢复出厂设置，必要时重刷官方固件。
预防要点（日常使用）
- 别从未知来源或第三方网站随便下载APK。优先使用官方应用商店（Google Play、设备厂商应用商店），并留意应用评论与开发者信息。
- 扫描二维码前先查看链接预览：不要直接扫码后授权付款，若扫码打开的是应用下载或要求权限，谨慎止步。
- 不随意开启无障碍服务、设备管理器或给予应用高危权限；这些权限一旦授予，后果往往难以挽回。
- 不要搜索、点开含有明显“恢复观看/先扫码”等字眼的页面或链接。若看到“必须安装APP才能观看”的提示，先怀疑再操作。
- 打开系统或安全设置里的“Play Protect”或设备自带安全检测，开启自动扫描未知来源安装的应用。
- 备份重要数据并定期更新系统补丁，老系统更容易被利用。
如果遇到可疑二维码/APP链接，该怎么举报
- 向Google举报恶意网页或应用（若在Play商店发现恶意APP，使用应用详情页的“举报”功能）。
- 向你所在国家/地区的互联网应急响应中心（如CERT）或消费保护机构投诉。
- 向本地警方报案，并保存证据（截图、下载记录、短信、交易流水等），以便银行或执法部门追踪。
一句话提醒 “恢复观看”“扫码安装”常常只是幌子；遇到要求安装未知软件或开启高危权限的界面，先停下来，先怀疑，再验证。