今年五月中旬，360手机安全中心收到用户反馈称自己的手机经常自动安装新的游戏应用，经360手机安全中心分析排查发现，该用户中招的是一个名为“万蓝”的ROM级别手机木马，该木马影响用户达10万以上。该木马主要通过联网下载shell脚本文件进行静默安装推广应用，并可以实现自身升级。360手机安全中心发布技术博客，对“万蓝”木马进行详细分析。

360技术博客介绍，“万蓝”木马主要通过植入ROM，通过刷机网站进行传播。到目前为止，恶意样本主要是植入为夏新、联想、小采等手机开发的三方ROM进行传播，用户手机刷入被感染的ROM后，木马便疯狂地开始推广传播各种应用，总数高达近百种。

“万蓝”木马会联网下载shell脚本文件，把要执行的恶意行为写在脚本里，木马的wlan进程大部分功能在于执行这些脚本，这样就大大方便了病毒作者进行更新，也方便作者控制中招手机去执行更多恶意行为，潜在风险巨大。

技术博客分析指出，“万蓝”木马启动时会尝试给自身在系统目录中建立一些符号链接，当系统中有其它程序执行这些命令时，木马就会被启动。之后，通过初始化任务池、建立自身运行时所需的目录和文件进行手机木马初始化，为之后执行恶意行为做准备。值得注意的是，该木马启动后会初始化一个结构体，里面包含了50个可执行命令任务池的子结构。

360手机安全专家分析指出，“万蓝”木马是通过Linux管道来进行通信的，管道是Linux的一种通信方式，相当于一根管子，一个人在管子左边，一个人在管子右边，左边的人不停的往管子里放东西(写数据)，右边的人就不停的从管子拿东西(读数据)，右边的人拿到数据后就能够处理这些数据了，“万蓝”木马作者将要执行的命令、脚本写到管道里，之后wlan进程就可以执行这些命令。

木马从服务器上获取要运行的命令(shell脚本)，再调用诸如input、am、pm等系统命令，木马就可以实现启动应用、静默安装应用、卸载应用、结束应用、删除应用数据、结束后台进程、发布intent广播等40多种恶意行为。

此外，该木马还会通过两种策略实现自更新，一种是检测自身主体wland文件的版本来判断是否需要更新，一种是根据距离上次检测更新的时间来判断是否需要更新。该木马自升级以后还可以实现私发短信、屏蔽短信、拨打电话等恶意行为。

通过遗留在木马早期版本中的信息，360手机安全中心发现了木马作者以及公司的相关信息，通过木马链接的服务器地址判断，该服务器属于上海某科技公司，而木马作者也可能就职于该公司。

目前，360系统急救箱已经支持对该类恶意软件进行查杀，如遇到病毒反复查杀、手机自动安装软件等普通手机杀毒软件不能解决的异常现象，建议使用360系统急救箱进行查杀。同时建议手机用户从正规渠道购买手机，安装360手机卫士保护手机安全。