春节前后，金山毒霸安全中心在国内多个安卓软件市场发现一些打着12306旗号的山寨抢票软件，这些山寨软件植入的手机病毒，可以通过多种渠道完成吸费目的，隐藏的吸费手段之多可称“吸费神器”。据金山毒霸安全中心分析，春节期间，这些内置吸费病毒的山寨抢票软件可能安装在数万部安卓手机中。

图1 植入吸费代码的山寨火车票软件

金山毒霸安全中心仔细分析了这些植入病毒的山寨抢票软件，发现吸费途径包括使用中国移动手机钱包购买充值卡、发送短信订购付费服务、自动购买世纪佳缘邮票，病毒还会发送短信注册淘宝帐号。病毒每10秒扫描清理一次与订购业务有关的短信，将含有所有购买信息的短信打扫干净，中毒手机已被大量吸费，受害用户则完全被蒙在鼓里。

手机钱包为中国移动为手机用户提供的一项增值业务，用户可以使用手机话费购买火车票、游戏卡、充值卡、点卡、购买实物商品等。金山毒霸安全中心分析发现该手机病毒主要用手机钱包购买点、游戏卡等虚拟物品，然后将虚拟物品倒卖后变现。

这个吸费神器病毒可以利用手机浏览器后台上网和发送扣费短信两种方式通过手机钱包吸费。

图2 吸费神器利用浏览器访问购买链接、再自动应答短信完成吸费

图3 吸费神器手机病毒发送订购短信再自动应答完成吸费

这个吸费手机病毒还会使用中毒手机购买世纪佳缘邮票，再卖出邮票来赢利。在世纪佳缘官方网站，一枚虚拟邮票的价格是2元，而在淘宝上，却可以用0.2元-0.7元不等的价格买到，尚不清楚有多少中毒手机用户在默默充当雷锋。

图4 病毒通过网络购买世纪佳缘邮票的代码

该病毒还会发送“TB”至1069099988申请注册淘宝帐号，并自动回复短信激活帐号，然后把注册成功的帐号发给病毒作者。由于这些新注册的淘宝帐号并不能关联中毒用户的支付帐号，这些帐号并不会给用户带来直接的经济损失，病毒作者收集这些帐号可能另有目的。

图5 手机吸费病毒注册淘宝帐号的相关代码

这个狡猾的手机吸费病毒会每隔10秒检查一次短信，将所有与吸费操作有关的短信全部删除，只有细心的中毒用户才会发现手机费减少，却很难知道手机费花在什么地方。安全专家建议安卓手机用户使用金山手机毒霸查杀病毒，防止手机被持续不断的暗中扣费。