「小鴨幹線」（又再）被下架

「小鴨幹線」已於9月8日，因被指不符有關「惡意軟件」政策而遭 Google Play 下架，同日作者被吊銷開發者戶口。Google Play 中亦顯示小鴨App存在風險。作者已於同日按機制提出了上訴要求及要求澄清。作者相信這是 Google 的惡意軟件偵測，因小鴨作為背景攔截軟件，可能與某類型惡意軟件有相似的權限要求及運作模式，而出現假陽性的錯誤。以下交代詳情。

“Headuck Call Blocker” was removed from Google Play on 8th September for allegedly violating the “malware” policy.  The App author’s developer account was also terminated on the same day. Google Play Protect now shows that the App is harmful and recommends users to uninstall it.  On the same day the author has filed an appeal and requested clarification under Google’s appeal mechanism. The auther believes that this is a false positive case of Google’s malware detection AI, considering that the background call blocker might, by its nature, share some patterns of permissions and usages with some categories of malware.

常見問題及建議請参閱另文。

Please refer to this article for FAQs and recommended actions.

Google 的電郵

「小鴨幹線」於9月8日上午，在事前沒有任何警告下，收到來自 Google Play Support 的 2 個 email，第一個表示因小鴨觸犯 「惡意軟件」（malware） 政策，已把「小鴨幹線」程式移除 （用戶安裝數及評語等全部刪除，即永久下架)。

Hi Developers at Headuck,

After a recent review, 小鴨幹線 DEV (香港廣告及詐騙來電攔截App – 免費無廣告) (com.headuck.headuckblocker.dev) has been removed from Google Play.

 

Publishing status: Suspended Your app has been suspended and removed due to a policy violation.

Eligibility Issue by versions Version(s) Eligibility Issue APK:26 MALWARE Your app is not compliant with the Malware policy. We don’t allow apps with any code that could put a user, a user’s data, or a device at risk.

一如以往小鴨及其他開發者收到的下架通知，email 中除了 “not compliant with policy” 外，沒有任何違規詳情。

第二封 email 進一步表示，吊銷小鴨的開發者戶口，更指出不要試圖登記新的戶口，亦不會重啟原有戶口，換句話說是無限期封禁。

Hi Developers at Headuck,

This is a notification that your Google Play Developer account has been terminated.
Reason for termination: Violations of the Developer Program Policies and Developer Distribution Agreement.

As explained in our Enforcement Process, repeated or serious violations of our policies may result in the termination of your Google Play Developer account and related Google Play Developer accounts.

You can visit the Developer Policy Center to better understand how we enforce Developer Program Policies. If you’ve reviewed the policy and feel this termination may have been in error, please reach out to our policy support team.

Please do not attempt to register a new developer account. We will not be restoring your account at this time.

The Google Play Team

第二封 email 亦沒有任何詳情，不過時間上顯然與小鴨被指違反 malware 政策有關，亦有可能與之前下架累積了的紀錄有關。

究竟小鴨為什麼被指含有惡意軟件呢，又犯下什麼大罪，要在沒有警告下永久從 Google Play 封禁?

Google 的惡意軟件政策

先看被指違反的 Google 惡意軟件政策，當中惡意軟件包含十多大類﹕

• 後門 – 程式碼讓攻擊者以遙控方式在裝置上執行不必要且可能有害的操作。
• 帳單欺詐 – 程式碼有意以欺詐方式自動向使用者收費。
• 商業間諜軟件 – 程式碼未經充分通知或同意，即將裝置上的個人資料傳送至其他裝置，並且不會持續顯示相關通知。
• 拒絕服務 (DoS) – 執行拒絕服務 (DoS) 攻擊。
• 惡意的下載程式 – 下載其他惡意程式。
• 非 Android 威脅 – 對其他平台有害。
• 仿冒詐騙 – 泛指會偽裝來自可信的來源，要求取得使用者驗證憑證或帳單資料。
• 進階權限濫用行為 – 程式碼會破壞應用程式沙箱、取得進階權限，或者變更或停用核心安全性功能的存取權，藉此影響系統的完整性。
• 勒索軟件
• 有 root 權限 – 有 root 權限的非惡意與惡意程式碼之間有分別 … 有 root 權限的惡意應用程式不會通知使用者將在裝置上進行 root 權限操作，或者在預先通知使用者將進行 root 權限操作時，同時執行適用於其他 PHA 類別的其他操作。
• 垃圾內容 – 向使用者的聯絡人傳送垃圾訊息，或使用裝置轉發垃圾電郵。
• 間諜軟件 – 未充分告知使用者或徵求同意的情況下，傳送裝置上的個人資料 … 舉例來說，程式碼會在未披露相關資料或使用者不知情的情況下傳送 通訊錄  … 通話記錄。
• 木馬程式 – 看起來無害 (例如聲稱純粹是遊戲的遊戲)，但會對使用者執行不當動作。

由於「小鴨幹線」並無包括任何第三方的非開源軟件，作者很肯定不會錯誤地把不當軟件（如有後門的廣告程式庫）納入 App 內。小鴨沒有收費或要求任何認證，當然亦沒有勒索、攻擊或發垃圾訊息（這些相當易驗證），而且網絡存取亦相當有限（從hkjunkcall 下載名單，回報垃圾電話，及小鴨 server 下載防騙訊息，更新小鴨顯示訊息及一響收線IDD字頭等），與惡意行為毫不相干。單從 Google 惡意軟件政策，實在找不出頭緒。

小鴨如何成為「惡意軟件」

當然， Google 事實上不會用真人逐隻 App 檢查是否「惡意軟件」，而應是自動掃描並按一些不透明的準則（ 俗稱 AI ）決定 App 是否有害。此「AI」顯然沒有真正理解 App 功能以及藉上述政策分析 App 內容的能力（ AI 還未發展到這地步）。Google 最有可能採用的方法，是收集以往被審核為「惡意軟件」的 App 與其他非惡意軟件為樣本，透過抽取最能分辨兩者的特徵，例如權限，使用什麼API，以至程式外的特徵如有否收費，作者背景（是否大公司?），下載數量，用戶評語，以至 icon，screenshot，甚至 Google Search 取得的網上連結數之類，去訓練 AI 模型，以將 App 區分是否「惡意軟件」。

從這個角度，推測「小鴨幹線」可能與上述「惡意軟件」有一些共通元素：

進階權限：小鴨為顯示彈出通知﹐有使用其他程式上繪製權限，亦使用存取通知以作靜音及（若其他方法失效）模擬藍芽耳機掛線。例如「惡意軟件」可以用繪製權限，假扮其他App功能以騙取用戶。雖然較新版 Android 已要求明確授權，但舊版 Android （如 5.1 以下）仍受影響。

root 權限：以往部份機種要 root 權限才能掛線，以及通話中將新來電掛線。（root方法須使用者明確選擇掛線方式及授權，方可使用，但作為攔截程式當然不會每次取 root 掛線前彈出通知徵求同意。）

使用通訊錄及通話記錄：或許與「間諜軟件」相似，在背景（非用戶操作中的程式）讀取這些記錄。

此外，小鴨亦有使用 native code（包括 LMDB 資料庫引擎及用以核對下載資料數碼簽名以確保完整性的加密程式庫，兩者都是開源的，亦已在 App 內列出），而「惡意軟件」亦可能使用 native code 以增加反編繹難度，作隱藏之用。

當然其他攔截軟件或許同樣有相關權限，但未必與小鴨有同樣的特徵及功能（例如小熊早已移走 root 功能），也許小鴨一些程式外的特徵，如安裝數字等，亦與「惡意軟件」的樣本較刎合。

不過上述「特徵」，並非新增，例如 root 權限，native code等，自小鴨推出已經一直存在，而自去年 3 月經人工批核獲准繼續使用電話權限以來，小鴨只在本年 6 月更新一次（即第一封電郵所指，內部版本編號為 26 的 0.2.17 版），而且沒有加入新功能，只做了符合 64-bit 要求的修訂及小量 bug fix。

因此，有理由相信，這種 AI 模型的分類「準則」，會隨模型更新或訓練樣本不同，而隨時間改變。小鴨在 6 月的更新，雖然沒有大幅改變本身的原有特徵，但可能因而觸發了 Google 以新的「準則」掃描舊有的特徵，得到不同的結果（當然亦可能與更新沒有直接關係，Google 都會定期對 App 進行掃描）。

球證，旁證，足協 … 全部都係 AI

以「AI」輔助找出「惡意軟件」未身並必有問題，但 Google Play 一直為人詬病的，是這類對開發者很大影響的決定（如主要靠 App 在 Google Play 賺錢的公司，取消戶口已可以執笠），似乎沒有經人手審核，便自動作出。甚至連開發者上訴等機制，由於提出問題往往只獲空泛的官方回覆，亦被指可能是全自動進行，待遇據稱與 Apple 以至同是 Google 的其他產品，有相當分別。

可參考以下於 2008 年尾一間小型開發公司講述其被取消戶口遭遇，並列出一系列類似個案。該文得到相當迥響。

https://android.jlelse.eu/google-just-terminated-our-start-up-google-play-publisher-account-on-christmas-day-5cb69a454da0

（特別一提的該文提及的封禁連坐法，一人戶口被封，可能會牽連相關僱主，同事的戶口都被封，並可以連還引伸。以 Google 擁有的資料來說，取得這些關係資料以作 enforcement 並不困難。）

跟進

作者會在本文跟進上訴進展，目前請在此頁下載完整版。