昨天刷论坛看到有人讨论《生命体V0.18b》安卓汉化版，标题还打着“安全可靠”的旗号，我眉头就皱起来了。这玩意儿去年在外网火过一阵，官方早就停止维护了，突然冒出个汉化版，不靠谱的概率九成九。反正闲着也是闲着，干脆自己动手趟趟雷。
第一步：找资源
直接上国内小论坛搜关键字，蹦出来五六个帖子。随便点开一个，楼主信誓旦旦说“亲测无毒”，下载链接是个网盘。我多留了个心眼：没点那个蓝色下载按钮，而是把页面拉到底看评论——果然有人骂“安装报毒”。果断关掉换了个帖子，这回下载包后缀是.*，当场笑出声，安卓安装包压成zip？铁定有鬼！找了个带谷歌商店原版MD5对比的链接，这才把APK拖下来。
第二步：上隔离沙盒
掏出备用旧手机，重置恢复出厂，断着网装了个虚拟机软件。把APK丢进虚拟机里安装，刚点开就跳出一串权限申请：要通讯录、要位置、要存储权限，甚至还要“读取设备识别码”。正经单机游戏要这些干立刻打开安卓自带的网络监控，果然发现后台偷偷连了个陌生IP地址，端口还是http不是https！
这时候干三件事：
小编温馨提醒：本站只提供游戏介绍，下载游戏推荐89游戏，89游戏提供真人恋爱/绅士游戏/3A单机游戏大全，点我立即前往》》》绅士游戏下载专区
- 掐虚拟机网络，防止继续上传数据
- 用开发者工具抓取安装包行为日志
- 把APK丢进在线多引擎查毒站扫一遍
好家伙，报毒率68%！日志里更是抓到它在试图读取短信草稿箱，这操作看得我后背发凉。
第三步：拆包验尸
电脑开反编译工具，把APK拆成代码碎片。重点看汉化作者加的“私货”——汉化补丁里居然夹了个广告SDK，还嵌了个能远程执行指令的漏洞利用框架！更骚的是，原始游戏代码被改得面目全非，启动时先运行加密壳再加载游戏本体，耗电量直接翻倍，玩十分钟手机烫得能煎蛋。
血泪教训
那些吹“安全可靠”的帖子，八成是打包党的小号在钓鱼。真想玩汉化版，要么等信誉度极高的汉化组（比如扑家这类），要么自己学拆包改本地文件。实在手痒要试毒，记住三条保命法则：
- 永远用虚拟机或备用机测试
- 安装前断网！断网！断网！
- 看到要短信/通讯录权限的马上卸载
对了，我那台测试机后来直接刷机了。媳妇骂我瞎折腾，结果隔天她拿那手机追剧，突然跳出个“您的信用卡账单异常”的钓鱼弹窗——这破病毒居然有休眠唤醒功能！气得她当场把我珍藏的机械键盘给没收了，这波真是亏大发了。
