本文针对超级应用(super-app)这一新兴移动架构展开安全与隐私分析。超级应用在单一宿主 App 内运行第三方 mini-app(小程序),使用户在一个入口内获得多种服务。过去十年的超级应用生态安全研究几乎都默认宿主是「可信中介」,本文挑战这一隐含假设,指出该信任缺乏依据:微信已被证明会大规模被动追踪用户在 mini-app 中的活动;俄罗斯 MAX 的母公司被报道与国家对网络言论的刑事追诉深度关联;伊朗 Bale 则因国家支持而在全球最长的互联网断网期间仍可用。作者以俄罗斯 MAX 为案例研究表明,恶意超级应用在设计层面天然拥有足以静默削弱 mini-app 与用户安全隐私的能力,且不易留下痕迹:捕获 mini-app 的 UI 内容、读写其本地存储、向 mini-app 运行时注入任意 JavaScript、中介其网络流量,以及控制认证上下文从而实现静默的用户身份冒充。关键论点是这些能力并非 MAX 独有缺陷,而是源自架构本身赋予宿主的特权——任何采用该模型的超级应用都具备同等能力。作者据此呼吁移动操作系统与应用商店尽快介入,在架构盲点被进一步利用之前加以约束。论文属于案例研究+架构分析性质,适合移动安全研究者、OS/应用商店平台治理方、以及开发 mini-app 的产品与安全团队阅读。

超级应用（Super App）作为集成了大量第三方小程序（Miniapp）的中心化平台，极大改变了移动计算生态，但同时也引入了来自恶意小程序的安全风险。尽管平台内置的小程序商店实行强制审核，恶意小程序仍不断演化，与平台安全机制持续对抗。相较于传统移动端和Web端，安全社区长期缺乏公开的小程序恶意样本数据集，严重制约了针对该新型威胁形态的深入研究与检测技术发展。为此，作者历时三年多，针对微信（WeChat）这一全球最大的超级应用平台（承载数百万小程序、服务数十亿用户）开展了系统性的恶意小程序识别、解剖与特征化工作。他们累计采集了超过450万个小程序，通过两阶段交叉验证流程识别出19,905个恶意样本：1）基于真实案例提取静态特征规则进行匹配；2）确认这些小程序已被平台下架封禁。作者进一步从生命周期视角对恶意样本进行特征刻画，涵盖传播、激活和载荷执行环节；并结合真实案例分析其实际安全影响。研究发现，这些恶意小程序频繁侵犯用户隐私，利用社交网络分享机制传播未经授权的服务，并操纵基于广告的收入模型进行非法牟利，给用户和平台都造成显著的隐私与经济损失。该数据集是首个公开的小程序恶意样本数据集，可为超级应用生态系统安全研究提供重要基础，助力后续检测与防御方案设计。本文面向小程序平台安全研究人员、风控工程师以及关注新兴移动威胁形态的蓝队分析人员，提供了对小程序攻击面、恶意行为和平台审查对抗策略的系统性认识。