昨天晚上，我把手机里那个叫「49图库」的安装包用数据线拖进了电脑的虚拟机。虚拟机是我上个月装的，专门拿来放不知道来源的 APK。

安装用了 47 秒。桌面上多了一个图标，名字是乱码，下面一行小字写着版本号 3.7.2。我点开，屏幕白了一下，然后弹出一个窗口，让我允许访问设备和应用信息。我选了「取消」。窗口又弹了一次，还是同一个请求。

这是第一个问题。一个看图库的应用，为什么要读取设备和应用信息？我没有答案。我把这次安装过程录了屏，存在「待查」文件夹里，文件名是「49图库_01.mp4」。

第二个问题出在签名上。我用工具查了这个安装包的签名，把它和网上流传的另外两个版本做了对比，三个签名全不一样。这意味着，它们至少不是同一个人打包的。哪个是原版，哪个是被改过的，我不知道。4 9图库 这个名字在这些文件里反复出现，但没有一个能对应上官方说明。

今天下午，同事老周端着杯子走过来。他把手机递给我，屏幕上是微信聊天记录，对面发来一个压缩包，文件名是「正版管家婆图库高清图.zip」，大小 28.4MB。老周说，他双击解压之后，里面是一个 APK 和一个 txt。txt 只有一行字：安装前请关闭手机安全检测。他把杯子放下，问我，这算不算风险。

我说，这句话本身就是风险。但我没有更确定的答案。

我在虚拟机里装了那个 APK。安装完成后，通知栏出现一条推送，标题是「图库资源已更新」，点进去是一个下载页，页面底部印着「管家婆22422资料准确率」几个字。我关掉页面，回到桌面，那个图标已经换了一个样子。

这件事我还没有结论。我只记录到这个位置：安装后的第 12 分钟，应用在后台请求了一次定位，被系统拦截了；第 18 分钟，出现一个悬浮窗权限引导，我拒绝了；第 26 分钟，我把它卸载了。卸载之后，手机相册里多了一个空文件夹，名字是一串数字。

说实话，我不认为「49图库app是否存病毒风险」这个问题能用一个「是」或「否」回答。它更像一串问题：安装包从哪里来，签名是否一致，权限请求是否合理，卸载后有没有残留。这些问题我目前只回答了前两个，而且回答得并不干净。

阿凯在微信上回我的那 12 个字是：「别装。如果非要装，放虚拟机。」我照做了。但虚拟机之外，还有多少人在自己的主力手机上点了「允许」，我不知道。管家婆最准资料图库 这个名称我在三个不同的下载站都见过，每个站给的安装包大小都不一样：21.7MB、23.1MB、28.4MB。这种不一致本身就说明了一些事，但我说不准是什么。

我把虚拟机挂起，没有关掉。屏幕暗下来的时候，我在想另一个问题：这些图库类应用，用户真正需要的可能只是一张图。但安装包带来的东西，往往比一张图多得多。