用户点多次次点击频繁，页面停留时间过长，下载记录异常，多次出现异常流量，占比超过30%。重点检查视频详情页、弹窗广告、捆绑下载包这三个位置，发现其中两个有高风险特征。比如某平台数据显示，前年Q2有17.8%的异常流量来自弹窗广告，而内容相关关键词的点击转化率比正常内容高4.6倍。

因为用户行为数据异常集中，所以锁定这三个位置。数据显示，播放器常伪装成免费视频、系统更新、诱导下载的弹窗，用户首次点击到完成安装平均仅需12秒。某反诈中心统计，大前年全国查获的传播软件中，83%通过捆绑安装传播，其中76%出现在视频平台。弹窗广告的触发频率是正常广告的2.3倍，且用户点击后页面停留时间比正常内容多出4.8倍。捆绑下载包的安装包大小普遍比实际应用大15%-20%，且包含多个未知文件。这些特征符合国家网信办前年发布的《网络内容治理白皮书》中列出的12项高风险行为。