智能手機革命本應為科技行業提供一個推出安全計算平臺的第二次機會，這些新設備據稱是封閉的，能夠抵御惡意軟件，與容易出錯的個人電腦和易受攻擊的服務器不同。

但手機仍然是計算設備，其用戶仍然是人，這兩者都是薄弱環節。我們與安全專家進行了交談，以更好地了解攻擊者可能入侵用戶手機的最常見方式，以下是我們的發現。

7種入侵手機的方式

? 零點擊間諜軟件

? 社交攻擊

? 惡意廣告

? 短信釣魚

? 假冒應用

? 借口騙取

? 物理訪問

零點擊間諜軟件

智能手機上最可怕、最復雜的攻擊是零點擊攻擊，因為它們不需要明顯的用戶干預就能成功。KnowBe4的數據驅動防御倡導者羅杰·格里姆斯(Roger Grimes)解釋了商業監控供應商(CSVs)如何將這些漏洞武器化。

CSVs——有時也被稱為商業間諜軟件供應商——是向出價最高者出售惡意軟件和漏洞的犯罪組織。“CSVs是當今我們發現的大多數零日漏洞的幕后黑手，尤其是在手機上，”格里姆斯說。“2023年，零日漏洞被用于攻擊的次數超過了非零日漏洞。”最危險的變體不需要用戶交互：“受害者什么也不用做，”他解釋道。“零日漏洞會在沒有任何終端用戶接觸的情況下啟動，或者用戶只需閱讀一條消息、打開一封電子郵件、打開一個附件或點擊一個鏈接。”

格里姆斯強調，許多漏洞就像發送一條后臺推送消息或WhatsApp文本一樣簡單——“用戶是否看到它并不重要。”他補充道：“通過零點擊攻擊，你幾乎可以接觸到所有你能聯系到的受害者。”這些攻擊通常以六位數或七位數的價格出售給商業供應商或國家。“據傳，像美國這樣足夠強大的國家擁有數千個零點擊攻擊，并在需要時使用它們。”

格里姆斯指出，雖然零點擊漏洞對高價值目標構成了嚴重且持續的威脅，“但這并不針對大眾，”他說。普通用戶面臨著大量低技術含量的攻擊——但在許多情況下，它們同樣危險。

社交攻擊

對于任何黑客來說，入侵任何設備最簡單的方法就是讓用戶自己打開門。當然，實現這一點說起來容易做起來難，但這是大多數社交攻擊的目標。

智能手機操作系統通常比個人電腦或服務器具有更嚴格的安全機制，應用程序代碼在沙盒模式下運行，防止其提升權限并接管設備，但是，這種備受贊譽的安全模式——即移動用戶需要采取肯定行動才能讓代碼訪問手機操作系統或存儲的保護區域——有一個缺點：它導致彈出大量提示消息，我們中的許多人學會了忽略這些消息。

“移動設備上的應用程序會隔離權限，以保護用戶免受惡意應用程序隨意訪問數據的影響，”Kuma的安全分析師卡塔利諾·維加三世(Catalino Vega III)說。“提示變得很熟悉：‘你想允許此應用程序訪問你的照片嗎?’由于用戶體驗將接受大多數提示視為訪問功能的途徑，因此大多數用戶會允許應用程序訪問其請求的任何內容。”

Polyguard的CEO兼聯合創始人喬舒亞·麥肯蒂(Joshua McKenty)表示，有組織團體使用的新技術工具正在推動社交攻擊的復蘇，例如“由AI助力的各種形式的網絡釣魚和社交攻擊，”他說。“這包括深度偽造、高度個性化的電子郵件和短信詐騙，它們利用了數據泄露中的身份信息。”

惡意廣告

傳統上用于生成這些欺騙性對話框的機制之一是所謂的“惡意廣告”，它們寄生在為移動廣告生態系統開發的基礎設施上，無論是在瀏覽器中還是在應用程序內。

Polyguard的CTO兼聯合創始人卡德姆·巴迪揚(Khadem Badiyan)稱這是一種正在消亡的經典方式。“由于瀏覽器沙盒技術的進步、應用商店政策的收緊以及從傳統網頁瀏覽向以應用為中心的移動使用的普遍轉變，惡意廣告的效果已大打折扣。”他說。

但ADAMnetworks的雷德科普(Redekop)認為，惡意廣告仍在網絡犯罪生態系統中占據重要地位。“考慮到谷歌定期報告通過其TAG公告刪除的域名數量，以及第三方報告稱谷歌在2024年屏蔽了51億條有害廣告并暫停了3920萬個廣告商賬戶，很明顯，惡意廣告問題遠未過時。”他說。

短信釣魚

攻擊者用來讓受害者點擊鏈接的另一種方式是短信(SMS)消息，即所謂的短信釣魚或smishing。

“網絡犯罪分子可以通過多種方式使用短信釣魚，具體取決于他們的意圖和目標，”Wire的首席營收官拉斯穆斯·霍爾斯特(Rasmus Holst)說。“如果目標是在設備上安裝惡意軟件，那么通常會附加一個文件，并附上一條試圖說服用戶點擊并下載的消息。例如，網絡犯罪分子可以冒充受信任的人，如雇主或經理，要求員工查看附件文檔，為忙碌且毫無戒心的受害者設下陷阱。”

短信釣魚是一種久經考驗的黑客技術，但Polyguard的麥肯蒂(McKenty)表示，如今“挑戰在于讓鏈接‘可點擊’”。“在過去的幾個月里，我們看到了蘋果短信鏈接防御中的多個漏洞被利用，這包括通過Google等受信任域名(利用AMP和Google Sites漏洞)發送惡意鏈接，利用‘基本身份驗證保護’URL的例外情況，使用用戶:密碼@主機的罕見格式中的空憑證，甚至利用空子域周圍的明顯解析漏洞。”

假冒應用

另一種說服人們在其手機上感染惡意軟件的社交工程手段是說服他們下載他們認為想要但實際上是有害的應用程序。麥肯蒂(McKenty)指出，“能夠訪問相機、麥克風或位置的玩具和游戲”是這類應用程序中特別有力的版本。

由于手機具有沙盒模型，將應用程序代碼與操作系統隔離，因此這類應用程序過去專門針對“越獄”的iPhone，即用戶已修改以安裝不符合蘋果標準的應用程序的iPhone，但曾在國家安全局(NSA)工作多年、現任移動安全公司iVerify聯合創始人兼首席運營官的羅基·科爾(Rocky Cole)表示，那些日子已經一去不復返了。

“說到針對iOS的移動電話黑客攻擊，‘越獄’這個詞已經沒有太大意義了，”他說。“我們已經多年沒有看到與iOS漏洞相關的越獄了。實際的iOS黑客攻擊都很復雜，通常是國家行為體和商業間諜軟件供應商的領域。對于安卓系統來說，大多數‘黑客攻擊’都涉及以某種方式加載惡意應用程序，要么是通過潛入某個應用商店，要么是說服用戶側載它，要么是以某種更復雜的方式讓它運行。”

借口騙取

如果用戶不愿意放棄對其設備的控制權，攻擊者可以繞過他們，直接聯系他們的移動運營商。你可能還記得21世紀中期英國媒體的丑聞，當時小報使用他們所謂的“誘騙”技術來訪問名人和犯罪受害者的手機語音信箱，這一過程也被稱為借口騙取，涉及攻擊者拼湊出關于受害者的足夠個人信息，以便在與受害者的手機運營商通信時冒充他們，從而獲得對受害者賬戶的訪問權限。

小報只是為了獲取獨家新聞，但犯罪分子可以使用同樣的技術造成更大的損害。“如果驗證成功，攻擊者會說服電話運營商將受害者的電話號碼轉移到他們擁有的設備上，這就是所謂的SIM卡交換，”Infosec Institute的信息安全經理亞當·科恩克(Adam Kohnke)說。“通話、短信和訪問代碼——比如銀行或金融服務提供商通過短信發送到手機的第二因素身份驗證代碼——現在都會發送給攻擊者，而不是你。”

獲取他人手機的物理訪問權限

在他人手機上安裝惡意軟件最明顯(但常被忽視)的方法之一，就是一旦獲得其設備的物理訪問權限后手動安裝，這在家庭暴力或跟蹤場景中尤為重要，但也被用于商業間諜活動。

“當有人獲得設備的物理訪問權限時，風險格局會發生顯著變化，”Polygaurd的Badiyan表示，“FlexiSPY、mSpy或Xnspy等工具可以快速安裝并靜默運行，捕獲短信、通話記錄、GPS位置，甚至能在用戶不知情的情況下激活麥克風或攝像頭。對于商業間諜活動，惡意配置文件(尤其是iOS上的)或側載的APK(Android上的)可以被部署以重定向數據、操縱網絡流量或引入持久后門。此外，還存在基于硬件的威脅：惡意充電線、鍵盤記錄器或植入設備，這些可以竊取數據或注入惡意軟件，然而，這些手段在高價值目標之外并不常見。”

Badiyan表示，如果有人知道你的PIN碼，生物識別防御也可能被繞過。“如果攻擊者使用你的密碼解鎖了你的設備，他們可以添加自己的指紋或面部掃描，從而在不留下可見痕跡的情況下獲得持久訪問權限，”他說，“緩解措施包括設置強設備密碼、生物識別控制、鎖定狀態下禁用USB配件，以及定期審計已安裝的配置文件和設備管理設置。”

藍牙和Wi-Fi黑客攻擊已不再流行

據安全專家稱，曾經常見的兩種獲取手機及其數據訪問權限的方式——藍牙和Wi-Fi——現在已基本得到保障。

ADAMnetworks的CEO David Redekop列出了使Wi-Fi不再是攻擊途徑的幾個因素：“公共用戶在使用舊版Wi-Fi網絡時越來越多地使用VPN進行自我保護;常見的大品牌Wi-Fi主機正在實施現代硬件以關閉漏洞;而且，自愛德華·斯諾登事件以來，越來越多的公共網站和服務都進行了加密，即使Wi-Fi中間人攻擊也無法獲取太多有用信息。”

Polyguard的CEO Joshua McKenty補充道：“像BlueBorne這樣依賴藍牙堆棧漏洞的藍牙攻擊也已經減少。移動操作系統定期更新補丁和收緊權限已經關閉了大多數此類途徑。”

他們已經侵入，接下來呢?

一旦攻擊者使用上述技術之一獲得了立足點，他們的下一步是什么?

盡管智能手機操作系統最終源于類Unix系統，但成功入侵的攻擊者會發現，他們所處的環境與PC或服務器截然不同，Sencode Cybersecurity的總監Callum Duncan表示。

“大多數應用程序通過本質上屬于API調用的方式與操作系統和其他應用程序交互，”他說，“iOS和Android的內核與任何類似于Unix的基底都大不相同，因此共享漏洞幾乎不可能。兩種設備都存在命令行，但只有最高權限才能訪問，而且通常只能通過越獄或獲取root權限來訪問。”

但這并不意味著不可能。“這種類型的攻擊確實存在，”Duncan說，“權限提升將是這一過程的關鍵，繞過內置安全機制將很困難，但任何能夠在用戶設備上運行代碼的攻擊者都在這樣做——在用戶設備上運行代碼——因此，如果他們足夠聰明，他們可以讓設備做任何他們想做的事情。像NSO集團這樣的國家資助團體已經利用這些技術為政府和高知名度個人建立了完整的商業模式。”

Coalfire的應用安全卓越中心總監Caitlin Johanson表示，在設備上獲得立足點的攻擊者可以訪問大量敏感數據。

“SQLite等數據存儲庫由已安裝的應用程序創建，可能包含從網頁請求和響應內容到潛在敏感信息和cookie的所有內容，”她說，“iOS和Android中常見的弱點包括在內存中緩存應用程序數據(如身份驗證憑據)，以及運行應用程序的縮略圖或快照的持久性，這些可能會無意中將敏感信息存儲到設備上。敏感信息——最常未加密——在瀏覽器cookie值、崩潰文件、偏好設置文件和以易于閱讀的格式創建的Web緩存內容中大量存在，這些內容直接存儲在設備上。”

“為開發目的而創建的工具正是攻擊者更容易提取、交互甚至修改此類數據的原因，例如Android上的abd或iOS上的iExplorer或plutil，”她繼續說道，“標準實用程序可用于檢查從設備復制的任何數據庫文件，如果我們需要解密，還有像Frida這樣的工具可以運行腳本來解密存儲的值。”

盜賊團伙

這些都不容易，大多數用戶不會點擊網絡釣魚短信鏈接或授予可疑應用程序增強權限。即使黑客在設備上獲得了立足點，他們也常常被設備內置的安全措施所阻撓。

但攻擊者有一個優勢：堅定的決心。“攻擊者創建高度可重復和自動化的模型，從各個角度嘗試撬開移動應用程序或新操作系統版本的弱點，希望找到一個薄弱點，”Lookout的產品營銷總監Hank Schless解釋道，“一旦他們找到可利用的弱點，就會嘗試在修復發布之前盡快利用它。”

也許最大的漏洞在于人類的自滿情緒：盡管有十多年的證據表明情況并非如此，但許多人仍然認為智能手機是安全的，將其與信息安全的其他方面區分開來。“一直普遍存在的一種觀念是，手機不是傳統的終端設備，而且除了極少數例外情況外，它們并未被納入桌面設備等其他設備的標準和實踐中，”iVerify的Cole說，“我們已經過了將移動安全視為小眾話題或自制解決方案的階段，它們需要被納入任何全面的終端檢測和響應策略中。”

我如何知道自己的手機是否被黑了?

擔心自己的手機被黑了?我們采訪的兩位專家建議留意以下危險信號：

ADAMnetworks的CEO David Redekop：

? 如果手機上有未請求的應用程序，要小心。

? 如果安裝的應用程序功能簡單，它可能是在提供一個有用的功能，同時秘密執行另一個功能。

? 警惕任何權限不是絕對必要的應用程序。例如，除了地圖外，通常不需要地理位置權限。

Pixel Privacy的消費者隱私倡導者Chris Hauk：

? 你的設備是否突然開始使用比平時更多的數據，經常達到每月數據限制，而你卻沒有改變上網習慣?這可能是間諜軟件在向“家”發送數據或執行惡意操作。

? 如果你的智能手機開始無緣無故地重啟，可能是有人在你的設備上安裝了惡意軟件或間諜軟件。

? 在模擬電話線時代，我們習慣了背景噪音，如嗡嗡聲或其他聲音泄露到我們的通話中，然而，今天的數字電話網絡已經基本消除了這些噪音。如果你聽到其他聲音或未知聲音，可能有人在竊聽你的通話。

? 雖然看到設備電池壽命逐年下降只是擁有智能手機的一部分，但電池壽命突然下降可能意味著間諜軟件或惡意軟件正在讓你的設備超負荷工作，在后臺運行進程。你的手機工作越努力，電池壽命就越短。你可能會同時經歷數據使用量增加的情況。