原標題：小心手機淪為遠程竊聽器
一端是手機靜靜擺在桌面上，顯示鎖屏狀態，另一端是50米開外的電腦上「麥克風權限」被摁下，手機周圍的說話內容被悄無聲息地錄下，存成錄音文檔……這一「竊聽風雲」式的電影場景，日前在北京網絡安全大會上真實上演。據了解，手機遠程竊聽攻擊已成為近來生活中頻發的真實黑客攻擊案例。
「很多公共場所都有免費Wi-Fi路由器或黑客自己搭建的惡意Wi-Fi，用戶連接後再使用存在漏洞的APP，便會淪為攻擊對象。」奇安信代碼衛士專家柳本金告訴記者，目前黑客可以在用戶未感知的情況下，直接遠程獲取用戶的前置攝像頭、文件夾、麥克風、簡訊、通訊錄等基本權限，完全掌控其手機個人信息，「普通用戶在公共場所一定不要連接安全性未知的免費Wi-Fi，家庭路由器也要定期固件升級，以免中招。」
鎖屏狀態下攝像頭也能被遙控
輸入13位手機號，摁下「麥克風權限」，並在設置框裡將錄音時長調整為10秒鐘，點擊開始後，對應手機周圍的所有對話內容都被完整錄下，並自動存檔。毫無計算機背景的市民張先生在安全專家的指導下，輕易地完成了一次「竊聽攻擊」，不禁目瞪口呆：「這也太可怕了，要是開個涉密會或者有個私人談話，豈不是完全暴露？」事實上，記者了解到，被獲取麥克風權限的手機，由於話筒功能被開啟，黑客不但能對周圍環境音錄音，還能延伸到電話場景，監聽手機的雙方通話內容。
手機在待機狀態下，黑客還能調用手機前置攝像頭對周圍進行偷拍。記者拿起一個鎖屏手機放在桌面上，在手機沒有任何異動表現的情況下，被遠程拍了一張「自拍照」。值得注意的是，現場工作人員對記者表示，被黑客偷拍的「自拍照」並不會存儲在手機相冊裡，而是直接被存儲到了黑客電腦上。「通過這種方式，黑客便能輕易知曉攻擊對象的性別、年齡、大致特徵，甚至周圍的工作、生活環境。」
此外，黑客還能調取手機的簡訊權限、通訊錄權限和地理位置權限等。「有了通訊錄，還有地理位置，你只需在這個框裡輸入手機號，就可以用對應的手機給他的親朋好友發信息。」現場工作人員表示，鎖屏手機淪為遠程竊聽器，等於該用戶的個人信息幾乎全部被暴露，「如果這個手機用戶是政府官員或公司高管，就可以竊聽國家機密和公司的商業機密；如果手機用戶是一個普通消費者，黑客通過竊聽可以了解他的個人信息和喜好，為後續的電信詐騙做準備等等」。
惡意Wi-Fi給攻擊提供通道
通過電腦上的一個攻擊軟體，就可以肆意遠程調取操縱一部手機的基本權限？這並非實驗室才有的場景。記者了解到，這類入侵並不局限於某一型號或系統的手機，無論是Windows系統、安卓系統還是蘋果系統都難以倖免。「這意味著只要市面上大部分手機被植入這類惡意軟體，都可能被操控，包括蘋果手機，還有電腦。」現場工作人員解釋稱。
記者了解到，用戶在不知情的情況下連上惡意Wi-Fi，是黑客發動此類網絡攻擊的關鍵。柳本金向記者解釋稱，黑客往往會在機場、咖啡廳、火車站、餐館等公共場合搭建一個惡意Wi-Fi熱點或者在公共場合選擇一個免費的公共Wi-Fi，攻擊獲取該Wi-Fi的路由器控制權限，以此來實現這類遠程竊聽控制手機。
「用戶在這些公共場所想要訪問網絡時，會連接公共Wi-Fi，可能就會連接到黑客所搭建的Wi-Fi熱點。正常情況下，當手機用戶使用APP時，APP會向伺服器發送更新請求。黑客劫持流量後，會模擬真實伺服器向APP返回數據，促使APP彈出更新界面，提示升級。用戶看到更新提示框後，會很自然地和平常一樣點擊更新，更新安裝APP。這個更新安裝過程實際上是黑客給用戶推送木馬安裝並執行的過程。當木馬被執行後，黑客就可以遠程控制用戶手機的各類權限。」柳本金解釋道。
一名業內人士則對記者表示，目前黑客通過惡意Wi-Fi或公共Wi-Fi遠程控制手機，既可以利用上網瀏覽器的漏洞或熱門APP的漏洞，也可以通過誘導用戶下載惡意軟體來實現。事實上，熱門社交APP存在漏洞也屢見不鮮。記者了解到，近日，火絨安全團隊根據用戶反饋，發現一起利用騰訊QQ升級漏洞植入後門病毒的攻擊事件，攻擊者可利用該漏洞下發任意惡意代碼，QQ（包括TIM、QQ、QQ輕聊版、QQ國際版等等）都存在該漏洞。騰訊安全團隊則向記者回應稱，目前最新版QQ已修復相應問題。
APP偷聽今年被監管治理
和朋友剛聊完想買某個東西，或點個某類外賣，點開手機就收到有關的自動推送……近來越來越多的消費者開始質疑手機裡的APP是否偷聽自己的日常對話。事實上，近期，蘋果、Facebook、亞馬遜、微軟四家紛紛曝出「竊聽門」。Facebook官方承認其存在人工轉錄用戶語音記錄的行為，蘋果日前也在其官網上發布聲明，就其此前允許承包商聽取iPhone等智能平臺語音助手Siri與用戶間對話的行為致歉。
「APP偷聽用戶對話，在技術層面上是可以實現的。」在安全大會現場，一名專家告訴記者，APP運營方只要遠程獲取手機的麥克風權限，完全能夠聽到用戶的對話以及環境音，再利用語音識別以及語音分析等軟體，提取關鍵詞後再推送相應的關鍵詞給用戶。「我們甚至可以根據不同用戶的特點、習慣，比如熱門用餐時間、熱門網購時間等，去選擇性錄音，並非24小時監聽。」
不過，記者了解到，公眾無須過分擔心現實中熱門APP存在偷聽行為。中央網信辦、工信部、公安部、市場監管總局等4部門聯合成立的APP專項治理工作組，從今年1月份開始多次就對存在問題的APP進行整改通報。「通過語音竊聽是一種成本最高、效率最低的方法，但當APP通過社會關係、喜好習慣、Wi-Fi場景等各種方式進行定向推送，就會給民眾『遭到竊聽』的錯覺」。APP專項治理工作組成員何延哲表示，APP精確推送廣告往往通過社會關係、喜好習慣、Wi-Fi場景等方式進行。「除非處在一個完全獨立的環境中，才能給出企業『竊聽』的實錘，但這個環境極難達成。」
家裡的路由器也要定期改密碼
普通用戶如何避免時刻陪伴自己的手機淪為黑客的遠程竊聽器？對此，安全專家表示，在公共場所需謹慎連接免費Wi-Fi，特別是不要連接安全性未知的Wi-Fi熱點。「普通市民很難去分辨一個安全性未知的公共Wi-Fi是否真正公共，還是由黑客偽裝。比如用手機搜索到一個名為『地鐵免費Wi-Fi』的界面，其實很可能是私人的，一旦連接，黑客完全可以調取你手機訪問了什麼頁面，手機的設備型號是什麼，獲取一系列概要信息。」
柳本金表示，普通用戶的家庭路由器要定期更新路由器的設備固件程序，定期修改Wi-Fi密碼和管理員密碼，儘量不要使用可能洩露Wi-Fi密碼的軟體。此外，用戶要儘量從官方網站或應用商店等安全渠道下載手機APP。「如果從其他網站下載APP再安裝，很容易被黑客中途替換為惡意軟體，類似情況很多用戶都在五花八門的下載站遇到過。」
「很多竊聽應用通常是用戶不小心主動安裝到自己手機上的，安卓手機的開放性導致應用申請大量的權限，用戶安裝應用時很多都是不看應用申請的權限直接進行安裝並對訪問語音、攝像頭等放開權限。就這個角度講，普通用戶不妨安裝一些安全隱私保護的APP軟體，並養成定時清查的習慣。」 柳本金認為，想要防止被竊聽，根本上還要從源頭上截斷。
據《北京晚報》
(責編：谷妍、鄧楠)