最近不知道你有沒有注意到，社群媒體出現一群「小屁孩」的照片或合照，它們不是真的小朋友，而是身邊朋友、同事們的虛擬卡通形象──ZEPETO。
ZEPETO 是南韓 SNOW 公司於 3 月 1 日推出的手機應用軟體，使用者可透過「捏」出個人立體卡通形象、裝扮個人空間的方式，創作出自己的「虛擬形象」，呈現個人興趣和品味，和陌生人交友。
（Source：App Store）
軟體上手沒什麼難度，憑著輕社交屬性，ZEPETO 潮流迅速席捲全球，在南韓、日本、泰國等亞洲國家尤其受關注。之後的事情想必大家都清楚了，朋友圈開始瘋傳各種 ZEPETO 的自拍照片，一時之間 ZEPETO 成為廣大群眾關注的焦點。
正所謂人紅是非多，剛紅沒多久的 ZEPETO 前不久遭 Twitter 網友爆料其實是一種竊聽軟體，開啟軟體時可追蹤和記錄使用者隱私。言論一發布立刻引起軒然大波，不少人主動發文呼籲移除 ZEPETO。
至此，ZEPETO 涉嫌竊聽的消息一傳十、十傳百，一發不可收拾。
GUYS THE ZEPETO APP IS DANGEROUS PLEASE DELETE IT ASAP. THEY’RE CAPTURING SOUND AND VIDEO ON IT JUST LIKE THAT ANGELA THING AGES AGO.
PLEASE @ @BTS_twt AS THEY ALSO HAVE IT
STAY SAFE PLEASE, DELETE IT RIGHT NOW#DeleteZEPETO #ZEPETO— ? (@btsoeuvre) 2018年12月23日
ZEPETO 真能用來竊聽嗎？
對網友爆料，ZEPETO 開發商 SNOW 似乎沒有如坐針氈。相反地，SNOW 對這種「惡意攻擊」似乎採取置之不理的態度。有趣的是，爆料出現後不久，又有外媒自告奮勇為其闢謠。
對 ZEPETO 涉嫌竊聽一事，媒體有 3 點分析：
- 之所以會有聲音是因為 ZEPETO 本身內建可錄影配音的相機。
- ZEPETO 根本沒有定位服務。
- 「ZEPETO」名字因與多年前一病毒名「Zepto」相似，導致部分網友質疑。
倘若確實如上面所說，那 ZEPETO 被誤認為是竊聽軟體的真假，似乎已得到頗權威的結論，但官方確認之前，更多只是猜測。
對上面的解釋，看戲群眾自動分為兩個陣營：一方選擇相信上述分析的真實性，消除了對 ZEPETO 的質疑；另一方堅持 ZEPETO 涉嫌竊聽，並從個人資訊安全的角度提醒大家還是小心為妙。
當然，孰對孰錯並不是今天討論的重點，重點在於攻擊者是否真的可將一款普通的應用軟體變成竊聽用的「兇器」。
軟體竊聽並非空穴來風
除了 ZEPETO，我們的手機還安裝了其他形形色色的應用軟體，大多帶有拍照、錄音等功能。所以，手機應用軟體真的有可能為駭客所用，悄無聲息地取走我們的隱私資訊嗎？
據了解，目前市場手機竊聽產品主要分為兩種：一種是手機竊聽器（也稱竊聽 SIM 卡），另一種則為帶有竊聽功能的手機軟體。在網路輸入關鍵詞「竊聽」，搜尋結果被各種竊聽類產品洗版，這些商家不但不避諱，反倒明目張膽地留下自己的連絡方式。
▲ 竊聽 SIM 卡。
對此，中國上海交通大學電子工程係無線通訊研究所副教授錢良說：「嚴格意義上的即時竊聽技術的確存在，但這類產品造價高昂且考慮到其特殊用途，目前在民用市場是不可能看到類似產品的。」
由此可見，我們在網路上見到的所謂竊聽設備，其實並不像其宣傳口號中說的具備如此強大的功能，更多的是利用了使用者對於網路安全知識的匱乏來進行詐騙。「說實在的，如果真的存在功能如此完備、且成本低廉的手機竊聽系統，光做 TOG（政府採購）的單子都能賺飽飽，何必冒這種觸及紅線的風險呢？」某知情人士表示。
那麼，這是否就說明像 ZEPETO 這樣的軟體被用於竊聽的可能性並不存在呢？並非如此。
騰訊安全行動安全實驗室技術專家張軍說：「駭客透過將 Android 應用重新破解、嵌入監聽代碼、再重新打包／簽名發布，可以讓普通軟體具備竊聽功能。其通常做法是由竊聽軟體獲取麥克風的權限，並在後台進行錄音，壓縮後上傳到被不法分子控制的伺服器，最終獲取相關資訊。」
據了解，對於掌握一定技術的人來說，做到軟體監聽的成本很低，可以透過網站下載所需的工具。而在獲取到相關隱私資訊之後，攻擊者的盈利手段常見為勒索、商業機密洩露等。
2017 年 6 月，中國移動通報稱，一種名為「X 臥底」的手機竊聽軟體確實存在。該軟體實則為一種木馬病毒，透過強行開啟多人會話權限即可達到電話竊聽。此外，該軟體還能獲取用戶短訊、聯絡人、通話紀錄、位置資訊、通話錄音等訊息並上傳到伺服器。
這些病毒究竟是如何是達到竊聽的呢？一名來自 KeenTeam 的高手在 GeekPwn 大賽上展示了在關機情況下竊聽 Android 手機的全部過程：
該病毒關機竊聽具體運作流程如下：
1. 請求 Root 管理員權限，獲取管理員權限後，拷貝以下附帶文件到系統目錄
injector：完成進程注入。
libhook.so：調用 ksremote.jar 惡意代碼
libhookjava.so：動態加載 ksremote.jar
libshutdown.so：hook 系統關機請求
ksremote.jar：hook 系統關鍵服務，「假關機」介面偽裝；
2. 調用 injector 可執行文件，將 libhook.so、libhookjava.so、libshutdown.so 文件分別注入到 system_ server 系統服務進程。
3. 在 system_server 進程調用 libhookjava.so 動態加載惡意子包 ksremote.jar。
4. 在 system_server 進程調用 libshutdown.so 完成關機 HOOK。
5. 在 system_server 進程調用 libhook.so, libhook.so 調用 ksremote.jar 中的相關方法RSDServerImpl.hkshutdownmythod() 完成系統服務 HOOK。
實際上，該病毒並非真的能在關機狀態下運行，而是透過 Hook 系統 shutdown 方法實現了關機攔截。在用戶關機後，病毒會獲得權限將手機螢幕切換至黑螢幕，由此造成手機關機的假象。
身為受害者，我們真的無能為力？
截至目前，眾多應用軟體先後被曝出涉嫌竊聽。然而，儘管此類事件在當時鬧得沸沸揚揚，但最終結果都是不了了之。
張軍說：「普通人很難發現被竊聽，因為他們缺乏相關技術知識，再加上現在的竊聽軟體和應用也在不斷升級，有些竊聽軟體即使手機關機，也會繼續監聽。」
我們不禁要問：難道每個人只能無選擇向駭客低頭，用沉默和時間流逝來洗刷掉對被竊聽的恐懼感嗎？對於上面的疑問，張軍給了我們 3 點忠告：
- 要從正規的軟體市場下載和安裝應用，不要隨意安裝來源不明的應用和點擊不明連結。
- 注意軟體和 App 獲取權限的需求。
- 使用安全類軟體定期防護和殺毒。
ZEPETO 遊戲涉嫌竊聽一事受到大量使用者的高度重視，這意味著面對隱私被盜一事，消費者開始不再沉默。此次 ZEPETO 事件的真假，對我們來說似乎不再那麼重要。正如張軍所說：「最近關於此類內容的討論比較多，但玩家也不必過於恐慌。首先要養成良好的上網習慣，同時高度注意手機 App 安裝和使用過程獲取權限的要求。」
（本文由 雷鋒網 授權轉載；首圖來源：Google Play）
科技新報粉絲團
加入好友
訂閱免費電子報
