手机中毒远程控制处理

简介

手机被远程操控的前提，是控制方已在设备上取得可执行指令的权限，此后通过网络向手机发送操作命令，木马或恶意程序据此自动执行。信息通信专家陈志刚将成因归结为用户安全意识不足导致设备权限被非法获取，攻击者借助木马病毒、系统漏洞或社交诱导实现对手机的远程操控^[1]。

被操控后的后果包括资金被盗、隐私泄露以及手机操作完全失控^[1]。以屏幕共享为例，对方可实时看到屏幕上的密码、验证码和聊天记录，并可直接操作手机完成转账、删除记录等动作，用户在此期间无法干预^[2]。若手机内存储的工作邮件、会议记录、客户资料被窃取，损失还会扩展到单位层面^[1]。

处理过程一般分为判断异常、切断控制、清除程序、处置账户四个环节。网络安全专家徐明将其概括为“先断控，再清毒，后锁账”的基本顺序^[3]。由于多数控制指令依赖网络传输，切断连接被普遍列为最先执行的步骤^[4]。

沿革

早期针对手机的恶意程序多以扣费、窃取短信为主，处理手段集中在查杀病毒与更换手机卡。随着智能手机普及和支付功能迁移到移动端，远程控制类恶意程序逐渐与资金转移直接关联，处置流程也随之扩展到银行卡挂失、账户冻结等金融环节。央视新闻在报道中给出的处置要点包括拔掉SIM卡、关闭家中路由器、冻结银行卡、查杀其他木马以及尽快修改银行卡密码^[5]。

安全模式这一处置工具随安卓系统演进被引入。安卓自4.1版本开始提供安全模式，其原理与Windows的安全模式相近，启动时只加载系统自身程序，不加载第三方应用，用户可在其中卸载有问题的应用^[6]。华为在其支持文档中也说明，安全模式是仅加载基本功能和预置应用的最小系统环境，正常模式下无法操作时可在安全模式中完成卸载与排查^[7]。

苹果设备上的对应入口是配置描述文件管理。苹果官方说明，描述文件可管理账号与设备功能，若发现不应安装的描述文件，可在“设置”中的“通用”进入“VPN与设备管理”将其删除，随后重启设备^[8]。这一路径后来成为iOS设备排查异常配置的常规做法，安全专家在处置建议中也提到iOS用户应卸载可疑描述文件^[3]。

特点

第一项特点是处置顺序上的强制性，即以断网为起点。所有远程控制都依赖网络连接，因此发现异常后应先把手机与互联网断开，使其无法继续被操控^[4]。科普时报给出的操作是强制重启以中断远程连接，安卓手机可长按电源键10秒以上直至出现品牌标志，iPhone 8及以上机型依次快速按音量上键、音量下键，再长按电源键直到出现标志^[9]。

第二项特点是把拔除SIM卡与断开Wi-Fi并列为必要动作。中断网络可阻止对方通过短信验证码取得更多权限，关闭Wi-Fi或直接断开路由器电源则从物理层面切断连接^[2]。有技术分析指出，部分木马可获得系统高级权限，甚至屏蔽物理按键或模拟关机动画，因此断网、拔卡等动作需要尽早完成^[10]。

第三项特点是清理环节依赖系统的受限启动环境。进入安全模式后第三方应用不会自动运行，用户可在设置的应用管理中卸载可疑程序；若手动清理不彻底，可在备份重要数据后恢复出厂设置，以清除残留^[9]。华为文档同时说明，安全模式不会损坏软件和个人数据，重启设备即可退出^[7]。

第四项特点是处理范围超出手机本身，延伸到权限与账号层面。处置时需回收无障碍服务、设备管理器、屏幕录制、悬浮窗等高危权限，关闭远程控制、家庭共享、设备管理、查找类授权，并修改网银、社交、邮箱等核心账号的密码^[3]。安全认证方式按安全等级排序为指纹或人脸识别高于手势识别，手势识别又高于短信加验证码^[11]。

第五项特点是与入侵途径的对应性。常见入侵途径包括在非官方或破解版应用中植入木马、通过陌生链接跳转下载病毒程序、诱导开启屏幕共享或远程协助、连接不安全的公共Wi-Fi，以及系统和应用长期不更新留下的漏洞^[12]。相应的处理与预防也围绕安装来源、高危权限和陌生链接三个关口展开^[3]。

参见

• 木马病毒 —— 植入手机后接收远程指令、执行操作的恶意程序类型

• 安全模式 —— 只加载系统程序、便于卸载异常应用的受限启动环境

• 屏幕共享 —— 可被用于实时查看屏幕并操作对方手机的远程协助功能

• 配置描述文件 —— iOS设备上可管理设置、需排查与删除的配置文件

• 网络安全法 —— 规定网络安全风险监测与事件处置的法律依据