在线警察课堂，本期专家
梁晓涛，浙江省嘉兴市公安局网警支队民警，公安部网络安全专家，负责过多起公安部督办的电子数据取证案件，多次在部级、省级培训班授课。
Android操作系统凭借其友好的二次开发和定制特性，迅速占领市场，成为智能手机领域唯一与苹果iOS竞争的手机操作系统，受到各大手机厂商的青睐。但由于其非封闭的系统生态，近年来以安卓手机为特定目标的网络案件层出不穷。其中，手机生产中的批量预植入“后门”和“木马”最为恶劣。这类案件的电子数据取证过程复杂，一般人无法分辨。“后门”或“木马”程序潜伏期长，对社会危害极大。
以一起非法控制手机案件为例，从电子数据取证的角度分析“木马”或“后门”的运行机理，从而简单判定手机是否被他人恶意控制。
案件摘要
2017年7月，浙江嘉兴某公司向当地公安机关报案称，其发放给员工的大量安卓手机存在莫名弹出大屏广告、无故卡顿等现象，怀疑手机中了“木马”。
法医检定法
经网安部门核实，这批手机是受害公司通过商贩批量购买的，同型号手机已在省内销售数万部。刚接触手机时，并没有异常应用，但经过电子数据取证的深入分析，发现了一些异常内容。
在同一批手机中，有大量没有接口的后端应用，如“触屏管理”和“系统盘”，名称不同，但代码功能相似。这个后台应用可以在用户不知情的情况下，自动操作用户微信关注微信官方账号。为防止用户发现，应用在操作用户手机时还会调低手机音量。
用户的手机之所以可以被无界面应用自由操控，是因为手机本身有一个“后门”程序，这个“后门”会在手机启动后自行运行，有系统权限，理论上可以为所欲为。“后门”程序是屏幕广告、操纵用户手机自动关注微信微信官方账号的幕后“元凶”。根据用户的反映和测试，“霸屏”的广告确实很“霸道”。当它弹出时，用户的多个手机按键和输入法无法正常使用，用户无法永久关闭弹出广告。
“后门”程序可以轻松“接管”用户的手机，即使将手机重置为出厂状态，也无法完全消除。大多数手机用户应该会不寒而栗。那么，什么时候给系统预留了“后门”呢？为什么手机复位到出厂状态后不能完全关机？
法院判决
2019年1月，法院对此案作出一审判决。某科技公司被告人欧某、、宋某伙同手机厂商，将开发的广告SDK预装在智能手机操作系统中，并授予广告SDK系统权限。装有广告SDK的手机在用户第一次上网后，通过互联网连接后台服务器，在用户不知情的情况下将用户信息上传到后台，通过后台控制系统向用户推送商业广告等电子信息，从产生的广告费中获利。
被告人欧某等人还通过广告SDK的静默安装功能自动下载其他自主开发的程序，利用手机系统的辅助功能模拟用户操作，自动关注其运营的微信微信官方账号，从而实现快速涨粉。
欧某、、宋某等28名被告人分别以非法控制计算机信息系统罪被判处有期徒刑一年至四年不等。2019年7月，该案二审裁定驳回上诉，维持原判。
本案的关键点在于，该公司与手机厂商合谋，将“后门”程序预植入手机操作系统，即用户的手机在购买时就出现了问题，这也是手机重置为出厂状态后无法完全关闭广告的原因。
如何确定手机本身有问题？
随着移动智能终端的日益普及，越来越多的不法分子开始盯上智能手机。“315”晚会曾多次曝光手机“木马”程序恶意扣费、窃取用户隐私的行为。
对于安卓手机来说，常见的“木马”程序可以通过手机安全软件扫描、敏感权限拒绝等手段进行规避，但隐藏在系统层的“木马”和“后门”很难通过上述方法清除。如果手机遇到频繁弹出广告、收不到验证码、数据流量飙升等异常情况。，且手机重置后仍不能恢复正常，基本可以判断是买的手机本身有问题，此类情况应及时向公安机关报案。
从电子数据取证的情况来看，千元以下的低端手机，尤其是各类“贴牌”手机，是此类犯罪的重灾区。这类手机的设计、生产、销售都伴随着很多盲区，往往以“低价”为卖点吸引消费者。事实上，手机内部存在“不可告人的秘密”，他们通过广告甚至更恶劣的违法犯罪手法赚取利润，从而严重侵害了消费者的合法权益。普通用户在选购手机时，在考虑价格的同时，应选择口碑好的品牌机。
员工不应该触碰法律红线。
虽然上述案件发生在2017年，但最近一两年类似案件并不少见。例如，2019年8月，浙江绍兴公安机关破获一起在手机主板中预植入计算机病毒，通过计算机病毒拦截短信，以“薅羊毛”形式收取用户手机注册电商平台获得的优惠券，并从中获利的案件，涉案手机500多万部。
除了手机，电脑上的恶意程序强行锁定浏览器首页或动辄安装软件“全家桶”的情况也是数不胜数。虽然手机黑灰行业的从业者们绞尽脑汁避开国内一二线大中城市的“操作”，针对的是使用老年机和各种小众品牌的千元机、百元机群体，但本质上还是像走在钢丝上，一旦摔倒，将后悔一辈子。
《中华人民共和国刑法》第285、286、287条对网络犯罪作出了具体规定。行业内的从业者应该严格自律，绝不触碰法律红线。
图片|截图
素材|浙江网警
