وضعیت Android درست برعکس iPhone است. در iOS، محیط ایزوله (sandbox) آن‌قدر سخت‌گیر است که هیچ برنامه‌ای نمی‌تواند سیستم را اسکن کند، و به همین دلیل ویروس‌یاب‌های iPhone نمی‌توانند کاری را بکنند که توضیحاتشان در فروشگاه القا می‌کند. اما در Android اجازه دارید به چند جای مهم سر بزنید، و بیشترشان صفحه‌های معمولی تنظیمات‌اند که همین حالا می‌توانید بازشان کنید.
همین باز بودن دلیل رواج بیشتر استاکرور در Android هم هست. هر کسی که بتواند پنج دقیقه قفل گوشی شما را باز کند، می‌تواند برنامه‌ای را از بیرون Play Store نصب کند، مجوزهای لازم را به آن بدهد و آیکونش را مخفی کند. نه نیازی به اکسپلویت است، نه جیلبریک، نه مهارت فنی. فقط رمز گوشی شما و چند دقیقه تنها ماندن با دستگاه‌تان.
این راهنما توضیح می‌دهد چه چیزهایی را خودتان می‌توانید بررسی کنید، به ترتیبی که ارزش بررسی دارد، و بعد آن یک کاری را که حتماً باید از روی کامپیوتر انجام شود.
پیش از شروع، اگر فکر می‌کنید می‌دانید چه کسی شما را زیر نظر دارد
اگر کسی که به او مشکوکید همسر یا شریک زندگی، همسر یا شریک سابق، یکی از اعضای خانواده یا کارفرمای شماست، پیش از آنکه حتی یک تنظیم را تغییر دهید، بخش ایمنی نزدیک به انتهای این مقاله را بخوانید. برخی برنامه‌های نظارتی وقتی غیرفعال شوند به کسی که نصبشان کرده خبر می‌دهند، و در یک رابطه‌ی کنترل‌گرانه این خبر می‌تواند اوضاع را بدتر کند. هیچ کدام از کارهای زیر آن‌قدر فوری نیست که بخواهید این بخش را نادیده بگیرید.
استاکرور در Android واقعاً چطور کار می‌کند
تقریباً همه‌ی برنامه‌های نظارتی تجاری در Android به همین سه قابلیت تکیه دارند. این‌ها بخش‌های مشروعی از سیستم‌عامل‌اند که برای اهداف واقعی ساخته شده‌اند، و دلیل اینکه این نرم‌افزارها می‌توانند تقریباً همه چیز را ببینند بدون آنکه از هیچ حفره‌ای سوءاستفاده کنند، همین‌هاست.
سرویس‌های دسترس‌پذیری (Accessibility Services). این مجوز برای کار کردن صفحه‌خوان‌ها ساخته شده و به برنامه اجازه می‌دهد محتوای صفحه‌ی شما را ببیند و آنچه تایپ می‌کنید را دنبال کند. این دقیقاً همان قابلیتی است که برای ثبت کلیدها (keylogging) لازم است. اگر فقط یک چیز را در این صفحه بررسی می‌کنید، همین را بررسی کنید.
دسترسی به اعلان‌ها. هر اعلانی که گوشی‌تان دریافت می‌کند، از جمله متن کامل پیام‌های برنامه‌هایی که برنامه‌ی نظارتی در غیر این صورت نمی‌تواند بخواند، از این مجوز عبور می‌کند.
سرپرست دستگاه (Device administrator). این قابلیت برای مدیریت گوشی‌های شرکتی طراحی شده و حذف برنامه را سخت‌تر می‌کند و به آن امکان می‌دهد در برابر حذف مقاومت کند.
برنامه‌ی نظارتی‌ای که این سه را دارد در گوشه‌ای تاریک از سیستم‌عامل پنهان نشده است. در تنظیمات شما نشسته و مجوزی که به آن داده‌اید کنارش ثبت شده، چون کسی وقتی گوشی شما در دستش بوده آن مجوز را داده است.
هفت بررسی که خودتان می‌توانید انجام دهید
نام منوها در Samsung، Pixel، Xiaomi و بقیه با هم فرق دارد. اگر مسیری که در ادامه آمده با گوشی شما جور نیست، تنظیمات (Settings) را باز کنید و در کادر جست‌وجوی بالای صفحه، کلمه‌هایی را که پررنگ نوشته شده‌اند جست‌وجو کنید.
۱. Play Protect را اجرا کنید، بعد ببینید خاموش شده بوده یا نه
Play Store را باز کنید، روی آیکون پروفایل‌تان بزنید، سپس Play Protect و بعد Scan (اسکن). این ابزار برنامه‌های نظارتی شناخته‌شده را علامت می‌زند.
نکته‌ی گویاتر این است که آیا از قبل غیرفعال بوده یا نه. Play Protect به‌طور پیش‌فرض روشن است، وقتی برنامه‌ای از بیرون Play Store نصب شود به شما هشدار می‌دهد، و خاموش کردنش کاری عمدی است. اگر دیدید خاموش است و شما خاموشش نکرده‌اید، کسی می‌خواسته نصب برنامه‌ای از چشم شما پنهان بماند.
۲. فهرست دسترس‌پذیری را بخوانید
تنظیمات، سپس دسترس‌پذیری (Accessibility)، و بعد دنبال سرویس‌های دانلودشده یا نصب‌شده بگردید. در یک گوشی معمولی این فهرست خالی است، یا ابزارهایی را نشان می‌دهد که خودتان انتخاب کرده‌اید: صفحه‌خوان، ذره‌بین، مدیر رمز عبور، لانچر.
هر چیزی در این فهرست که خودتان نصب نکرده‌اید باید توضیحی داشته باشد. نام‌ها عمداً طوری انتخاب می‌شوند که کسل‌کننده به نظر برسند، چیزهایی مثل System Service، Device Health، Update Manager، Sync Services یا Accessibility Helper. یک جزء واقعی سیستم در بخش «دانلودشده‌ها»ی این صفحه ظاهر نمی‌شود.
۳. دسترسی به اعلان‌ها را بررسی کنید
تنظیمات، سپس اعلان‌ها، سپس اعلان‌های دستگاه و برنامه (Device and app notifications) یا دسترسی ویژه‌ی برنامه، و بعد دسترسی به اعلان‌ها. منطق همان است: هر چیز ناآشنایی که اجازه دارد همه‌ی اعلان‌های گوشی‌تان را بخواند، یافته‌ای جدی است.
۴. برنامه‌های سرپرست دستگاه را ببینید
تنظیمات، سپس امنیت، سپس برنامه‌های سرپرست دستگاه (Device admin apps). در بیشتر گوشی‌های شخصی این فهرست یا خالی است یا فقط Find My Device را نشان می‌دهد. یک نمایه‌ی کاری (work profile) ممکن است به‌طور مشروع ابزار مدیریتی کارفرمای شما را نشان دهد. برنامه‌ی ناآشنایی که حق سرپرستی دستگاه دارد هم یک زنگ خطر جدی است و هم دلیل اینکه شاید تلاش‌های قبلی شما برای حذفش شکست خورده باشد.
۵. دسترسی ویژه‌ی برنامه‌ها را مرور کنید
تنظیمات، سپس برنامه‌ها، سپس دسترسی ویژه‌ی برنامه (Special app access). مواردی که ارزش خواندن دارند: نمایش روی برنامه‌های دیگر (Display over other apps)، دسترسی به داده‌های استفاده (Usage access)، نصب برنامه‌های ناشناس (Install unknown apps)، و دسترسی به همه‌ی فایل‌ها (All files access). نرم‌افزارهای نظارتی معمولاً به چند تا از این‌ها نیاز دارند. به‌خصوص دسترسی به داده‌های استفاده نشان می‌دهد کدام برنامه‌ها می‌توانند ببینند هر چیزی را که باز می‌کنید و چه مدت از آن استفاده می‌کنید.
۶. برنامه‌هایی را پیدا کنید که در صفحه‌ی اصلی نیستند
یک برنامه می‌تواند آیکونش را مخفی کند، پس ورق زدن صفحه‌ی اصلی چیزی را ثابت نمی‌کند. به تنظیمات، سپس برنامه‌ها، سپس دیدن همه‌ی برنامه‌ها (See all apps) بروید و منو را باز کنید تا برنامه‌های سیستمی هم نمایش داده شوند. فهرست بلندی است و بیشترش مشروع است، و به همین دلیل دو چیز مشخص را باید دنبال کنید:
- دو نسخه از چیزی که باید فقط یکی باشد، به‌خصوص ماشین‌حساب، مدیر فایل، برنامه‌ی یادداشت یا یک ابزار سیستمی. نسخه‌ی تکراری یک پوشش کلاسیک است.
- هر برنامه‌ای که نمی‌دانید نامش از کجا آمده. پیش از آنکه نگران شوید، نام دقیقش را جست‌وجو کنید، چون تقریباً همه‌ی موارد این فهرست عادی‌اند، و بعد مجوزهایش را بررسی کنید.
حالا که آنجا هستید، Play Store را باز کنید، روی پروفایل‌تان بزنید، سپس مدیریت برنامه‌ها و دستگاه (Manage apps and device)، سپس «مدیریت»، و فیلتر را روی «نصب‌نشده از Play Store» بگذارید. نرم‌افزاری که از بیرون فروشگاه نصب شده (sideload) خودبه‌خود بد نیست، اما روی گوشی‌ای که شما هرگز چنین کاری با آن نکرده‌اید، هر مورد باید دلیلی داشته باشد.
۷. مصرف باتری و داده را با نحوه‌ی استفاده‌ی خودتان مقایسه کنید
تنظیمات، سپس باتری، سپس مصرف باتری؛ و بعد تنظیمات، سپس شبکه و اینترنت، سپس مصرف داده‌ی تلفن همراه. دنبال برنامه‌ای می‌گردید که هرگز بازش نمی‌کنید اما نزدیک بالای یکی از این دو فهرست است، یا مصرف داده در پس‌زمینه که با عادت‌های شما جور درنمی‌آید.
این را ضعیف‌ترین نشانه بدانید، درست همان‌طور که در iPhone می‌دانستید. باتری فرسوده، یک به‌روزرسانی سیستم یا همگام‌سازی آلبوم عکس پس از یک سفر، همگی همین الگو را ایجاد می‌کنند. دلیلی است برای دقیق‌تر نگاه کردن، هرگز حکم نهایی نیست.
چرا یک برنامه روی گوشی نمی‌تواند کار را تمام کند
همه‌ی کارهای بالا ارزش انجام دادن دارند و بسیاری از نظارت‌های واقعی را پیدا می‌کنند. اما سه محدودیت دارند که هیچ اسکنری که روی خودِ گوشی نصب شده نمی‌تواند از آن‌ها عبور کند.
برنامه‌ها همچنان نمی‌توانند داده‌های یکدیگر را بخوانند. Android در نشان دادن فهرست برنامه‌های نصب‌شده بازتر از iOS است، اما یک برنامه نمی‌تواند داده‌های خصوصی برنامه‌ی دیگر را بخواند. یک اسکنر می‌تواند بگوید بسته‌ای مشکوک وجود دارد. نمی‌تواند آن را باز کند و نشان دهد چه چیزهایی جمع‌آوری شده است.
نرم‌افزارهای پیشرفته خودشان را از همین صفحه‌هایی که بررسی کردید پنهان می‌کنند. هر چیزی که دسترسی روت (root) به دست آورده باشد می‌تواند خودش را از فهرست برنامه‌ها حذف کند، از Play Protect پنهان شود و از حذف شدن جان سالم به در ببرد. وقتی گوشی روت شده باشد، ابزارهای روی خودِ گوشی دیگر شاهدهای قابل اعتمادی نیستند.
دارید از خودِ متهم می‌خواهید برای خودش شاهد بیاورد. اگر دستگاه در سطحی عمیق آلوده شده باشد، هر پاسخی که به شما می‌دهد از نرم‌افزاری می‌آید که ممکن است در کنترل نفوذگر باشد. این یک مشکل ساختاری است و در همه‌ی سیستم‌عامل‌ها یکسان است.
تحلیل از روی کامپیوتر چه چیزی اضافه می‌کند
گوشی را با USB به کامپیوتر وصل کنید و دسترسی توسعه‌دهنده (developer access) را فعال کنید؛ آن وقت یک ابزار بیرونی می‌تواند همه‌ی بسته‌های نصب‌شده را فهرست کند، گزارش‌های سیستم را بخواند و همه‌ی این‌ها را با نشانه‌های شناخته‌شده‌ی نفوذ (indicators of compromise) مقایسه کند: نام بسته‌هایی که استاکرورهای تجاری استفاده می‌کنند، دامنه‌هایی که نرم‌افزارهای نظارتی با آن‌ها تماس می‌گیرند، و ترکیب‌هایی از مجوزها که فقط برای جاسوسی لازم‌اند.
نکته‌ی مهم این است که تحلیل کجا انجام می‌شود. کامپیوتر از گوشی نمی‌خواهد خودش را ارزیابی کند. محتوای گوشی را می‌خواند و خودش نتیجه می‌گیرد، و به همین دلیل این همان روشی است که پژوهشگرانی که این‌گونه تحقیقات را منتشر می‌کنند به کار می‌برند. آزمایشگاه امنیت Amnesty International یک ابزار متن‌باز به نام Mobile Verification Toolkit را نگهداری می‌کند که دقیقاً همین کار را برای Android و iOS انجام می‌دهد.
اما این ابزار خط‌فرمانی است و از شما انتظار دارد بسته‌های Python نصب کنید، یک نسخه‌ی پشتیبان ADB بگیرید و خروجی فارنزیک را تفسیر کنید. روش درست و عمومی است؛ مشکل، فاصله‌ی میان یک آدم نگران و یک تحلیل تمام‌شده است. پر کردن همین فاصله کاری است که Haris Shield برایش ساخته شده: همان تحلیل بیرونی، با گزارشی که برای خواندن نوشته شده، نه برای پردازش ماشینی.
اگر چیزی پیدا کردید، فعلاً حذفش نکنید
این همان بخشی است که بیشتر راهنماها اشتباه می‌گویند، و از همه‌ی موارد بالا مهم‌تر است.
اگر کسی که شما را زیر نظر دارد از اطرافیان‌تان است، حذف برنامه می‌تواند خطرناک‌ترین کاری باشد که می‌کنید. بسیاری از این محصولات همان لحظه‌ای که نظارت متوقف شود به کسی که نصبشان کرده خبر می‌دهند. در یک رابطه‌ی آزارگرانه یا کنترل‌گرانه، این هشدار به طرف مقابل می‌گوید که شما ماجرا را فهمیده‌اید، آن هم در لحظه‌ای که برایش آماده نیستید. Coalition Against Stalkerware، ائتلافی که سازمان‌های فعال در حوزه‌ی خشونت خانگی و شرکت‌های امنیتی را گرد هم آورده، صراحتاً درباره‌ی این موضوع هشدار می‌دهد و دلیل دومی هم اضافه می‌کند: حذف برنامه، مدرکی را هم که اگر پای پلیس را به میان بیاورید شاید لازمش داشته باشید از بین می‌برد.
ترتیبی امن‌تر:
- فعلاً هیچ چیزی را روی گوشی تغییر ندهید و با کسی هم روبه‌رو نشوید.
- اول مشورت بگیرید، با دستگاهی که طرف مقابل هرگز به آن دسترسی نداشته است. یک سازمان حمایتی در حوزه‌ی خشونت خانگی می‌تواند به شما کمک کند ترتیب کارها را برنامه‌ریزی کنید.
- آنچه پیدا کرده‌اید را مستند کنید. یک گزارش فارنزیک وزن بیشتری از اسکرین‌شات دارد.
- از یک دستگاه دیگر رمزهای عبور را عوض کنید و تأیید دومرحله‌ای را روشن کنید، و از حساب Google خود شروع کنید.
- تصمیم درباره‌ی حذف را آخر از همه بگیرید، وقتی پشتیبانی لازم را از قبل فراهم کرده‌اید.
اگر هیچ کس در زندگی‌تان منبع محتملی نیست و ماجرا شبیه یک جرم معمولی است، حساب‌وکتاب ساده‌تر است: Android را به‌روز کنید، آنچه پیدا کرده‌اید را حذف کنید، رمز Google خود را عوض کنید، از نشست‌های ناشناس خارج شوید، و بازنشانی کارخانه‌ای (factory reset) را در نظر بگیرید، بدون بازگرداندن نسخه‌ی پشتیبانی که ممکن است مشکل را دوباره نصب کند.
گوشی را به هدف سخت‌تری تبدیل کنید
- رمزی بگذارید که هیچ کس دیگری نداند و مطمئن شوید اثر انگشت اضافه‌ای ثبت نشده است. تنظیمات، سپس امنیت، سپس اثر انگشت. تقریباً همه‌ی این ماجراها با دسترسی فیزیکی شروع می‌شود.
- Play Protect را روشن نگه دارید و گاهی بررسی کنید که هنوز روشن است.
- به‌روزرسانی‌ها را سریع نصب کنید، هم به‌روزرسانی‌های Android و هم به‌روزرسانی‌های سیستمی Google Play.
- گوشی را روت نکنید، و اجازه ندهید کسی این کار را برایتان بکند.
- دستگاه‌های حساب Google خود را در myaccount.google.com مرور کنید، چون کسی که رمز Google شما را دارد اصلاً نیازی به برنامه‌ای روی گوشی ندارد.
- در اشتراک‌گذاری خانوادگی آگاهانه عمل کنید. اشتراک‌گذاری معمولی موقعیت مکانی که یک بار تنظیم شده و فراموش شده، بخش بزرگی از چیزی است که مردم به‌عنوان «ردیابی شدن» تجربه می‌کنند.
پاسخ کوتاه
شما واقعاً می‌توانید یک گوشی Android را خودتان بررسی کنید و باید هم این کار را بکنید: Play Protect، سرویس‌های دسترس‌پذیری، دسترسی به اعلان‌ها، برنامه‌های سرپرست دستگاه، دسترسی ویژه‌ی برنامه‌ها، فهرست کامل برنامه‌ها از جمله موارد مخفی، و الگوی مصرف باتری و داده. این‌ها بیشتر استاکرورهای تجاری را پوشش می‌دهند، چون بیشترشان به مجوزهایی نیاز دارند که در همین صفحه‌ها دیده می‌شوند.
آنچه این بررسی‌ها پوشش نمی‌دهند، هر چیزی است که دسترسی روت دارد، یا هر چیزی که به گوشی یاد داده درباره‌ی خودش دروغ بگوید. برای آن به تحلیل از بیرون دستگاه نیاز دارید.
و اگر به کسی که می‌شناسید مشکوکید، پیش از دست زدن به هر تنظیمی مشورت بگیرید. تشخیص، نیمه‌ی آسان کار است.
منابع
- Coalition Against Stalkerware، اطلاعات برای بازماندگان: stopstalkerware.org/information-for-survivors
- آزمایشگاه امنیت Amnesty International، Mobile Verification Toolkit: mvt.re و github.com/mvt-project/mvt
- Google، Play Protect: support.google.com/googleplay/answer/2812853
- Electronic Frontier Foundation، Surveillance Self-Defense: ssd.eff.org
مطالب مرتبط: چگونه جاسوس‌افزار را در iPhone تشخیص دهیم، نشانه‌های استاکرور و کارهایی که نباید بکنید، از کجا بفهمیم گوشی هک شده است، بررسی‌های رایگان جاسوس‌افزار که واقعاً جواب می‌دهند، و چگونه جاسوس‌افزار را با خیال راحت حذف کنیم.