Så hittar du spionprogram på Android: det du faktiskt kan kontrollera

Android är motsatsen till iPhone-problemet. På iOS är sandlådan så strikt att ingen app kan skanna systemet, och det är därför antivirusappar för iPhone inte kan göra det som deras beskrivningar antyder. På Android får du titta på flera av de ställen som spelar roll, och de flesta är vanliga inställningsvyer som du kan öppna redan nu.

Den öppenheten är också skälet till att det finns mer stalkerware på Android. Den som kan låsa upp din telefon i fem minuter kan installera en app utanför Play Butik, ge den de behörigheter den behöver och dölja ikonen. Ingen sårbarhet, ingen jailbreak, ingen teknisk kunskap. Bara din kod och några minuter ensam med din enhet.

Den här guiden går igenom vad du kan kontrollera själv, i den ordning det lönar sig att kontrollera det, och sedan det enda som måste göras från en dator.

Innan du börjar, om du tror att du vet vem som övervakar dig

Om personen du misstänker är en partner, ett ex, en familjemedlem eller en arbetsgivare: läs avsnittet om säkerhet mot slutet av den här artikeln innan du ändrar en enda inställning. Vissa övervakningsappar meddelar den som installerade dem när de stängs av, och i en kontrollerande relation kan det meddelandet göra situationen värre. Inget nedan är så brådskande att du ska hoppa över det.

Så fungerar stalkerware på Android

Nästan alla kommersiella övervakningsappar på Android bygger på samma tre funktioner. De är legitima delar av plattformen, byggda för verkliga behov, och de är skälet till att den här programvaran kan se nästan allt utan att utnyttja någon sårbarhet.

Tillgänglighetstjänster. Behörigheten finns för att skärmläsare ska fungera, och den låter en app se vad som visas på skärmen och följa vad du skriver. Det är exakt den förmåga som en keylogger behöver. Om du bara kontrollerar en sak på den här sidan, kontrollera den här.

Åtkomst till aviseringar. Varje avisering som din telefon tar emot, inklusive hela texten i meddelanden från appar som övervakaren annars inte kan läsa, passerar genom den här behörigheten.

Enhetsadministratör. Funktionen är tänkt för hantering av företagstelefoner, och den gör en app svårare att avinstallera och låter den stå emot borttagning.

En övervakningsapp med de tre behörigheterna gömmer sig inte i någon mörk vrå av operativsystemet. Den ligger i dina inställningar med ditt godkännande registrerat bredvid sig, eftersom någon gav den behörigheten med din telefon i handen.

Sju kontroller du kan göra själv

Menynamnen skiljer sig mellan Samsung, Pixel, Xiaomi och de andra. Om en sökväg nedan inte stämmer med din telefon: öppna Inställningar och använd sökrutan högst upp med orden i fetstil.

1. Kör Play Protect och kontrollera om det har stängts av

Öppna Play Butik, tryck på din profilikon, sedan Play Protect och därefter Skanna. Det flaggar kända övervakningsappar.

Det mer avslöjande är om det redan var avstängt. Play Protect är påslaget som standard, det varnar dig när appar installeras utanför Play Butik, och att stänga av det är ett medvetet val. Om du hittar det avstängt och inte har stängt av det själv ville någon att en installation skulle passera obemärkt.

2. Gå igenom listan under Tillgänglighet

Inställningar, sedan Tillgänglighet, och leta efter nedladdade eller installerade tjänster. På en normal telefon är listan tom eller innehåller verktyg du själv har valt: en skärmläsare, ett förstoringsverktyg, en lösenordshanterare, en startskärmsapp.

Allt här som du inte har installerat behöver en förklaring. Namnen väljs med flit för att se tråkiga ut, i stil med System Service, Device Health, Update Manager, Sync Services eller Accessibility Helper. En äkta systemkomponent dyker inte upp under de nedladdade tjänsterna i den här vyn.

3. Kontrollera åtkomsten till aviseringar

Inställningar, sedan Aviseringar, sedan Enhets- och appaviseringar eller Särskild appåtkomst, och därefter Åtkomst till aviseringar. Samma logik: allt du inte känner igen som har behörighet att läsa varje avisering på din telefon är ett allvarligt fynd.

4. Titta på enhetsadministratörsappar

Inställningar, sedan Säkerhet, sedan Enhetsadministratörsappar. De flesta privata telefoner visar antingen en tom lista eller Hitta min enhet. En jobbprofil kan helt legitimt visa arbetsgivarens hanteringsverktyg. En okänd app med administratörsrättigheter är både en varningssignal och förklaringen till att ett tidigare försök att avinstallera kanske misslyckades.

5. Gå igenom särskild appåtkomst

Inställningar, sedan Appar, sedan Särskild appåtkomst. De poster som är värda att läsa är Visa över andra appar, Användningsåtkomst, Installera okända appar och Åtkomst till alla filer. Övervakningsprogram behöver ofta flera av dem. Särskilt användningsåtkomst visar vilka appar som kan se allt du öppnar och hur länge.

6. Hitta appar som inte finns på hemskärmen

En app kan dölja sin ikon, så att bläddra igenom hemskärmen bevisar ingenting. Gå till Inställningar, sedan Appar, sedan Visa alla appar, och öppna menyn för att visa systemappar. Listan är lång och det mesta i den är legitimt, och därför är det två saker du ska leta efter:

• Två exemplar av något som bara ska finnas en gång, särskilt en miniräknare, en filhanterare, en anteckningsapp eller ett systemverktyg. En dubblett är en klassisk förklädnad.
• Appar vars namn du inte kan förklara. Sök på det exakta namnet innan du får panik, eftersom nästan allt i listan är normalt, och kontrollera sedan appens behörigheter.

När du ändå är där: öppna Play Butik, tryck på din profil, sedan Hantera appar och enhet, sedan Hantera, och ändra filtret till appar som inte är installerade av Play Butik. Sidoladdad programvara är inte automatiskt dålig, men på en telefon där du aldrig sidoladdar något behöver varje post ha en förklaring.

7. Jämför batteri och data med hur du använder telefonen

Inställningar, sedan Batteri, sedan batteriförbrukning; därefter Inställningar, sedan Nätverk och internet, sedan mobildataanvändning. Du letar efter en app som du aldrig öppnar högt upp i någon av listorna, eller bakgrundsdata som inte stämmer med dina vanor.

Se det här som den svagaste signalen, precis som på en iPhone. Ett åldrande batteri, en systemuppdatering eller ett fotobibliotek som synkas efter en semester ger samma mönster. Det är ett skäl att titta närmare, aldrig ett avgörande.

Varför en app på telefonen inte kan göra hela jobbet

Allt ovan är värt att göra, och det fångar mycket verklig övervakning. Men det har tre begränsningar som ingen skanner installerad på telefonen kan ta sig förbi.

Appar kan fortfarande inte läsa varandra. Android är öppnare än iOS när det gäller att visa vad som är installerat, men en app kan inte läsa en annan apps privata data. En skanner kan berätta att ett misstänkt paket finns. Den kan inte öppna det och visa vad som har samlats in.

Avancerad programvara gömmer sig för vyerna du just kontrollerade. Det som har fått root-åtkomst kan ta bort sig själv från applistor, gömma sig för Play Protect och överleva en avinstallation. När en telefon väl är rootad är verktygen på telefonen inte längre trovärdiga vittnen.

Du ber den misstänkta om dess eget alibi. Om enheten är komprometterad på djupet kommer varje svar den ger dig från programvara som inkräktaren kanske styr. Det är det grundläggande problemet, och det är detsamma i alla operativsystem.

Vad en analys från en dator tillför

Anslut telefonen till en dator med USB och aktivera utvecklaråtkomst, så kan ett externt verktyg lista varje installerat paket, läsa systemloggarna och jämföra allt med kända indikatorer på intrång: paketnamn som används av kommersiell stalkerware, domäner som övervakningsprogram kontaktar, kombinationer av behörigheter som bara övervakning behöver.

Det viktiga är var analysen körs. Datorn ber inte telefonen att bedöma sig själv. Den läser telefonens innehåll och drar sina egna slutsatser, och det är därför metoden används av de forskare som publicerar det här arbetet. Amnesty Internationals Security Lab underhåller ett verktyg med öppen källkod, Mobile Verification Toolkit, som gör just detta för både Android och iOS.

Det är också ett kommandoradsverktyg som förutsätter att du installerar Python-paket, tar en ADB-säkerhetskopia och tolkar forensiska resultat. Metoden är sund och offentlig; problemet är avståndet mellan en orolig människa och en färdig analys. Att överbrygga det avståndet är vad Haris Shield är till för, med samma externa analys och en rapport som är skriven för att läsas, inte tolkas av en maskin.

Om du hittar något: ta inte bort det ännu

Det här är den del som de flesta guider får fel, och den är viktigare än allt ovan.

Om personen som övervakar dig är någon i din närhet kan det farligaste du gör vara att ta bort appen. Många produkter varnar den som installerade dem i samma ögonblick som övervakningen upphör. I en våldsam eller kontrollerande relation säger den varningen till den andra personen att du har hittat appen, vid en tidpunkt du inte har förberett dig för. Coalition Against Stalkerware, som samlar organisationer mot våld i nära relationer och säkerhetsföretag, varnar uttryckligen för detta, och lägger till ett andra skäl: om du raderar appen raderar du också de bevis du kan behöva om du kopplar in polisen.

En säkrare ordning:

1. Ändra ingenting på telefonen ännu, och konfrontera ingen.
2. Be om råd först, från en enhet som den andra personen aldrig har haft tillgång till. En organisation som arbetar mot våld i nära relationer kan hjälpa dig att planera i vilken ordning du ska göra saker.
3. Dokumentera det du hittade. En forensisk rapport väger tyngre än en skärmbild.
4. Byt lösenord och slå på tvåfaktorsautentisering från en annan enhet, och börja med ditt Google-konto.
5. Bestäm dig för borttagning sist, när du redan har stöd på plats.

Om ingen i din närhet är en trolig källa och det ser ut som vanlig brottslighet är kalkylen enklare: uppdatera Android, ta bort det du hittade, byt lösenord till ditt Google-konto, logga ut okända sessioner och överväg en fabriksåterställning utan att återställa en säkerhetskopia som kan installera problemet igen.

Gör telefonen till ett svårare mål

• Använd en kod som ingen annan känner till och kontrollera att inga extra fingeravtryck har registrerats. Inställningar, sedan Säkerhet, sedan Fingeravtryck. Fysisk åtkomst är hur nästan allt det här börjar.
• Låt Play Protect vara påslaget och kontrollera då och då att det fortfarande är det.
• Installera uppdateringar direkt, både Android-uppdateringar och systemuppdateringar för Google Play.
• Roota inte telefonen, och låt ingen annan göra det åt dig.
• Gå igenom enheterna i ditt Google-konto på myaccount.google.com, eftersom en övervakare med ditt Google-lösenord inte behöver någon app på telefonen alls.
• Var medveten om vad du delar med familjen. Vanlig platsdelning, som en gång har ställts in och sedan glömts bort, står för en stor del av det som människor upplever som att bli spårade.

Det korta svaret

Du kan verkligen kontrollera en Android-telefon själv, och det bör du göra: Play Protect, tillgänglighetstjänster, åtkomst till aviseringar, enhetsadministratörsappar, särskild appåtkomst, hela applistan inklusive dolda poster, och mönster i batteri- och dataförbrukning. Det täcker det mesta av den kommersiella stalkerwaren, eftersom den oftast behöver behörigheter som syns i de vyerna.

Det som inte täcks är sådant som har root-åtkomst, eller sådant som har lärt telefonen att ljuga om sig själv. För det behöver du en analys utifrån enheten.

Och om du misstänker någon du känner: be om råd innan du rör en enda inställning. Att hitta programmet är den lätta halvan.

Källor

• Coalition Against Stalkerware, Information för utsatta: stopstalkerware.org/information-for-survivors
• Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re och github.com/mvt-project/mvt
• Google, Play Protect: support.google.com/googleplay/answer/2812853
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Läs vidare: så hittar du spionprogram på iPhone, stalkerware: tecknen och vad du inte ska göra, så vet du om din telefon är hackad, gratiskontroller av spionprogram som faktiskt fungerar och så tar du bort spionprogram på ett säkert sätt.