近年来，新闻工作者（新窗口）已成为世界各国政府监控的主要目标之一。如果您是一名报道敏感话题的记者（新窗口），那么在能够秘密监视 iPhone 上传输和存储的所有数据的间谍软件（新窗口）应用已形成国际市场的情况下，没有任何一个国家能保障隐私安全。
随着这类应用不断激增，了解如何在 iPhone 上找到隐藏应用并将其移除已变得至关重要。
- 针对新闻工作者的间谍软件
- 黑客如何在 iPhone 上隐藏应用
- 如何检查 iPhone 是否感染 Pegasus 间谍软件
- 如何检查 iPhone 是否感染 Graphite 间谍软件
- 如何在 iPhone 上找到隐藏应用
- 设备上发现间谍软件该怎么办
针对新闻工作者的间谍软件
2025 年 6 月，Citizen Lab（新窗口） 的研究人员报告了新证据（新窗口），表明意大利政府正在利用以色列公司 Paragon Solutions（新窗口） 开发的 Graphite 间谍软件攻击新闻工作者和活动人士。
Citizen Lab 此前已在澳大利亚、加拿大、丹麦、新加坡、以色列和塞浦路斯发现了 Graphite 被使用的证据（新窗口），并可能与加拿大警方存在关联。2025 年 1 月的一次黑客攻击便是 Graphite 所为，其目标是近 100 名在 iPhone 上使用 WhatsApp（新窗口） 的新闻工作者和其他公民社会成员。值得注意的是，鉴于美国当前的局势，美国移民与海关执法局 (ICE) 于 2024 年与 Paragon 签署了一份价值 200 万美元的合同（新窗口）。
Graphite 的工作方式与来自 NSO Group（新窗口） 的臭名昭著的 Pegasus 间谍软件（新窗口）非常相似。作为 Paragon Solutions 在雇佣间谍软件领域的竞争对手，这家公司以与以色列国家关系密切而闻名，其间谍软件被以色列列为军事出口管制产品（新窗口）。NSO Group 将其软件出售给世界各地的政府（新窗口），包括沙特阿拉伯、迪拜、印度、墨西哥、摩洛哥、卢旺达和匈牙利，其 Pegasus 软件还与沙特人权活动人士 Jamal Khashoggi（新窗口） 遭到的残忍暗杀（新窗口）有关联。
黑客如何在 iPhone 上隐藏应用
Graphite 和 Pegasus 都是针对 iPhone 的漏洞利用工具套件。Graphite 比 Pegasus 更新，公开记录也少得多；以色列政府曾试图在沙特的武器库中用 Graphite 取代 Pegasus（新窗口），这一点颇能说明问题。
早在 2023 年，Apple 就发布了补丁（新窗口）来防范 Pegasus；在 WhatsApp 攻击事件之后，Apple 又针对 iOS 18.3.1 发布了补丁，以修复被 Graphite 利用的漏洞。但无法保证这些补丁能有效应对更新版本的间谍软件。
这两款应用通过多种攻击途径利用 iOS 中的零日漏洞。其中最令人担忧的是零点击攻击（新窗口），这类攻击利用 iMessage、WhatsApp 或 FaceTime 等应用中的漏洞，无需受害者点击链接或以其他方式与手机交互，即可静默感染设备。
iPhone 一旦被感染，间谍软件便会采用模块化架构，根据客户的监控目标远程启用或停用组件。其功能包括：
- 键盘记录
- 访问麦克风和摄像头（用于实时窃听音频和视频）
- 访问通话记录、短信、联系人和电子邮件
- 通过辅助功能服务或在数据加密前加以截获，来访问已加密的即时通讯应用（Signal、WhatsApp、Telegram）中的数据
- GPS 追踪
- 截取屏幕截图
这种间谍软件在 iPhone 上极难被检测到，并且可以在设定时间内未回传数据或收到指令时自我销毁，以擦除证据。NSO Group 还开发了一个同样针对 Android 设备（新窗口）的 Pegasus 版本，其功能与 iOS 版本类似，但采用不同的攻击模式。
很难估计这两种间谍软件究竟影响了多少设备，但早在 2021 年，NSO Group 就泄露了 50,000 个电话号码（新窗口），涉及潜在的 Pegasus 攻击目标。
如何检查 iPhone 是否感染 Pegasus 间谍软件
Apple 不允许真正的反恶意软件应用上架 App Store（严格来说，App Store 上也有”反恶意软件”应用，但对系统资源访问的限制严重削弱了其实用性）。而且无论如何，传统的反恶意软件在其他平台上对 Pegasus 也无能为力。
移动设备安全公司 iVerify 提供一款 Threat Hunting（新窗口）（威胁猎杀）工具，该公司声称截至 2024 年 12 月，这款工具已经发现了七起 Pegasus 感染事件（新窗口）。iVerify Basic（新窗口） 在 App Store 上售价不到一美元（不知如何避开了 Apple 的恶意软件扫描限制），使用起来非常简单。但作为闭源专有软件，其有效性无法得到独立评估。
另一种选择是使用移动验证工具包（Mobile Verification Toolkit，MVT（新窗口）），这是一款由人权组织大赦国际的安全实验室（新窗口）开发的免费开放源码工具。该工具可从 iPhone 备份中提取各类数据，以查找 Pegasus 攻击的证据，包括
- 短信消息
- 通话记录
- 已安装应用中的数据
- 系统日志
然后，该工具会分析这些数据，以检测”入侵指标” (IOC)，例如已知与 Pegasus 相关的特定进程和文件名。不过需要注意的是，使用该工具需要一台 Linux PC 或 Mac，并且熟悉命令行操作。要充分利用分析结果，还需对恶意软件取证有一定的深入了解。
一个更易于使用（带图形界面）的选择是 iMazing（新窗口） 工具，其方法与开放源码的 MVT”十分相似”。这是一款付费软件，但免费试用版包含 Pegasus 检测工具。不过，您仍需要一台 Linux PC 或 Mac。
如何检查 iPhone 是否感染 Graphite 间谍软件
目前尚无能够专门检测 Graphite 感染的工具。
上文讨论的 Pegasus 检测工具或许有可能检测到这种较新的间谍软件，但不能将其作为可靠手段。下文介绍的一般性技巧也可能有助于发现可疑行为。
如何查找 iPhone 上隐藏的应用
一般来说（上文讨论的国家资助间谍软件除外），iPhone 不允许第三方应用像在 Android 上那样真正”隐藏”在后台。不过，有些应用可能被刻意设计得难以发现。
尽管 Apple 拥有相当完善的沙盒机制、代码签名和 App Store 审核流程，iPhone 也并非对病毒和恶意软件完全免疫（新窗口）。能够直接接触您手机的人（例如家暴施害者）也可能趁您不备安装较为简单的间谍软件。
这意味着，定期检查 iPhone 上有没有不应运行的程序，对每个人都有好处。以下是一些查找隐藏应用的建议：
1. 检查 App 资源库：一直向右滑动到最右侧的主屏幕。在这里可以看到 iPhone 上安装的所有应用，即使它们没有显示在您常用的主屏幕上。留意您不熟悉的应用，尤其是名称看似外语的应用。可在线搜索这些应用是正规软件还是常见的恶意软件伪装。如有任何疑虑，请卸载这些应用。
2. 检查恶意配置描述文件：这类文件专为企业和学校远程管理 iPhone 而设计，但也可能成为 恶意软件攻击的重要途径（新窗口）。打开设置应用，前往通用 → VPN 与设备管理。删除任何您无法识别的描述文件（新窗口）。
3. 检查存储空间：打开设置应用，前往通用 → iPhone 存储空间。查看此处显示的已安装应用列表。如果主屏幕上可见的应用与此处显示的存在不一致，就需要进一步调查。
4. 留意可疑行为：异常的电池消耗或流量使用，或者手机在闲置时发热，都可能表明存在恶意软件。如果您具备相关技术能力，可以使用 Wireshark 等数据包捕获工具（新窗口）来分析 iPhone 的数据流向。
如何处理设备上的间谍软件
Citizen Lab 的研究带来了一条令人欣慰的消息：Graphite 和 Pegasus 等间谍软件的目标性很强，主要针对记者，但活动人士、异见人士、政治人物以及在敏感行业工作的人也可能成为目标。
如果您担心自己可能成为这类监控的目标，就应该启用隔离模式 (Lockdown Mode)。这是 Apple 专门设计的一项特殊功能，用于强化 iPhone，抵御 Pegasus 和 Graphite 所使用的针对性网络攻击。要开启隔离模式，请打开设置应用，前往隐私与安全性 → 安全性 → 隔离模式。
值得注意的是，使用隔离模式也有一些缺点，例如功能受限、便利性降低、可能出现兼容性问题，以及自定义选项减少。因此，对大多数人来说这并非理想选择。但如果您是记者，或认为自己可能成为间谍软件的目标，其安全优势很可能远超这些相对较小的不便。
您还可以采取以下措施：
- 更新 iOS：防御恶意软件的最佳方法就是让 iOS 保持最新版本，因为 Apple 会定期为其移动操作系统发布补丁，以修复新发现的漏洞。
- 切勿越狱（新窗口）您的手机：这会移除 iOS 通常内置的许多安全功能，并可能允许第三方绕过 App Store，在您不知情的情况下将侧载（新窗口）应用安装到您的手机上。
- 将手机恢复出厂设置：如果您对手机上的某个应用存有疑虑，就应该将手机恢复出厂设置（新窗口）。这几乎能清除所有”消费级”恶意软件，但可能不足以清除 Graphite 和 Pegasus 这类由国家资助的间谍软件。如果您怀疑自己遭受了这种程度的监控，最好请专业的恶意软件专家处理，或者干脆更换一部 iPhone。
- 使用 NetShield 广告屏蔽器：Proton VPN 的 DNS 过滤功能可拦截指向已知恶意软件和网络钓鱼域名的 DNS 请求。这意味着，即使您的 iPhone 感染了恶意软件，它可能也无法”回传信息”。
如果您对被国家资助的恶意软件盯上抱有任何顾虑，隔离模式正是为应对这类威胁而专门设计的。对其他人而言，Apple 在保障 iPhone 安全方面总体表现出色，但请务必将手机更新至最新的 iOS 版本，并保持警惕。
