Applore 可疑应用检查的工作原理和局限

在更改任何内容之前

检查比对什么

Applore 的可疑应用检查会查看您手机上安装的每一个应用，并从三个方面将其与威胁列表进行比对：

• 应用的包名，即每个 Android 应用都有的唯一 ID，例如 com.example.app
• 应用的签名证书，即开发者使用的数字签名。即使应用改了名，这里的匹配仍然有效。
• 应用的文件指纹，这是根据您手机上该应用的安装文件计算出的一段代码。它与应用的某一个确切版本相匹配。

威胁列表结合了多个公开来源：

• Echap 发布的跟踪软件指标，采用 CC BY 4.0 许可。它们涵盖跟踪软件（为暗中监控他人而出售的应用），以及单独的一组 watchware（监控类应用，例如通常公开安装的家长控制或员工追踪工具）。
• Mobile Verification Toolkit 指标（MIT 许可），列出了研究人员记录在案的商业间谍软件应用。
• ESET 发布的指标（BSD 2-Clause 许可），针对有害的 Android 应用。
• Applore 自己维护的一份简短列表，例如杀毒软件测试应用和跟踪软件产品名称。

已知有害应用从不只凭包名匹配。 经过重新打包的有害应用常常沿用热门应用的名称，因此按名称匹配可能会标记正版应用。它们只通过签名证书或完全相同的文件指纹进行匹配。

列表如何到达您的手机。 每次更新都由专人审核并手动发布。手机联网时，Applore 大约每天检查一次是否有新的签名列表。它会验证签名，拒绝任何被篡改、损坏或小于预期的文件，然后继续使用它已有的列表。应用本身也附带一份列表。检查更新时会下载一个文件，不会发送任何关于您应用的信息。

这些来源都不完整。Echap 声明其指标并不是完整的跟踪软件列表，也不保证其准确性；而且某个应用的新版本可能在任何列表收录之前就已出现。这就是 Applore 还会查找警告迹象的原因。

Google Play 保护机制的结果

如果 Google Play 保护机制已开启，Applore 还会向它询问哪些已安装的应用被它报告为有害，并将这些应用列出，注明来源是 Play 保护机制。Play 保护机制是 Google 的扫描工具，内置于带有 Google Play 的 Android 手机中。如果 Play 保护机制已关闭，或者手机没有 Google Play 服务，检查会跳过这一部分，其余部分照常进行。当 Play 保护机制关闭时，可疑应用检查会显示一条提示，方便您重新开启它。Google Play 保护机制检查什么说明了它自身的局限。

Applore 评分的行为信号

对于与列表不匹配的应用，Applore 会为监控应用常见的信号评分。每个信号单独来看，在正常应用中也很常见。

从应用商店以外安装是一道门槛，本身并不是证据。一个通过文件安装、图标可见的应用，只有在另一个强烈迹象的支持下才会升至高：隐藏图标；同时拥有无障碍和通知使用权；名称像系统应用；开发者测试证书；或者能使用麦克风、相机、位置信息、短信、通话记录和联系人中至少四项，并被设置为持续运行和随手机启动。您自己安装的通话录音应用可能看起来像最后这种情况，所以您可以将它标记为可信。

单纯的热门应用副本属于值得关注：修改版和从开发者网站正式下载的版本看起来也是这样。只有当它同时隐藏图标或拥有无障碍、通知使用权或设备管理权限时，才会升至高。

Applore 会跳过系统应用和它自己。由手机制造商自己的固件安装的应用（例如地区版应用或运营商应用）会被视同从应用商店安装。

各个级别的含义

每个被标记的应用都会获得以下级别之一，使用的词语与应用内相同：

已知监控应用高值得关注未标记

• 已知监控应用：包名、签名证书或文件指纹与列表中的已知跟踪软件匹配；或者一个已知监控应用是通过文件安装的并隐藏了图标；或者一个从应用商店以外安装的应用使用了已知跟踪软件的产品名称并能使用敏感权限。
• 高：从应用商店以外安装，并带有强烈的警告迹象，例如图标已关闭，或者隐藏图标同时拥有无障碍、通知使用权或设备管理权限。通过证书或文件与已知有害应用匹配的应用，或被 Google Play 保护机制报告为有害的应用，无论来源如何，也都属于高。杀毒软件测试应用也会显示在这里，并标明是无害的测试威胁。
• 值得关注：有一些警告迹象，或者是从应用商店安装的已知监控应用。有空时请查看一下。
• 未标记：没有匹配，迹象也不足。这并不能证明该应用或这部手机没有问题。

在 Applore 中，每个被标记的应用都会显示其级别和被标记的主要原因。在 Applore Pro 中，关于此应用会用浅显的话完整说明每项发现：该应用能看到或做什么、来自哪里、何时安装、是否隐藏，以及它被标记的每一个原因。专业版运行与 Applore Free 相同的检查，不会找出更多应用。

监控应用与跟踪软件

来自 Google Play 的家庭、家长控制和员工管理类应用会被标注为监控应用，而不是跟踪软件。它们通常是公开安装的，可能是正当的，但也可能被滥用。从应用商店安装的应用最多只会被标为值得关注，除非它与威胁列表匹配或被 Play 保护机制报告。监控应用与跟踪软件说明了两者的区别。

已从Play商店移除：一份单独的列表

Applore 还会显示已从Play商店移除：出现在一份下载的列表中、被 Google 因违反政策而从 Google Play 下架的已安装应用，大多是广告软件或欺诈应用。这不是针对间谍软件或恶意软件的检查，它与可疑应用检查是分开的。它从不提高应用的跟踪软件级别，也从不单独发送提醒。

检查何时运行

Applore 在第一次读取您的应用列表之前会征求您的同意。之后，检查会在以下时候运行：

• 在您打开 Applore 时
• 在后台按计划运行，包括每天对每个已安装的应用重新检查一次
• 在应用被添加或更新时，即 Android 报告这些变化时

Android 的省电功能可能会延迟后台检查，因此新应用可能不会被立即检查。

如果 Applore 发现已知监控应用或高级别的结果，它会在稍后提醒您，并一再提醒，直到您处理为止：大约一小时后、当天稍晚、第二天，然后一周内每天一次，之后每周一次。滑动关闭提醒并不会清除这项发现。当应用被删除，或您用应用锁定 PIN 码或图案将其标记为可信时，这项发现才算处理完毕。值得关注的结果会显示在列表中，但不会发送提醒。

Applore 无法做到的事

对于某些设置，例如使用情况访问权限或显示在其他应用上层，Applore 也看不到另一个应用是否已被授予这些特殊权限。它只能看到该应用请求了这些权限。

有些类型的监控超出了任何应用检查所能看到的范围：

• 植入手机系统软件中的程序，或需要已 root 手机才能使用的工具
• 完全不需要应用的攻击，例如零点击漏洞利用
• 通过共享的或已登录的帐号或云服务进行的监视。安全检查会引导您查看这些设置，但无法替您检查它们。
• 网络流量，以及通过运营商设置的来电或短信转发

哪些内容会发送，哪些不会

• 检查在您的手机上运行。 检测过程不会上传任何关于您应用的信息，检查结果保留在设备上。
• 威胁列表更新只是下载。 Applore 从 applore.io 获取带签名的列表。和任何网络请求一样，这会让服务器看到您的 IP 地址，但不会携带任何关于您应用的信息。
• 在手机上询问 Play 保护机制。 如果 Play 保护机制已开启，Applore 会通过您手机上的 Google Play 服务向它询问。
• 不会向分析服务发送包名。 关于检查的分析事件只包含数量，不包含应用名称。
• 一个例外：应用类别。 当您在应用管理器中打开应用类别时，包名会被发送到 Applore 的服务器，以便按类别对应用分组。这是一个独立的功能，已在隐私政策中披露。
• 只有在您分享时，报告才会离开手机。 证据报告（Applore Pro）在您的手机上创建，只会通过 Android 的分享菜单离开手机，去往您选择的地方。请参阅分享 Applore 发现内容的记录。

获取支持

Applore 应用内提供了印度、美国和英国的求助联系方式，以及全球性的求助渠道。如果您住在其他地方，请搜索您所在国家/地区的家庭暴力求助热线。求助热线列出了可以从哪里开始。如果您正面临紧急危险，请拨打当地的紧急电话。

关于 Applore 使用的第三方数据和许可，请参阅致谢。所有安全指南都在安全指南首页。