RSF 資安實驗室（DSL）提升智慧型手機安全指南
2025年12月，無國界記者（RSF）的資安實驗室（Digital Security Lab, DSL）發現一款據報為白俄羅斯國家安全委員會（KGB RB）部署，專為Android手機打造的間諜軟體： ResidentBat。這款軟體與知名的飛馬等工具不同，它不依賴漏洞攻擊，而是由安全部隊在取得實體裝置、解鎖 PIN 碼後進行安裝。DSL 於本文說明使用者該如何辨識 ResidentBat 這類的間諜軟體，以及如何降低自身遭監控的風險。
如何防範 ResidentBat 與類似的間諜軟體
實體存取是關鍵的必要條件
ResidentBat 這類間諜軟體必須在實際接觸到硬體裝置的情況下才能安裝。因此最重要的防護措施，就是避免存有敏感資料的手機被沒收或被拿走。
- 在高風險情境下（例如通過邊境、在示威活動現場或危機地區採訪、接受警方訊問時），請考慮攜帶備用裝置。
- 若情況允許，請將主要手機留在安全地點，不要帶進高風險環境。
使用最新版本的裝置，並定期安裝更新
DSL 建議記者使用可執行最新版本Android 或 iOS系統的智慧型手機，並定期接收安全更新。 Android 系統版本近來已大幅強化安全架構，使用過時裝置不僅會暴露於已知的安全漏洞下，也無法獲得新的防護。
Android：啟用「進階保護模式」（Advanced Protection Mode）
若使用者自認極可能成為間諜軟體的攻擊目標，請啟用 Android 16 以上版本提供的「進階保護模式」。這項設定包含多種防護措施，例如封鎖來自未知來源的安裝（側載，sideloading），以及防止停用可偵測惡意應用程式的 Google Play 安全防護。
路徑：設定 > 安全性與隱私權 > 進階保護 > 裝置保護
優先選擇不允許側載的裝置
盡可能使用不允許從非官方來源（即非官方應用程式商店）安裝 App 的裝置。例如 iPhone 在設計上本身已限制側載。此外，據報 ResidentBat 依賴的功能包含深層系統權限，而iOS也較少賦予App這類權限（舉例來說，iOS限制濫用輔助使用服務）。
為可能被沒收的裝置預先做好防護
由於 ResidentBat 這類攻擊仰賴對裝置的實體存取，請採取以下預防措施因應高風險情境（例如遭安全單位訊問）：
- 切勿在可能被旁人或攝影機看見的情況下輸入 PIN 碼。
- 使用英數混合密碼（字母加數字）。這類密碼比純數字 PIN 碼或圖形解鎖更難被猜到或被偷看。
- 考慮使用 GrapheneOS 等強化安全性的作業系統，系統提供的額外防護功能包含：
- 隨機排列PIN碼：每次輸入PIN碼時，系統都會更改數字鍵盤的排列，以降低 PIN 碼被偷看的風險。
- 雙重解鎖：使用者必須同時用指紋和 PIN碼才能解鎖。
- 脅迫模式（Duress mode）：使用者在嘗試解鎖的過程中輸入特定的替代密碼，將觸發系統安全清除資料。
GrapheneOS 提供強大的安全防護功能，但目前只能安裝在 Google Pixel 裝置上，並非人人都能使用。若實在無法更換系統，請將手上的裝置保持更新到最新版本，並持續留意是否有裝置遭入侵的跡象。
檢查自己是否可能受到影響
使用可信的鑑識工具（MVT）
DSL 在分析 ResidentBat 時， 也同步和合作夥伴一起開發額外的數位鑑識工具（技術細節請參閱完整報告）。使用者可利用 MVT（Mobile Verification Toolkit，行動裝置驗證工具）偵測到所有 DSL 已辨識出的 ResidentBat 變種 (包括使用不同套件名稱的版本) 。若 MVT 顯示你的裝置曾啟用與 ResidentBat 有關的 App，請聯絡 RSF 的 RESIDENT.NGO, DSL或國際特赦組織的安全實驗室。上述團隊將密切合作，確認間諜軟體的部署地點及攻擊目標。
重要提醒：由於這款間諜軟體能遠端清除裝置資料，請先開啟飛航模式。請在飛航模式下執行MVT或將裝置交由數位鑑識專家檢查。
可察覺的感染跡象
ResidentBat 在錄製電話通話後，會顯示特定的「更新通知」。此外，間諜軟體在錄製螢幕畫面時，Android 系統可能會顯示媒體投影（Media Projection ）圖示。看到來自未知 App 的通知或在未分享螢幕的情況下出現媒體投影圖示，都應視為警訊。
以下為可疑跡象的螢幕截圖：
【photos to be uploaded】
檢查 Android 裝置
確認 Google Play 安全防護是否啟用
攻擊者必須先停用目標裝置上的 Google Play 安全防護才能安裝間諜軟體，所以任何可能遭受監控的人都應保持啟用該功能。若使用者未手動關閉 Google Play 安全防護，卻發現手機上這項功能已被關閉，這就是危險警訊。
路徑：Play 商店 > 個人頭像（右上角）> Play 安全防護
檢查裝置管理員 App 與輔助功能服務
請定期檢查是否有未知的裝置管理員 App 或輔助功能服務遭到啟用。
- 裝置管理員：設定 > 安全性與隱私權 > 進階保護 > 裝置管理員 App
停用並移除未知項目。 - 輔助功能：設定 > 輔助功能 > 已下載的 App
停用並移除未知服務。 - 所有 App 總覽：設定 > App > 查看所有 [N] 個 App
請注意，侵入性 App 可能會使用看似正常、可信的名稱與圖示。若有疑慮，請諮詢上面提及的數位鑑識團隊。
實際路徑可能會依 Android 版本與裝置製造商略有不同。
其他語言版本
本指南亦有白俄羅斯語版。