国产手机和路由器全面内置反诈程序：明文HTTP回传全量应用清单，大监听时代已经来了

导语：三张截图拆开国产设备的反诈底牌：路由器预装反诈插件，手机 SystemHelper 用明文 HTTP 上传设备信息与全量应用清单，截图与 VoIP 记录保留 72 小时。

一、这事不是今天才有的

11月7日，一条推文在安全圈传开：国产手机和国产路由器已全面内置反诈程序，国内大监听时代来临，你们的手机屏幕、截图、声音内容会被全面上传。配图三张，点赞过千。

但要说”大监听时代”得往前翻。2023年10月29日，V2EX 上一位 ID 叫 oblivion 的网络工程师发帖讲遭遇：运营商搞 1 元提速带宽活动，还送 FTTR 光猫。他把自家光猫换掉，当晚访问 Google 的 VPN 就用不了了。第二天他买云服务器自建 VPN，一打开网页就跳到反诈页面，三分钟后反诈热线电话打进来。中午访问 Cloudflare，又来一通。

关键在后面：他换同事的普通光猫，Cloudflare 顺利打开，也没等到反诈电话；再换回活动送的那台，反诈电话立刻复现。最后他拿到管理员密码，root 进后台一看——设备里装着反诈插件。

(图源:X 推文 @jiewangsss,路由器监听软件调查文截图)

调查者一句话概括：监听软件很快从手机扩散到各家路由器和光猫；某些”免费活动”本身就在推广监听设备。

这是五年前。手机这边今天也有答案。

二、手机这端：三个包名，一条回传链路

推文提到的独立逆向（ChrisLi-Tech 对红米 K90 / HyperOS 3.0），把”系统安全组件”这类模糊名字对到了真实包名：

(图源:X 推文 @jiewangsss,逆向分析原文截图)

拆开 SystemHelper 后结论有点微妙：它不是木马，签名链是 CN=MIUI、O=Xiaomi，官方预装的特权应用，但行为很像运营商埋的探针：

• 回传地址 http://dm.wo.com.cn:18080/register，wo.com.cn 是中国联通设备管理（DM）平台，还是明文 HTTP；
• 本地建了张 SQLite 表 dmregister(jsonString)，专门攒待上报数据；
• 监听开机广播（priority=2147483647，最高优先级）、SIM 状态变化、网络变化、信号强度；
• 采集 READ_PRIVILEGED_PHONE_STATE + 后台定位（内置百度定位 SDK，带硬编码 API key）+ QUERY_ALL_PACKAGES + PACKAGE_USAGE_STATS，拿到设备信息、SIM/ICCID、位置、已安装应用列表；
• 两个 ELAPSED_WAKEUP 闹钟常驻，负责信号上报和定时注册，appLaunchCount=0，用户从没打开过，纯后台；
• 导出面敞着：RegisterHelperService 任意应用可 bind。

还有个反直觉细节：这位用户插的是中国移动卡（MCC 46000），组件却往联通服务器注册——说明这是联通渠道机或定制分区里的组件，装在机器上却不是给你这运营商用的。

三、能力清单：它到底能看见什么

渠道预装那套和系统自带安全栈是两回事，拼起来才是完整视图：

(图源:X 推文 @jiewangsss,预装组件与安全栈能力表截图)

系统安全组件申请的 CAPTURE_AUDIO_OUTPUT 和 CAPTURE_VOICE_COMMUNICATION_OUTPUT 最扎眼——它们指向通话音频，不是麦克风。

四、72 小时：写在文档里的那个窗口

推文还提到更关键一层：反诈框架会记录截图、屏幕共享、VoIP 行为，保留 72 小时供合作 App 查询；隐私开关关掉后它仍在运行。逆向者拿到的痕迹包括 fraud_detection_data.db 路径、voip_record 与 screenshot 表，甚至还有 screenshot_time 被拼错成 screenshort_time 的手滑。

这些细节说明它不是”扫一下安装包就完事”，而是一条有存储、有查询接口的数据管线。用户删掉通话记录、删掉可疑 App，以为痕迹抹干净了——在 72 小时窗口里，合作方照样查得到。

五、紫队怎么看这事儿

红队视角：预装的特权组件等于白送一堆”已经装在用户手机里的传感器”。截图、屏幕共享、通话音频、应用清单、精确位置，要什么权限它自己就有。导出面还开着，恶意 App 盯上这里连权限申请都省了。

蓝队与治理侧：反诈是刚需，问题不在”有没有”，而在”能不能查、能不能审、能不能关”。三件事当下就能做——预装清单公开可查（SystemHelper 既然能被商店更新到 3.0.7，说明它至少可更新、可移除）；回传通道从明文 HTTP 换成 HTTPS 加服务端签名校验；合作 App 查询行为必须留审计日志、标明调用方身份，72 小时到期自动删除。

给个人用户的建议很朴素：免费送的设备、预装的 App、关不掉的开关，多问一句它连着谁、留多久。

六、结语

从 2023 年 V2EX 上那句”免费送的光猫有问题”，到 2026 年有人把 SystemHelper 拆开、把包名对上号，反诈组件从路由器里的一个插件长成了手机系统层的一部分。它不是木马，签名合法，功能正当，也确实挡住过不少诈骗电话。

但监听时代真正到来的标志，从来不是代码里有没有恶意，而是你有没有办法知道：它在看什么，看了多久，给了谁。

版权声明:本文由华盟网原创发布,保留所有权利。文中截图来源于 X 平台公开推文,仅用于技术分析说明。