📝 指南相关文章 on 点心安全手册

2025年7月：中国警察新的移动取证工具Massistant

Sun, 20 Jul 2025 00:00:00 +0000

安全调查公司Lookout近期发布文章称，发现中国警方新的移动取证工具“Massistant”。以下是全文翻译，原文链接： https://www.lookout.com/threat-intelligence/article/massistant-chinese-mobile-forensics

标题：Lookout发现中国的移动取证工具Massistant

“Massistant”被认为是2019年报道的中国取证工具“MFSocket”的后继产品，该工具归属于上市的网络安全公司美亚柏科。
该取证工具与相应的桌面软件配套使用。
“Massistant”获得设备的GPS位置信息、短信、图片、音频、联系人和电话服务等访问权限。
美亚柏科与国内外执法部门保持合作关系，不仅作为监控硬件和软件的提供商，还通过为执法人员提供培训项目进行合作。
前往中国大陆及在中国大陆内部旅行，可能会导致游客、商务旅客和相关人员的机密移动数据被国家警方作为合法监听措施的一部分获取。

Lookout威胁实验室的研究人员发现了一款名为“Massistant”的移动取证应用程序，供中国执法部门从移动设备收集大量信息。据信，该应用程序是“MFSocket”的后继产品，媒体曾在2019年报道过警察使用“MFSocket”取证。这些样本需要物理访问设备才能安装，并且没有通过Google Play商店分发。 ‍ 取证工具被执法人员用于从没收的设备中收集敏感数据，或在被执法人员拦截时使用。

这些工具可能对那些经常有高管和员工前往国外、尤其是前往边境管控严格的国家的企业构成风险。

2024年，中国国家安全部引入了一项新立法，允许执法人员在无需搜查令的情况下收集和分析设备。有传闻称，中国执法部门对商务旅行者的设备进行了收集和分析。在某些情况下，研究人员在被执法部门扣押并归还的设备上发现了持久的、无界面的监控模块，以便在设备归还后仍能继续监控移动设备活动。

Massistant：美亚柏科“MFSocket”的后继产品 #

2019年6月，一位名叫Muyi Xiao的中国记者发布一条推特评论（后来被删除），提到一种在中国社交媒体平台上被讨论的新型移动监控工具。据Xiao所述，一些中国网友声称他们的移动设备上被警察安装了一个名为“MFSocket”的应用程序。Xiao说这一监控工具属于一家上市的中国科技公司：厦门市美亚柏科信息股份有限公司。

随后，网络安全研究员巴蒂斯特·罗伯特（也被称为@fs0c131y）2019年6月公开分享了他对该应用的分析。在分析报告中，他指出签名证书显示美亚柏科是“MFSocket”应用程序的开发者。这些细节似乎证实了肖的说法。

自从那次报告以来，Lookout研究人员发现了一个名为“Massistant”的相关取证应用程序，我们认为这是“MFSocket”的后继产品。这些样本是在2019年中至2023年初之间获得的，主要使用引用美亚柏科的Android签名证书签署。

中国问答论坛显示，用户提到一个同名的应用程序，据称是警方以类似于“MFSocket”的方式安装在他们设备上的。

这些论坛帖子可以追溯到2020年年中，似乎支持了这样一种假设，即该工具是为了取代美亚柏科“手机大师”生态系统中的“MFSocket”移动组件而引入的。

根据一位百度知道用户的说法，国家公安部网站称卸载该软件是违法的，尽管Lookout的研究人员并未在公安部网站上发现与“Massistant”有关的任何内容。

与“MFSocket”类似，“Massistant”与桌面取证软件配合工作，从受损设备中提取数据。因此，取证工具不是连接到服务器，而是通过与“MFSocket”相同的10102端口连接到本地主机。可能是桌面组件通过端口转发服务（如 Android 调试桥提供的服务）与受损设备通信。

启动时，用户被提示同意一系列的访问权限请求，包括设备GPS位置数据、短信、图像、音频、联系人和电话服务，不需要其他交互。如果用户尝试退出应用程序，他们会收到一条通知，表示应用程序处于“获取数据”模式，退出将导致某些错误。此消息仅翻译为两种语言：中文（简体）和美国英语。

除了相同的端口引用外，“Massistant”和“MFSocket”还有其他许多相似之处。它们的代码显然有很大程度的重叠，“Massistant”明显是在较旧的“MFSocket”版本 5.0 应用程序基础上的一个迭代版本，并且它们被分配了相同的应用程序图标。此外，许多早期版本的“MFSocket”中的命令也被包含在“Massistant”中。

在大多数情况下，当两个应用程序共享功能时，它们的类是相同的。此外，“Massistant”包含一个名为“mfsocket.xml”的 XML 资源文件。

虽然目前“Massistant”似乎无法在离开桌面对应部分后从设备中提取数据，但它在设备上的存在以及任何日志细节或数据文件都会向设备所有者表明，如果设备被没收，他们的移动设备数据已被泄露。

与“MFSocket”类似，“Massistant”使用USBBroadcastReceiver，在USB断开连接时自动从设备中卸载。据推测，曾经发生过自动卸载失败的情况，导致中国网民在被中国当局没收设备后发现了这个多出来的应用程序。

新的“Massistant”应用程序在“MFSocket”功能集上引入了许多附加功能。通过一系列类引入了AccessibilityServices，这些类被美亚柏科开发人员称为“自动点击”（AutoClick），尝试自动绕过某些设备安全应用程序中的条件，例如在Miui安全中心工具提示时，自动允许“Massistant”运行。

“Massistant”的最新版本v8.5.7还引入了通过WiFi使用Android调试桥（ADB）连接被扣押设备的功能，并可向设备下载额外文件。此功能通过名为libNativeUtil.so的原生库实现。美亚柏科的中文商业网站曾在公告中提及将在2024年5月对移动大师系列产品的该功能进行进一步更新，但Lookout的研究人员尚未发现“Massistant”客户端的更新版本。

“Massistant”还引入了对第三方消息应用程序的额外支持。原来的“MFSocket”从Telegram收集应用数据；“Massistant”已拓展了这一功能，以收集来自Signal和Letstalk的消息数据。

“MFSocket”和美亚柏科的关联 #

在调查过程中，Xiao发现了一份由美亚柏科发布的指南。指南中写道：“在取证过程中……DC-4501V2、DC-4700V2或FL-900V2手机取证系列会将MFSocket.apk推送到手机进行安装……”。这些版本代码指的是工具的第二个版本，即在中文美亚柏科网站300188[.]cn上宣传的“美亚柏科移动大师系列”。该商业网站以公司在深圳证券交易所的股票代码（300188）命名。公司还在meiyapico[.]com上提供英文和俄文网站。

2020年4月，美亚柏科在其官网发布声明，宣布停止对DC-4500/DC-4501V1、DC-4700V1和FL-900V1产品的升级，并将推出一套同名的新工具套件，这些产品将从Xiao分享的指南中提到的V2版本升级到V3版本。Lookout研究人员对于大约在这个时候“MFSocket”被“Massistant”所取代的判断持低可信度态度。

厦门美亚柏科信息股份有限公司 #

厦门美亚柏科信息股份有限公司（“美亚柏科”）是一家上市的中国科技公司，约占中国大陆数字取证市场份额的40%。

2023年12月，美亚柏科更名为国投智能（厦门）信息股份有限公司。然而，“MFSocket”和“Massistant”的签署证书仍将美亚柏科列为软件的开发组织。

记者们经常报道美亚柏科参与中国商业监控市场，其工具被执法部门用于对该地区少数群体的监视。2025年4月，Turquoise Roof的研究人员发布了一份报告，详细说明该公司为位于拉萨的西藏警察学院提供培训和工具的采购情况。

美亚柏科经常宣传他们参与中国和国际执法产品展销会，包括国际刑警组织世界展销会。事实上，美亚柏科以与众多国际政府客户的合作关系而自豪，其中包括购买其法证和移动监控产品的俄罗斯军方。

截至2018年，据报道，俄罗斯联邦调查委员会的军事调查局（военное следственное управление Следственного Комитета РФ）通过承包商“ExpertExpress LLC”购买了两款美亚柏科产品，即iDC-8811 Forensic Magicube V3和iDC-4501 Mobile Forensics System V2。这两款产品与Cellebrite的IFM-2008 Forensics Master套件一起，于2018年以500万卢布（约合74,000美元）的价格购买。这笔俄罗斯采购旨在帮助俄罗斯的军事刑事调查，并未针对外国受害者。

然而，俄罗斯的购买很可能后来被取消，因为出售公司ExpertExpress及其分包商Ester Solutions使用伪造许可证将美亚柏科解决方案出售给俄罗斯军方的调查委员会。2018年10月，Ester Solutions的所有者德米特里·萨图琴科因大规模欺诈指控被逮捕。

2026年9月：Anthropic 报告揭示中国利用 AI 助手进行跨境镇压，以及我们的防范建议

Wed, 16 Sep 2026 00:00:00 +0000

2026年9月10日，开发 Claude AI 的美国公司 Anthropic 发布了一份威胁情报报告，篇幅逾150页。报告披露该公司在2025年12月至2026年8月之间发现并封禁的一批账号，认定其背后为与国家安全机关关联的行为者、受雇于政府的承包商，以及商业监控服务商，共同特征是将 AI 用于构建和运行监控行动。

该报告涉及的范围远不止中国，本文亦非其全文摘要。

原报告所载案例还包括伊朗、西非的国家关联行为者与商业“监控外包”市场，并涵盖诈骗、网络攻击、影响力行动等多类与本文主题无关的滥用行为。我们以关键词筛选出其中与中国政府、公安及国家安全机关实施监控、跨境镇压直接相关的部分，逐一解读分析后写成此文。关心其他议题的读者，仍应查阅报告原文。

报告中提及与与中国政府、公安及国家安全机关实施监控、跨境镇压直接相关的个案：

编号	内容
GTG-14010	针对叙利亚维吾尔人的监控与策反行动，并延伸至维吾尔流亡媒体
GTG-14020	针对天主教、藏传佛教、法轮功及台湾基督教社群的宗教事务情报行动
GTG-14021	公安与国安系统的“维稳”监控与跨境镇压行动
GTG-14022	“舆情监测”与异议人士监控行动

另有一点须在阅读之前说明：这是 一家公司 依据自身平台上可见的活动所作的报告。同类作业完全可能在其他 AI 产品上进行，包括不会发布此类报告的中国境内产品。因此，报告所呈现的是这一现象的一个切面，而非其全貌；其中未被提及的部分，不应被理解为不存在。

本文第一部分梳理报告披露的事实并标注个案编号，以便读者自行查证；第二部分基于这些事实提出防范建议。

第一部分：报告披露的事实 #

一、结构性变化：监控的成本越来越低 #

报告最重要的发现，不是“针对海外异议社群的监控存在”——这是已知事实——而是 此类监控的人力成本已经大幅消失。

过去限制监控规模的始终是人力：需要通晓目标语言的分析员、需要有人逐条阅读海量信息、需要有人撰写可供上报的文本。有了生成式 AI 工具，以上三项约束正在解除。报告给出的三个例证：

一个宗教事务情报收集单位，原由多个分析师团队组成，现已缩减为一个办公室，借助 AI 助手每月产出数千份调查（见报告概述章节）；
一名不具备阿拉伯语能力的行为者，完成了一场为期数日、以叙利亚方言进行的策反作业，对方回复由模型实时翻译（GTG-14010）；
一个地方国家安全局将其 AI 使用流程编写为内部手册，在局内推广（GTG-14021）。

过去许多人赖以自保的判断——“我的影响力不足以引起注意”——已经不再成立。在流水线式的作业中，覆盖范围的扩大不需要额外的成本理由。

二、建档的范围与体例（GTG-14020） #

被采集的信息具体而系统：出生日期、出生地、移民入境日期、各平台账号。覆盖范围同时包含境内平台（微信、小红书、抖音、微博）与境外平台（LinkedIn、Instagram、Threads、X、Facebook），按日更新。

档案依内部模板生成，报告还原了几个关键字段与体例名称：

工作抓手：统战系统术语，指可用于施加压力的凭借；
负面情况：可用于损害目标声誉的材料；
人物调研底稿、线索报、态势感知：分别对应个人调研初稿、线索上报与每日情况综述。

由此可见，档案的功能定位并非“了解目标”，而是识别可用于处置目标的凭借。报告指出，其中一名使用者在对话中透露自己为中国国家机关的信息安全人员。

报告同时记录，行为者要求模型“站在中方立场”，将流亡藏人行政机构表述为“非法分裂政权”，并对法轮功套用官方的“邪教”定性——输出的并非中立情报，而是结论预设的材料。目标名单涵盖亚洲多国的天主教枢机主教、台湾基督长老教会领导层、藏人行政中央与藏人倡议组织、法轮功及其关联媒体，以及联结新加坡、香港与中国大陆的基督教宣教网络。

三、群组通讯的批量采集与脆弱性筛选（GTG-14010） #

报告记录，行为者从逾一百个 WhatsApp 群组与数十个 Telegram 频道批量提取聊天内容，交由模型整理为结构化的中文资料。

需要注意的是产出物的性质。报告明确指出，模型被用于识别处于经济压力、与家人分离、理想幻灭状态的个体，即建立“脆弱性画像”。其中最具操作意味的一项是：行为者专门标记在新疆仍有家人的目标，报告评述称，此类凭借只有通过与中国境内安全机关的协作才可实现。

这意味着，规模达到数十人以上的群组，在实际效果上等同于公开场所——不是因为其中一定存在线人，而是因为整体提取与自动化整理的成本已经低得可以忽略。

四、语言屏障失效与接触型作业（GTG-14010） #

报告对策反手法的还原较为完整，其中数项直接影响个人的判断方式：