通过app木马盗取通讯录

张伟的通过手机在深夜自动亮起，屏幕上一款名为“天气助手”的木马盗应用正在后台悄悄上传通讯录。这不是取通科幻电影，而是讯录上周发生在南京的真实案例。木马程序伪装成实用工具，通过一旦安装，木马盗就能在用户毫无察觉的取通情况下，将手机里存储的讯录每一个联系人姓名、电话号码甚至备注信息打包发送到指定服务器。通过

这类木马的木马盗传播渠道远比想象中广泛。最常见的取通是通过短信链接传播——你收到一条“老同学聚会照片”的短信，点开链接后提示需要安装某个应用才能查看，讯录实际上安装的通过就是木马。还有一种隐蔽方式藏在应用商店的木马盗评论区，不法分子会发布带恶意代码的取通“破解版”应用，很多人为了省几块钱选择下载，结果通讯录瞬间被窃取。

盗取通讯录只是第一步。黑客拿到这些数据后，会分析你的社交关系，伪装成你的身份向亲友发送借钱信息。更狠的是，他们会用你的通讯录进行“撞库”攻击——用你的手机号去尝试登录各种平台，因为很多人习惯用手机号注册账号。

我认识一位做外贸生意的朋友，他的手机就中过招。某天他收到一条“物流异常”的短信，点击后手机变得卡顿，当时没在意。第二天，他的一位供应商打电话来问为什么突然要求变更收款账户——幸好供应商多问了一句，否则一笔二十万的货款就打了水漂。事后查证，正是木马程序读取了他的通讯录，然后向所有联系人发送了伪造的“账户变更通知”。

技术层面的防护其实不复杂。安卓用户应关闭“允许安装未知来源应用”的选项，iOS用户则要警惕描述文件安装——很多木马就是通过企业签名的方式绕过应用商店审核。定期检查应用权限，凡是要求读取通讯录但功能完全不需要的应用，一律拒绝授权。

但更核心的问题是，为什么这类木马屡禁不止？因为通讯录数据在黑市上明码标价，一条带姓名的手机号能卖到三到五元，一万条以上还有折扣。这笔黑色产业链的利润太高，以至于木马开发者不断更新技术，甚至开发出能自动识别并跳过“测试号码”的智能版本。

说到底，手机里的通讯录就是你的数字社交图谱，它比银行卡密码更能暴露你的隐私。下次安装任何应用前，多花十秒钟看看它的权限请求——一个手电筒应用为什么需要读取你的联系人？答案不言自明。