FlexiSpy

定义

FlexiSpy 是一套面向手机与个人电脑的商业监控软件，由泰国的 Vervata 公司开发并销售，早期以「手机专用间谍软件」的名义推向市场^[1]。软件需要有人实际接触设备并手动安装，安装完成后在系统中隐藏自身，把采集到的数据上传到厂商服务器，订阅者再用浏览器或移动端界面查看^[1]。厂商将其定位为家长控制与员工设备监管工具， 而独立研究机构与安全厂商多把它归入间谍软件或跟踪软件类别。

支撑该软件运行的是一套客户端加服务端的结构：客户端驻留在被监控设备上，负责采集与上传；服务端负责存储与展示；用户则通过账号登录使用。这种把数据集中存放在第三方服务器上的做法，也使被监控者的个人信息脱离了本人的控制^[1]。

原理

在 Android 平台上，FlexiSpy 的技术核心是获取系统级权限。取得 root 权限后，它会在系统目录写入启动钩子，并借助重启广播接收器，使应用在设备重启后被重新安装并拉起。开机时它会启动若干常驻后台进程，分别负责进程监视、通话监视、呼叫控制与系统服务，从而维持持续运行。未取得 root 权限时，它主要依靠 Android 的无障碍服务读取其他应用界面上的内容。

采集即时通信内容有两种路径。一种是直接读取目标应用存放在本地的数据库与配置文件，例如通过文件观察接口监视 Skype、微信等应用的数据文件，从中提取聊天记录、账号资料与头像。另一种是在系统层面截获输入与屏幕内容，配合键盘记录以及关键词匹配，筛出含有敏感词的消息。相关能力按模块划分，官方功能清单把它分为 LITE、PREMIUM、EXTREME 三档，高档次在此基础上加入通话录音、环境录音、远程拍照与实时监听等模块^[2]。

数据外传与隐藏同样经过设计。客户端与后台服务器通信时曾使用 12512 和 12514 等非标准端口，配置文件则以 AES 加密，以降低被静态分析识别的概率。为避免被发现，程序可以隐藏自身图标，甚至隐藏已安装的 SuperSU 图标，使用户难以定位并卸载。部分版本还会把进程伪装成系统同步服务一类的名称，并内置本地 ARM 库，增加逆向难度。

一个简化的数据链路可以表示为：设备端采集 → 本地加密存储 → 定时或按指令上传 → 服务端存储 → 订阅者通过门户界面查看。采集与上传的粒度、频率由订阅者在门户中设置，官方文档称默认配置对电量的影响有限，实际消耗取决于监控项目与上传频率^[3]。设备若关闭 GPS，软件只能借助网络连接信息推算大致位置，而无法获得坐标^[3]。

发展历程

FlexiSpy 的商业化起点在 2006 年。按当年媒体的报道，该软件在 2006 年 3 月初发布，定价 49.95 美元，由总部位于曼谷的 Vervata 销售，最初只支持运行 Symbian 系统的诺基亚 S60 系列手机，可记录通话日志、短信与移动上网活动^[1]。发布当月，芬兰安全厂商 F-Secure 将其判定为木马并加入病毒库，Vervata 则公开否认其具有自我传播能力，强调必须由人主动安装^[4]。此后厂商宣布在 2006 年 4 月底前推出黑莓与 Windows Mobile 版本^[1]。

2017 年 4 月，该软件的服务器遭到入侵，攻击者据称使用「test/test」这类默认弱口令进入开发环境，随后取得源码备份、内部文档与客户数据，并把大量文件公开到网上^[5]。泄露材料涵盖 Symbian、黑莓、Android、iOS 与 macOS 多个平台的代码与二进制文件^[6]。厂商回应称部分泄露文件年代较早，并在之后推出了漏洞赏金计划^[7]。

2019 年，多伦多大学蒙克全球事务与公共政策学院的 Citizen Lab 发布跟踪软件行业评估报告，考察了 8 款以家长控制、员工监管名义销售的应用，FlexiSpy 是其中之一。厂商随后回应称产品面向家长与雇主，并在许可协议中要求使用者不得在未经许可的情况下安装。此后官方版本仍在持续更新，2025 年 9 月的 5.7.3 版加入实时屏幕共享、实时摄像头与实时监听功能，并开始支持 WhatsApp Business 的监控^[8]。

应用

按厂商说明，FlexiSpy 的预期用途有两类：家长了解未成年子女的手机使用情况，以及雇主对配发的企业设备进行监管。功能清单对应这些场景，包括短信与通话记录、通讯录、日历、照片与视频、浏览历史与书签、已安装应用列表、网络连接记录以及带地理围栏的位置追踪^[2]。

在研究与取证领域，FlexiSpy 常被当作跟踪软件与商业监控工具的样本。MITRE ATT&CK 框架将其登记为软件条目 S0408，逐条列出它使用的移动端技术，供防御方比对检测规则与威胁情报。安全厂商也把它作为分析对象，用它说明移动端隐蔽驻留、图标隐藏与无障碍服务滥用等手法。

另一类被记录的情形涉及监控工具向政府级产品的扩散。泄露文件显示，厂商曾与向政府客户销售监控系统的公司合作部署名为 Cyclops 的平台^[9]。数字取证研究者亦指出，这类商业软件一旦安装成功，能力接近国家背景机构使用的雇佣间谍软件，只是更容易被检测到^[10]。

局限

功能受系统版本与权限状态限制。官方文档说明，root 状态下部分能力反而不可用，例如在较新的 Android 版本上，通话拦截、伪造短信与 Spycall 等功能在已 root 的设备上不再受支持^[11]。基于云端的 VoIP 通话录音也仅在部分未 root 的 Android 版本范围内有效^[11]。

安装环节需要物理接触。多份报道指出，首次部署必须实际拿到目标设备，之后再依靠远程指令操作^[10]。这也意味着它无法像利用零日漏洞的远程攻击那样，仅凭网络即可完成植入^[12]。厂商在常见问题中表示不提供免费试用，若用户无法自行完成 root 或越狱，需要购买额外的安装协助服务^[3]。

在信息完整性上，FlexiSpy 也有缺口。设备关闭 GPS 后无法取得坐标，只能退而使用网络连接信息推断大致位置^[3]。ATT&CK 条目指出，公开可得的完整分析目前主要覆盖 Android 版本，其他平台的技术细节披露较少。此外，软件自身的安全性同样存在问题，2017 年入侵事件中暴露的弱口令与明文传输等问题，说明其存放的监控数据并非绝对安全^[5]。

参见

• 间谍软件 —— 未经用户知情在设备上运行并采集信息的软件大类，FlexiSpy 通常被归入其中。

• 跟踪软件 —— 用于秘密监控他人行踪与通信的商业软件类别，是该产品最主要的争议标签。

• MITRE ATT&CK —— 公开的对手战术与技术知识库，收录了 FlexiSpy 的技术条目。

• 键盘记录 —— 采集并回传按键输入的技术手段，属该软件的基础功能之一。

• 无障碍服务 —— Android 中供辅助功能使用的系统接口，也被监控软件用于读取其他应用内容。