文章摘要
手机越用越觉得不对劲：明明没点什么，电量却掉得飞快；电脑也是，浏览器里总有些说不清的记录。但真要查，普通杀毒软件扫一圈说没问题，你心里还是不踏实——因为有一种东西，普通杀毒软件本来就不是用来查的：专门针对特定目标的商业间谍软件，比如大名鼎鼎的 Pegasus（飞马）、Predator、Graphite、Candiru。这些东西不靠广撒网赚钱，靠的是悄悄潜伏，所以查它得用专门的办法。今天这个开源项目，就是干这个的。
它叫 Zero Breach Toolkit，GitHub 上的开源项目（interplains/Zero-Breach-Toolkit），10 月 25 日才开源，3 天时间 star 就冲到了 1300 多个，fork 也有 150 个。代码按 Apache-2.0 协议开源，免费。它不查病毒、不杀毒，只做一件事：对照公开的间谍软件特征库，检查你的电脑、安卓手机和 iPhone 备份里有没有留下已知商业间谍软件的痕迹。
它能做什么
- 查电脑：Windows、macOS、Linux 都能查：不用管理员权限，也不用装任何额外软件，只要装个 Python 3.8 以上就能跑。Windows 上它会翻浏览器记录（Chrome、Edge、Firefox 等主流浏览器都覆盖）、下载文件的来源标记、Win+R 运行框里被骗粘贴过的命令、PowerShell 日志、杀毒软件状态和 Defender 历史、开机启动项、DNS 缓存和 hosts 文件，以及一批可疑文件的指纹。Mac 和 Linux 除了浏览器，还会看 Safari 记录、开机启动配置、Shell 历史和系统日志。
- 查安卓手机：手机本身它不直接碰，而是检查用 AndroidQF 采集到的一份手机数据：装过哪些应用、卸载过的应用历史、系统日志、短信里的链接、从应用商店之外装的应用（能读短信、能用麦克风、抗卸载的都会被单独列出来），还有手机有没有被改过（解锁 bootloader、关闭安全保护之类）。
- 查 iPhone：用电脑上给 iPhone 做的本地备份来查（加密备份能查到的记录更多），包括短信、iMessage、WhatsApp、Safari 记录、通话、日历、快捷指令、配置文件、关机日志和崩溃报告等。不用越狱，也不用把手机交给别人。
- 特征库是公开研究的成果：约 12,400 条指标，来自 29 个来源，包括 Amnesty 国际安全实验室、MVT 项目、公民实验室（Citizen Lab）和 Echap 的研究，外加一份逐行注明出处的精选集。先更新一次特征库再扫，查得更全。
- 全程离线、只读：扫描时不发任何网络请求，也不会改你电脑上的任何设置和原始证据，只写临时快照和你主动要求保存的报告。报告里会老实告诉你：查到了什么、证据强度如何、还有哪些地方没查到——查不到的地方不会假装查过。
使用方法
作者特意写了“不需要任何技术经验”的向导，照着点就行，全程大概 20 分钟，电脑标准检查本身约 15 分钟：
查这台 Windows 电脑
- 先去 python.org 装 Python，安装第一屏记得勾上底部的“Add python.exe to PATH”，然后点 Install Now。
- 打开项目主页，点绿色 Code 按钮 → Download ZIP，解压到下载文件夹。
- 先关掉浏览器和聊天软件（Chrome、Edge、微信、WhatsApp 这些），再进解压后的文件夹，打开 scan 文件夹，双击 run-scan.cmd。
- 菜单出来后先选“Update the indicator lists”更新特征库，完了按回车开始“This computer – standard check”标准检查。
- 等结果，报告会保存在文件夹里的 findings 目录。
查 Mac / Linux
- 同样先装 Python。Mac 还要多一步：系统设置 → 隐私与安全性 → 完全磁盘访问权限里把“终端”加进去，不然 Safari 的记录会被系统挡住、查不到。
- 打开终端，进到解压后的文件夹，运行：python3 -X utf8 scan/zero-breach-toolkit.py，之后和 Windows 一样先更新特征库、再按回车开始标准检查。
查安卓手机
- 先按上面把电脑端准备好。
- 手机上打开设置 → 关于手机，连点 7 下版本号打开开发者选项，再打开 USB 调试。
- 用数据线连电脑，解锁手机，弹窗问“允许 USB 调试吗”时勾上“始终允许”并点允许。
- 在工具菜单里选“A phone”，再选从 USB 连接的安卓手机采集，按提示回答几个问题（备份选“仅短信”、下载应用副本选“仅非系统应用”、其余选否），手机上出现“备份我的数据”时点一下、密码留空，保持手机解锁直到采集完成，检查会自动开始。
- 查完记得回手机设置里把 USB 调试关掉。
查 iPhone
- 先用数据线把 iPhone 连电脑、点“信任”，在 Mac 的访达或 Windows 的 Apple Devices 里给 iPhone 做一份本地备份，勾上“加密本地备份”（加密备份能查到的记录更多），密码自己记好。
- 找到备份文件夹（Mac 在 ~/Library/Application Support/MobileSync/Backup，Windows 在 %USERPROFILE%\Apple\MobileSync\Backup），里面那个一长串字母数字的文件夹就是备份。
- 在工具菜单里选“A phone”，再选 iPhone 备份，把备份文件夹拖进窗口、按回车，问是否加密就输 y，再输入备份密码，检查就开始了。
注意事项
- “没查到”不等于“绝对安全”：它只认已公开的特征，新的、没公开的间谍软件查不出来；很多痕迹几周内就会过期。报告里“没查到的地方”那一节一定要看，没跑起来的检查不等于通过了。
- “查到了”也不等于“你中招了”：报告会给每条结果分证据等级——“机器上有已知的间谍软件文件”是强证据，“某个保存的网页提到了间谍软件地址”只是弱信号，很可能只是你看过相关新闻。看到匹配先别删东西、别去点它提到的地址，留好报告，去找专业人士。
- 报告里有你的隐私：完整报告可能包含用户名、文件路径、浏览记录、短信发送方甚至消息片段，别往网盘同步文件夹和群里放。只想给别人看个结论的话，用 –share-json 生成的极简摘要，那里面不含原文、特征值和日期。
- 如果你现在就怀疑自己正被针对，先找专家，别先跑工具：作者在 README 开头就写了这句。记者、维权人士可以联系 Access Now 数字安全求助热线（免费、24 小时、多语言）或 Amnesty 国际安全实验室。
- 它不能替代专业取证：这只是一次自查，真有问题还是要交给专业机构做完整检查。
下载地址
项目主页：https://github.com/interplains/Zero-Breach-Toolkit ，点绿色 Code 按钮 → Download ZIP 就能下载；会用 git 的也可以直接 clone。代码全部开源在 scan 目录下，跑之前可以自己翻一遍——作者也特意强调：它就是从源码直接跑的，没有编译好的程序让你“盲信”，每个 release 还附了可复现构建的校验信息。
站长点评
这类工具我以前也见过不少，但大多是给取证专家准备的，普通人根本无从下手。这个项目最打动我的地方，是它把门槛放到了“会装 Python、会双击”这个级别：向导写得像说明书，扫描全程离线只读，还把“查不到什么”老老实实写进报告里——不夸大、不吓人，这在安全工具里是很难得的诚实。当然也要说清楚：它查的是“已知间谍软件的已知痕迹”，不是给你发一张“绝对安全”的证书。把它当成一次免费的自查：花二十分钟跑一遍，没事买个安心，有事也别慌，拿着报告去找专业人士，这才是它正确的用法。
