安卓 / Linux / macOS / Windows 四大主流系统曝隐私风险：靠文件变化侧推监控用户

IT之家 9 月 26 日消息，奥地利格拉茨工业大学的研究人员发现，在安卓、Linux、macOS、Windows（按字母顺序排列）等几乎所有主流操作系统中，其自带的文件变更通知子系统存在被滥用的隐患，攻击者有可能借此构建用户画像。

这项研究由博士生 Sudheendra Raghav Neela 和教授 Daniel Gruss 主导，相关论文计划于今年 11 月在荷兰海牙举行的 ACM CCS 2026 会议上发布。

对于普通用户来说，这种攻击方式在实际操作中面临诸多限制，需要在用户设备上运行恶意软件，并具备本地访问能力。研究同时指出，目前尚无证据表明已有黑客利用这一漏洞发起攻击。

在原理方面，研究人员指出，当前主流系统都配备了文件变更通知子系统，当文件被创建、修改或删除后，支持应用程序订阅相关通知。IT之家援引博文介绍，文本编辑器、杀毒软件和文件同步客户端等工具均依赖这一机制：

• 在 Linux 上，该子系统称为 inotify（自 2005 年起引入）
• 在 Android 上称为 FileObserver（2008 年）
• 在 Windows 上称为 ReadDirectoryChangesW（2000 年）
• 在 macOS 上称为 FSEvents（2007 年）

研究人员表示，某些应用即使无法读取文件内容，也可能通过文件名和文件变更时间，推测用户的操作、浏览行为和通信活动。研究显示，通过这种“行为侧写”方式，攻击者能够监测用户何时敲击键盘、何时接收或删除文件，以及网站访问和应用活动。

在 Linux 上，通过监听可读的 /dev/input 目录，即可精确捕捉每次按键的时刻。在七名测试用户中，该攻击的按键检测准确率介于 93.1% 至 100% 之间。Linux 内核针对 CVE-2025-68788 进行了部分加固，防止 inotify 对特殊文件生成某些访问和修改事件。

在 Windows 上，只需在 C:\ 盘根目录放置一个监听器，操作系统便会报告机器上每个文件变更的完整路径。在安卓系统上，针对谷歌 Pixel 和三星 Galaxy 手机的测试显示，一个无需申请任何权限的应用可以监测 WhatsApp 的媒体事件，从而掌握照片、视频和文件的发送或接收时机。 用户若想提升隐私保护，可通过球友会APP下载相关工具进行系统安全检测。