一条推文加一句「给我们点个 star」:间谍软件自查工具 Zero Breach Toolkit 12 天 4,469 star

Zero Breach Toolkit 是一个免费、只读、离线的间谍软件自查工具,能查电脑、安卓手机和 iPhone 备份里有没有 Pegasus、Predator、Candiru 这类商业间谍软件留下的痕迹。它的检测本身没有新东西,用的都是研究机构公开的特征;它拿到的 star 也大多不是开发者给的:作者自己运营着一个 39.5 万粉的亲巴勒斯坦 X 账号,在一桩以色列间谍软件丑闻上了新闻之后发帖推了它,帖子末尾写着「如果这个工具帮到了你,请在 GitHub 上给我们点个 star」。下面讲它是怎么涨起来的,你能从中学到什么,以及为什么跟进它不太划算。

一条带视频的推文

2026 年 10 月 27 日 UTC 19:18,X 账号 @xIsraelExposedx(Israel Exposed,约 39.5 万粉,xbeast.io)发了一条带视频的推文:

「我们发布了 Zero Breach Toolkit,一个免费开源的工具,能在你的设备上检测超过 12,100 种以色列及其他间谍软件的痕迹。Windows、Linux、Mac、安卓、iPhone 都能用……它从不写盘、从不联网、不要管理员权限,跑一遍 10 到 15 分钟……如果在设备上发现了间谍软件,请通过 Telegram 发给我们。如果这个工具帮到了你,请在 GitHub 上给我们点个 star。」

一家安全公司 Beam 第二天写文章说,这条帖子一天之内浏览就过了 50 万。帖子下面点赞最多的回复之一是:「没想到我活在一个全球战、心理战、代码战同时打的年代。谢谢你们的数字大蒜。」

这个账号背后是 archivegenocide.com,自称存档了 15.6 万多条加沙相关的视频和照片。GitHub 账号 interplains 的显示名就叫 ArchiveGenocide,简介是「我们存档并公开以色列的战争罪行」。做这个工具的不是安全公司,而是一个政治档案项目。

为什么偏偏是 10 月底

12 天前,10 月 15 日,多伦多大学的 Citizen Lab 发布了一份报告,叫《Exposing AdFection》:以色列广告技术公司 Discover-Tech 借着普通的实时竞价广告,向目标投递 Candiru 的零点击间谍软件,半岛电视台至少 45 台设备中招。这是第一次有公开证据证实间谍软件能通过定向广告投递。卫报、Wired、FT、半岛电视台、阿纳多卢社都报道了。

报道一多,读者自然会问:「我是不是也中招了?」三天后(10-18),同一个 X 账号先发布了第一个工具 zero-breach:只查 Windows 电脑,只查这一次 AdFection 事件的 338 个特征,要先装 Python、再在 PowerShell 里敲命令。这个库涨到 550 星左右就停了。

一周后,他们把它扩成了 Zero Breach Toolkit:检测范围从一次事件扩到 Pegasus、Predator、Graphite 这些大家听说过名字的间谍软件,加上了安卓和 iPhone,推文里配了视频,还加了那句「点个 star」。

star 是怎么涨起来的

(GitHub 每日 star 数,按北京时间每天记一次。)

这是一条典型的单次脉冲:发帖第二天到顶,之后每天减半左右。同一天,老库 zero-breach 也多了 163 和 178 个 star,两个库一起冲高,说明流量来自同一个地方。

推文之后,亲巴勒斯坦社群在各平台照搬了原文案:Instagram 上好几条 reel、TikTok、YouTube Shorts、Facebook 上的 Safa News 主页和 ArchiveWarCrimes 主页、Reddit 的 r/Palestine、LinkedIn。X 在自己的热点摘要里也提到「一个叫 Zero Breach 的免费工具」。反过来,技术圈几乎没出力:Hacker News 上只有一条 2 分的帖子,主流科技媒体没报道,也没上 GitHub trending。

fork 有 473 个,占 star 的 10.6%,远高于一般的库。推断:很多人不是在「收藏一个项目」,而是照着教程点了绿色的 Code 按钮去下载。

它到底是什么

打开 README,第一段讲的不是技术,而是三句承诺:只读,不改你的任何东西;扫描时不联网,不上传;写清楚自己的局限,绿色结果「是好消息,不是保证」。紧接着是一句加粗的话:如果你觉得自己现在正被盯上,先去找专家,不用先跑这个工具,然后给出 Access Now 求助热线和国际特赦组织 Security Lab 的链接。

往下是写给完全不懂技术的人看的步骤,细到「点那个黄色的 Download Python 按钮」「安装第一屏底下勾上 Add python.exe to PATH」。v2 之后连 Python 都不用装了:下载一个文件,双击,选「标准检查」,按「开始」,15 到 20 分钟后用大白话告诉你查到了什么、下一步怎么办。README 还提前说好:你的杀毒软件可能会报警,因为程序还没签名;如果是从官方发布页下的就是误报,从别处下的就别运行。

检测原理很简单:拿国际特赦组织、MVT、Echap、Citizen Lab 公布的特征,去比对浏览器历史、cookie、DNS 缓存、开机启动项、文件指纹,手机则借用 MVT 团队的 androidqf 采集。每条命中分级:文件真的在硬盘上、和可疑地址有过连接、还是只是网页里提到了这个地址。

推文里的说法比 README 夸张。Beam 读完代码后的结论是:「12,100 种痕迹」没法核实,库里自带的大约 658 条,其余靠更新时下载;「从不写盘」「从不联网」也只对扫描那一步成立。不过他们也说,这些出入 README 里都写明了,「项目比推文谨慎,信文档,别信标题」。

谁在跟它抢

开源同类里,MVT 用了五年攒到 1.58 万 star,其余都只有几百。Zero Breach 占的是 MVT 没管的一块:给普通人用,电脑和手机一起查,多语言,双击就能跑。

跟风的也有:一个 Rust 移植版、几个「增强版」「GUI 版」「部署指南」,都只有 0 到 3 个 star;还有一个写着「非官方」的网站 zerobreachtoolkit.com 在抢搜索流量。

为什么是它拿到了这些 star

最有说服力的是它自己的对照。同一个账号、同一批粉丝、同一桩新闻,推了两次:

• 10-18 推 zero-breach:只查 Windows、只查一次事件、要敲命令、推文里没看到要 star,停在约 550 星;
• 10-27 推 Zero Breach Toolkit:所有设备都能查、点名 Pegasus 这些耳熟的名字、配视频、结尾一句「给我们点个 star」,12 天 4,469 星。

所以分发是门槛,没有 39.5 万粉的账号,两次都起不来(同期定位几乎一样的 sentinel 只有 181 星);但同样的分发下,「覆盖面够大、普通人能用、明确开口要 star」能把结果放大八倍。

还有一层是身份:对记者、活动人士、亲巴勒斯坦社群来说,这是「我们自己人做的、专门对付以色列间谍软件的工具」。这让人愿意转发,也让很多不写代码的人第一次去 GitHub 点了 star。同一层身份也带来了怀疑:r/cybersecurity 有人发帖说它「借新闻标题蹭热度,很可疑」,X 上有人问「这个下载下来安全吗」。安全圈在观望,没有人替它背书。

如果是你

一句判断:「重大安全事件一出,一周内做一个普通人能用的『我中招了吗』自查工具」是一个能学的打法;但这个项目的 star 靠的是作者手里 39.5 万粉的政治账号和一个社群的动员,这一点跟不了。照着再做一个间谍软件检测器,会落在 MVT 和它之间,拿不到几个 star。能学到东西,跟进这一个不太划算。

适合谁:手里已经有一个社群或几万关注者(哪个圈子都行:记者、律师、家暴援助、加密货币持有者、某个国家的海外社群)、又能写一点代码的人。或者在安全研究机构、NGO 身边,能第一时间拿到新公开特征的人。

不适合谁:没有任何分发渠道、想靠「又一个间谍软件扫描器」冲 star 的个人开发者,sentinel 的 181 星就是参照。也不适合不愿承担信任风险的人:没签名的程序会被杀软报毒,一旦被认为是蜜罐或恶意软件,名声是反向的。

怎么做:

• 别做「又一个 Zero Breach」,换场景做同一套写法。最近的空位是跟踪软件和定位器:伴侣装在你手机上的监控 App、藏在包里的 AirTag、被人共享出去的位置。受众比间谍软件大得多,而现有的 ISDi、spytrap-adb 都只有一两百星,还要敲 adb 命令(推断)。另一个方向是浏览器扩展自查:每次有扩展被收购后植入恶意代码的新闻,都会有人问「我装的有没有问题」。
• 换语言和人群做:中文、西语、阿语的普通用户都没有一个用母语写到「点哪个按钮」的自查工具;Zero Breach 的程序界面有 27 种语言,但 GitHub 首页那份一步一步的教程是英文写的,中文用户得自己翻(推断)。
• 学它的 README:先写三句承诺(只读、不联网、写明局限),再写「如果你真的觉得被盯上了,先找专家」,再写一步一步的按钮级教程;每份报告写清楚哪些没查到。Beam 正是因为这一点给了它正面评价。
• 学它的节奏:先用一个单点工具接住新闻(第一版),一周后扩成覆盖面更大的第二版,再出双击即用的第三版。每一版都是一次新的发帖理由。
• 补上它的短板:一开始就做代码签名,发布页写清楚怎么验证;这是它被质疑最多的地方。

怎么获客:首发一定要在你自己的社群账号上,配一段演示视频,结尾明确写「如果帮到了你,请在 GitHub 上点个 star」;对照两次推文,这句话值得写。然后去找事件报道里的那些人:写报道的记者、做数字安全培训的 NGO、各语言的科技博主,给他们一个能直接转的说明。Hacker News 和 r/netsec 这类技术圈,与其去求关注,不如先请人做一次公开审计,让第三方的结论替你说话。

什么时候之前:这一招的窗口是事件报道后的一到两周。错过 AdFection 没关系,下一次 Citizen Lab、国际特赦组织或谷歌威胁情报团队公开一桩大案时,提前把框架准备好,特征一公布就能在几天内发出去。

什么情况说明看错了: ① 两三周后,一个没有大号推的同类自查工具(sentinel 这类)自己涨到上千 star,说明「普通人能用的安全自查」这个需求本身够大,分发没那么关键,那就更值得跟; ② Zero Breach 的星数在没有新推文的情况下继续每天几十个地稳定增长,说明它已经被安全圈当作 MVT 的平民版接受了,这个位置被占住,跟进更难; ③ 苹果、谷歌或微软在系统里内置了间谍软件痕迹检查(苹果已经在给被盯上的人发威胁通知),这一类第三方工具的理由会变弱。

数据与出处

GitHub 仓库页、README 与每日 star 记录(10-28 至 11-06);X @xIsraelExposedx 10-18、10-27 的两条推文;xbeast.io 上的粉丝数;Citizen Lab《Exposing AdFection》(10-15)及卫报、Wired、FT、半岛电视台的报道;Beam(agentbeam.com)10-28 的审计文章;Instagram、TikTok、Facebook、Reddit r/Palestine 上的转发;竞品 star 数截至 11-06 前后,写「约」的是取整。推文浏览量只有 Beam 一家的说法;各平台转发的播放量、release 下载量未核实。