国产手机系统内置反诈

独立逆向（ChrisLi-Tech 对红米 K90 HyperOS 3.0）确认了 fraud_detection_data.db 路径、voip_record/screenshot 表、screenshort_time 拼写错误，以及隐私开关关闭后仍运行。官方文档也写明该反诈框架会记录截图 / 屏幕共享 / VoIP 等行为并保留 72 小时供合作 App 查询。GuardProvider 短时录屏切片（约 3 秒 Base64 回传）与 SystemHelper 上报也有多源代码分析吻合，属国行反诈要求下的系统组件

对一台未解锁 BL 的小米 13 Pro（HyperOS 3.0）进行了 ADB 动态取证和 DEX 逆向分析，发现系统安全中心内置了一个名为 fraud_detection_data.db 的反诈行为数据库。
其中 voip_record 表包含：
你使用哪个 App 通话
通话开始与结束时间
通话持续时长
是否被标记为涉诈通话
不仅如此，系统还会毫秒级记录截屏时间，并设计了屏幕共享、电话通信和第三方应用安装等行为记录表。

令人哭笑不得的是，小米工程师再一次展示了极其强劲的英语水平，在数据库中把原本用来记录截图时间的 screenshot 字段错误拼写成了 screenshort_time（多了一个 r）。仅在这一个数据库的转储信息中，我们就捕获到了 669 次高频连续读写操作。

更离谱的来了，我们发现系统预置的 GuardProvider 模块被授予了极高的系统特权，直接绕过了 Android 官方弹窗校验，实现了无感静默录屏与录音，代码中甚至直接出现了 clip.mp4 视频切片及 Base64 编码回传逻辑。

除了音视频监控，还有一个名为 SystemHelper 的全天候遥测后门。它拥有特权级硬件读取与后台定位权限，通过系统闹钟定时将自己从后台唤醒，静默收集手机硬件标识（IMEI、IMSI、ICCID）、后台精确 GPS 定位，以及你过去 24 小时内每个 App 的前台精准使用时长，并打包上传至运营商及风控平台。

最让人无法接受的是，这些模块在系统 UI 上全部无法真正关闭。即使你在设置中关掉了所有的 “反诈 / 安全守护” 开关，它仅仅是不再给你弹窗提示，底层的监听、入库和上传依旧照常运行。

为了防止用户发现异常，小米工程师还在代码里设计了 “机身过热熔断” 与“音频通道冲突避让”机制：
过热熔断：720p 录屏极其耗电，一旦检测到手机温度升高，立即中断录屏，防止机身发烫引起用户怀疑。
音频避让：若检测到麦克风正在被通话占用，则主动放弃音频采样，防止通话出现断音或杂音而暴露。
即便如此小心，它还是在系统日志里露出了马脚：GuardProvider 在息屏状态下曾持续霸占 CPU 达 2 分 33 秒（占用率高达 25.6%），因为后台负载过于沉重，超出了系统阈值，被 Android 电源机制强杀。

此监控体系至少涉及以下系统特权组件：
GuardProvider (com.miui.guardprovider)
AiGuardService (com.miui.guardprovider.aiguard.AiGuardService)
MIUISecurityCenter (com.miui.securitycenter)
SecurityCenter Remote (com.miui.securitycenter.remote)
SystemHelper (com.mobiletools.systemhelper)

涉及以下数据回传与风控域名：
├─ flash[.]sec[.]miui[.]com (小米安全中心多媒体 / 视频回传通道)
├─ fraud-detection[.]engine[.]miui[.]com (反诈行为特征与哈希上报)
├─ eps[.]caict[.]ac[.]cn (中国信通院统一反诈接口)
├─ gateway-papa[.]cloud[.]weizhi[.]com (第三方风控网关)
└─ dm[.]wo[.]com[.]cn:18080 (中国联通终端管理遥测平台)

附相关链接

https://github.com/acnekot/frauddb