事件回顧：首個跨平台 J2ME 惡意軟體
當 Symbian 病毒尚在發酵時，許多用戶以為避開 Symbian 即可高枕無憂。2006 年，俄羅斯發現首款基於 J2ME 平台的手機病毒 RedBrowser（紅色瀏覽器），徹底打破「J2ME 沙箱天然安全」的迷思。雖然初期僅因俄語介面限制傳播範圍，但其象徵意義如同當年 Cabir 之於 Symbian —— J2ME 惡意軟體時代正式來臨。
技術剖析：偽裝 WAP 瀏覽器的計費詐騙
- 載體形式：標準 MIDlet（J2ME 應用程式），利用 MIDP 標準 API 開發，理論上可在所有支援 MIDP 2.0 的裝置運行。
- 社交工程誘餌：偽裝成「免費 WAP 瀏覽器」，宣稱透過免費簡訊獲取 WAP 頁面內容，誘導用戶授予「發送簡訊」權限（MIDP 2.0 安全機制要求用戶確認）。
- 核心惡意行為：內建 10 組高費率服務號碼，隨機選擇並無限循環發送計費簡訊，每條訊息產生費用，導致用戶話費暴增。類似當時國內流行的「彩信病毒」盈利模式。
- 持久化機制：無限發送迴圈，除非用戶強制終止程式，否則持續扣費。
安全啟示：沙箱不等於免疫
| 誤區 | 現實 |
|---|
| J2ME 沙箱隔離檔案系統，病毒無法破壞 | RedBrowser 不需檔案存取，僅用標準 WMA API 發送簡訊即可獲利 |
| 需用戶確認權限，安全可控 | 社交工程誘導用戶點擊「允許」，權限機制形同虛設 |
| 跨平台特性限制病毒傳播 | 「一次編寫，到處運行」反而讓惡意碼覆蓋絕大多數 Java 手機 |
防護建議
- 來源驗證：僅從官方應用商店或可信任開發者網站下載應用，拒絕不明連結、藍牙/紅外傳輸的 .jar/.jad 檔案。
- 權限審慎：安裝時仔細閱讀權限提示，「發送簡訊/撥打電話/網路存取」等高風險權限非必要不授予。
- 安全軟體：安裝支援 J2ME 掃描的手機防毒軟體（如網秦、卡巴斯基移動版），定期更新病毒碼庫。
- 帳單監控：開通話費異動即時通知，發現異常立即聯繫電信商停機止損。
- 企業政策：禁止員工在業務手機安裝非受管應用，部署 MDM 管理 MIDlet 白名單。
結語
RedBrowser 雖非技術複雜度最高的惡意碼，卻以最朴素的方式揭示了行動平台安全的核心悖論：標準化 API 賦予開發者力量的同時，也賦予了攻擊者統一的攻擊介面。J2ME 平台的普及度使其成為攻擊者極具誘惑力的目標。安全非一次性產品，而是持續的攻防博弈——廠商需強化權限模型（如簽名分級、強制審核），開發者需遵循最小權限原則，用戶需養成風險意識。手機安全神話破滅，正是成熟行動生態系統建立的起點。
