أداة Mobile Verification Toolkit هي أداة التحليل الجنائي التي ينشرها مختبر الأمن في Amnesty International، وهي الأداة التي قام عليها مشروع Pegasus — تحقيق عام 2021 الذي وضع برامج التجسس المرتزقة على الصفحات الأولى للصحف حول العالم. شيفرتها المصدرية علنية، ولا تكلّف شيئًا، ويستطيع أي شخص تشغيلها على هاتفه.
نحن نبيع منتجًا تجاريًا يُجري تحليلًا من فئة مشابهة، فاقرأ هذا مع وضع ذلك في الحسبان. أداة MVT ممتازة. وقد تكون كل ما يحتاجه الشخص الواثق بقدراته التقنية، وقد كُتب هذا الدليل لمساعدتك على استخدامها لا لإقناعك بالعدول عنها.
ما الذي تفعله MVT حقًا
لا تفحص MVT هاتفك بالطريقة التي يفحص بها برنامج مكافحة الفيروسات الحاسوب. بل تستخرج بيانات يحتفظ بها الهاتف أصلًا وتقارنها بمؤشرات الاختراق المنشورة: النطاقات التي تتصل بها برامج التجسس المعروفة، وأسماء العمليات التي تُنشئها، ومسارات الملفات التي تتركها خلفها، وأنماط الأعطال التي تُحدثها.
وهذا الفرق يفسّر نقاط قوتها وحدودها معًا. فهي تقرأ الأدلة بدلًا من أن تطلب من الهاتف تقييم نفسه، ولهذا تستطيع العثور على أشياء لا يستطيع أي تطبيق على الجهاز العثور عليها. لكنها لا تعثر إلا على ما سبق أن نشر أحدهم مؤشرات له، ما يعني أن حملة لم يوثّقها أحد بعد تبقى غير مرئية لها.
على iOS تحلّل نسخة احتياطية من iTunes أو Finder، وهناك تكمن المواد القيّمة: سجلات الأعطال، وقاعدة بيانات تسجّل أي العمليات استخدمت الشبكة ومتى، وملف النظام الذي يسجّل عمليات الإيقاف، وسجل التصفح في Safari، والبيانات الوصفية لمرفقات الرسائل. والنسخة الاحتياطية المشفّرة تحتوي على قدر أكبر بكثير من النسخة غير المشفّرة، وهذا ما يفاجئ الناس.
وعلى Android تعمل عبر ADB، فتحصر الحزم المثبّتة، وتستخرج سجلات النظام، وتقارنها بمجموعات المؤشرات نفسها. ويمكنها أيضًا تحليل نسخة احتياطية من Android وفحص ملفات APK.
ما الذي يتطلبه تشغيلها فعلًا
الجزء الصريح الذي تميل صفحات التنزيل إلى تخطّيه.
تحتاج إلى حاسوب يعمل بنظام macOS أو Linux. أما Windows فلا يحظى بدعم كامل؛ ويلجأ الناس إلى WSL.
تحتاج إلى أن تكون معتادًا على Python ونافذة الأوامر. تُثبَّت MVT باستخدام pip:
pip install mvt
وهذا يمنحك أمرين: mvt-ios وmvt-android.
تحتاج إلى نسخة احتياطية مشفّرة من iPhone. أنشئها باستخدام Finder على macOS أو iTunes، مع تفعيل خيار التشفير، وتذكّر كلمة المرور. تفكّ MVT تشفيرها لتحليلها:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
تحتاج إلى ملفات المؤشرات. تستطيع MVT جلب المجموعات المنشورة:
mvt-ios download-iocs
ثم التحليل نفسه:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
ولنظام Android عبر ADB، مع تفعيل خيارات المطوّرين وتصحيح أخطاء USB:
mvt-android check-adb --iocs indicators.stix2 --output results/
الخيارات وأسماء الأوامر تتغير فعلًا بين الإصدارات. راجع الوثائق الحالية على docs.mvt.re بدلًا من الوثوق بأي دليل تعليمي، بما في ذلك هذا الدليل، في ما يخص الصيغة الدقيقة.
ثم تقرأ المخرجات، وهي مجلد من ملفات JSON إضافة إلى مجموعة من الاكتشافات. وهذا هو الجزء الذي يوقف معظم الناس. فالملفات عبارة عن خطوط زمنية وسجلات مستخرجة، وتفسيرها يعني أن تعرف كيف يبدو iPhone الطبيعي كي تلاحظ ما ليس طبيعيًا.
بواقعية: فترة بعد الظهر إن كنت تعمل في نافذة الأوامر يوميًا، وجدار مسدود إن لم تكن كذلك.
كيف تقرأ النتيجة
هذا أهم من التثبيت، وهنا يخطئ الناس في الاتجاهين.
الاكتشاف أمر جدّي لكنه لا يفسّر نفسه. تشير MVT إلى ما يطابق مؤشرًا ما. أما التأكد مما يعنيه ذلك، ومتى حدث، فتحليل لا يزال عليك أن تجريه.
غياب الاكتشافات لا يعني أن الهاتف نظيف. بل يعني أن لا شيء طابق المؤشرات التي زوّدتها بها. فالحملات الجديدة، والأدوات غير الموثّقة، والإصابات السابقة لتاريخ نسختك الاحتياطية، كلها تُنتج نتيجة هادئة. وAmnesty صريحة في هذا، وهو أكثر ما يُساء فهمه في هذه الأداة.
بعض النتائج مثيرة للاهتمام فحسب. تُظهر الخطوط الزمنية كثيرًا من النشاط العادي الذي يبدو مقلقًا إن لم تكن قد رأيت من قبل ما يجري داخل الهاتف.
متى تكون MVT هي الإجابة الصحيحة
- تعمل في نافذة الأوامر ولا تنفّرك ملفات JSON.
- أنت صحفي أو ناشط أو محامٍ أو باحث قد تكون هدفًا حقيقيًا، وتريد أدوات بمنهجية علنية قابلة للتدقيق.
- تريد شيئًا لا مصلحة تجارية له في النتيجة — وهذا مطلب معقول تمامًا من أداة أمنية، وميزة حقيقية لـ MVT على أي شيء يبيعك إياه أحد، ونحن منهم.
- تحلّل جهاز شخص آخر بشكل مهني وتحتاج إلى منهجية موثّقة يمكن الدفاع عنها.
ومتى لا تكون كذلك
- أنت قلق ولست تقنيًا، وتحتاج إلى إجابة هذا الأسبوع.
- المشكلة المرجّحة هي برنامج تعقّب تجاري ثبّته شخص تعرفه، وهذا أكثر شيوعًا بكثير من برامج التجسس المرتزقة. وهو يظهر في شاشات الأذونات؛ ولا تحتاج إلى تحليل جنائي للعثور عليه. ابدأ بدليل Android أو iPhone.
- تحتاج إلى توثيق لمحامٍ أو ضابط أو أخصائي دعم. مخرجات MVT أدلة، لكنها ليست تقريرًا مقروءًا.
- تحتاج إلى الفحص مرارًا لا مرة واحدة.
ما الذي يفعله Haris Shield بشكل مختلف
يستخدم المؤشرات العامة نفسها، أي مجموعات المؤشرات الخاصة بمشروع MVT، التي يعيد خادمنا بناءها كل ليلة في حزمة موقّعة. ويفحص بعض الآثار نفسها من حاسوب، لكنه لا يفعل كل ما تفعله MVT. فالإصدار الحالي لا يحلّل نسخة احتياطية مشفّرة من iPhone. على iPhone يقرأ ما يكشفه الهاتف عبر الكابل: سجلات الأعطال، وملفات تعريف التكوين والتزويد، وإعدادات الأمان، إضافة إلى ملف sysdiagnose إن استوردته، وهو ما يضيف قاعدتي بيانات استخدام الشبكة وتنفيذ العمليات. وعلى Android يقرأ الجهاز عبر ADB، كما تفعل MVT. وتسرد صفحة كيف يعمل كل بند.
ما يزيله هو العمل في نافذة الأوامر: تحصل على تطبيق بواجهة رسومية لأنظمة macOS وWindows وLinux، ومؤشرات تُحدَّث نيابة عنك، وتقرير يحدد مستوى الخطورة لكل نتيجة، يمكنك حفظه بصيغة PDF وتسليمه إلى شخص آخر.
ما لا ندّعيه هو أننا نعثر على أشياء لا تستطيع MVT العثور عليها. فعلى iPhone، تقرأ MVT حين تعمل على نسخة احتياطية مشفّرة كاملة أكثر مما يقرأه إصدارنا الحالي. وحيث تكون مؤشرات Amnesty هي الأفضل المتاحة، فهي ما يبني عليه أي شخص عاقل.
إن كنت تستطيع تشغيل MVT وتريد ذلك، فشغّل MVT.
إذا عثرت على شيء
لا تنظّف الهاتف فورًا إن كان شخص في حياتك قد يكون متورطًا — فالإزالة قد تنبّهه وتُتلف الأدلة. وإن كنت قد تكون هدفًا لجهة على مستوى دولة، فاطلب المساعدة من أشخاص يعملون في هذا المجال: فكل من مختبر الأمن في Amnesty وخط المساعدة للأمن الرقمي التابع لـ Access Now يساعدان الأفراد المعرّضين للخطر مجانًا. ويشرح مقال كيف تزيل برامج التجسس دون أن تنبّه من ثبّتها تسلسل الخطوات.
الخلاصة
أداة MVT هي الأداة الحقيقية: الأداة التي قام عليها مشروع Pegasus، ينشرها مختبر الأمن في Amnesty، مجانية، وبمنهجية علنية. تحلّل نسخة احتياطية مشفّرة من iPhone أو جهاز Android عبر ADB مقابل مؤشرات الاختراق المنشورة.
لكنها تفترض أيضًا معرفة بـ Python ونافذة الأوامر، والقدرة على تفسير مخرجات التحليل الجنائي، والنتيجة النظيفة لا تعني إلا أن لا شيء طابق المؤشرات التي زوّدتها بها. إن كان هذا يناسبك، فاستخدمها. وإن لم يكن، فالمنهجية أهم من الأداة — أجرِ التحليل من حاسوب، بأي وسيلة، بدلًا من الوثوق بماسح يعمل على الهاتف نفسه الذي تحاول التحقق منه.
المصادر
- أداة Mobile Verification Toolkit: mvt.re والوثائق على docs.mvt.re
- الشيفرة المصدرية لـ MVT: github.com/mvt-project/mvt
- مختبر الأمن في Amnesty International، تقرير المنهجية الجنائية: كيف تكشف برنامج Pegasus من NSO Group: amnesty.org
- خط المساعدة للأمن الرقمي التابع لـ Access Now: accessnow.org/help
قراءات ذات صلة: فحص iPhone بحثًا عن Pegasus، وفحوصات مجانية لبرامج التجسس: ما الذي ينفع وما الذي يُعدّ احتيالًا.