معظم المقالات عن Pegasus تخبرك بماهيته. وقليل جدًا منها يخبرك كيف تعرف إن كان على هاتفك. هذا المقال عن السؤال الثاني، بما في ذلك جوانبه غير المريحة.
لنبدأ بالإطار الصريح: Pegasus ليس تهديدًا موجّهًا إلى عامة الناس. تبيعه مجموعة NSO Group لعملاء حكوميين، وكل عملية نشر مكلفة، ويستهدف أشخاصًا بعينهم، هم عادةً صحفيون ومدافعون عن حقوق الإنسان ومحامون وسياسيون معارضون ودبلوماسيون. فإن كنت قلقًا لأن هاتفك بطيء، فالتفسير الأرجح بفارق كبير هو أن هاتفك بطيء فحسب.
لكن المستهدفين ليسوا قلة بالأرقام المطلقة. فقد أرسلت Apple إشعارات تهديد إلى مستخدمين في أكثر من 150 دولة منذ عام 2021، وجولة واحدة من الإشعارات في أبريل 2024 طالت أشخاصًا في 92 دولة. فإن كان عملك يجعلك هدفًا محتملًا، فالسؤال يستحق إجابة حقيقية لا مجرد طمأنة.
لماذا لا تستطيع كشف Pegasus بالنظر إلى هاتفك
برنامج Pegasus لا يحتاج إلى أي نقرة (zero-click). فلا يوجد رابط مريب فاتك تجنّبه، ولا أيقونة تطبيق تلاحظها، ولا نافذة أذونات وافقت عليها. لقد وصل عبر iMessage ومنصات مراسلة أخرى دون أي تفاعل على الإطلاق. وبمجرد استقراره، يستطيع الوصول إلى الرسائل والبريد والمكالمات والكاميرا والميكروفون والموقع.
وهو أيضًا هادئ عن قصد. فبعض أنواعه لا يعيش إلا في الذاكرة، ما يعني أن إعادة التشغيل تزيله، وتزيل معه معظم الأدلة. ولوحظ أن أنواعًا أخرى تنظّف ملفات السجلات خلفها.
وهذا يعني أن قائمة النصائح المعتادة — راقب استنزاف البطارية، وابحث عن تطبيقات مجهولة، وتحقّق من النوافذ المنبثقة — تكاد تكون عديمة الفائدة هنا. فهذه الأعراض تصف برامج التعقّب الاستهلاكية، وهي تهديد مختلف بميزانية مختلفة. أما في مواجهة برامج التجسس التي تستخدمها الدول، فغياب الأعراض لا يخبرك بشيء.
ولا توجد إلا فئة واحدة من الإجابات تنفع: التحليل الجنائي لبيانات الهاتف من خارج الهاتف.
الفحوصات الثلاثة الجديرة بالإجراء، بالترتيب
1. تحقّق مما إذا كانت Apple قد أخبرتك بالفعل
تُعلم Apple الأشخاص الذين تعتقد أنهم استُهدفوا بشكل فردي. وهذا هو الفحص الأعلى قيمة على الإطلاق، يستغرق دقيقتين، وهو مجاني.
سجّل الدخول إلى account.apple.com وابحث عن تنبيه في أعلى الصفحة. كما ترسل Apple رسالة بريد إلكتروني ورسالة iMessage إلى العناوين المرتبطة بحساب Apple ID الخاص بك.
أمران ينبغي تذكّرهما. الإشعار دليل قوي على أنك استُهدفت، لكن غيابه ليس دليلًا على أنك لم تُستهدف، لأن قدرة Apple على الكشف لا يمكن أن تكون شاملة. ولأن هذه الإشعارات مقلقة وواسعة الانتشار في الأخبار، فهي تُنتحل كثيرًا: الإشعار الحقيقي لا يطلب منك أبدًا النقر على رابط، أو تثبيت برنامج، أو فتح مرفق، أو تقديم كلمة مرور.
2. اطلب فحص سجلات الهاتف نفسه
تبقى آثار على الجهاز فعلًا، في أماكن لا تستطيع التطبيقات الوصول إليها:
- قواعد بيانات تسجّل أي العمليات استخدمت الشبكة، ومتى
- سجلات أعطال من محاولات استغلال فاشلة
- ملف نظام يسجّل عمليات الإيقاف، وقد يحتفظ بحالات شاذة حول وقت الإصابة
- البيانات الوصفية لمرفقات الرسائل وآثار ذاكرة التخزين المؤقت
أعاد مختبر الأمن في Amnesty International بناء سلسلة إصابة Pegasus من هذا النوع من المواد بالضبط، ونشر المنهجية والأدوات معًا في يوليو 2021 ضمن مشروع Pegasus. وأداتهم مفتوحة المصدر Mobile Verification Toolkit، التي تُعرف عادةً باسم MVT، تقارن نسخة احتياطية من iPhone بمؤشرات الاختراق: النطاقات وأسماء العمليات وآثار الملفات المرتبطة بحملات معروفة.
إن كنت معتادًا على نافذة الأوامر، فـ MVT هي التطبيق المرجعي، وهي مجانية. تثبّتها باستخدام Python، وتُنشئ نسخة احتياطية مشفّرة من iPhone، وتنزّل ملف مؤشرات محدّثًا، ثم تشغّل التحليل. والمخرجات مجموعة من ملفات JSON عليك بعد ذلك تفسيرها.
إن أثارت هذه الجملة قلقك، فهذا هو الحاجز الحقيقي. المنهجية علنية وسليمة؛ لكن المسافة العملية بين صحفي قلق وتحليل جنائي مكتمل هي ما يوقف معظم الناس. ووُجد Haris Shield لتقريب هذه المسافة، مع حدّ ينبغي أن تعرفه. فهو يفحص سجلات الأعطال مقابل المؤشرات العامة نفسها، ويعرض النتيجة في تقرير لا في ملفات JSON. والإصدار الحالي لا يحلّل نسخة احتياطية مشفّرة، لذا فهو بمفرده يقرأ أقل مما يقرأه تشغيل كامل لـ MVT؛ واستيراد ملف sysdiagnose يضيف قاعدتي بيانات استخدام الشبكة وتنفيذ العمليات. وإن كان لديك سبب ملموس للاعتقاد بأنك هدف لـ Pegasus، فشغّل MVT على نسخة احتياطية مشفّرة، أو اطلب المساعدة من مختبر الأمن في Amnesty أو من خط المساعدة للأمن الرقمي التابع لـ Access Now.
3. افهم ما تعنيه النتيجة النظيفة
التحليل النظيف يعني أنه لم يُعثر على مؤشرات معروفة في البيانات التي فُحصت. ولا يعني أن هاتفك لم يُخترق قط. فإن كان نوع يعيش في الذاكرة فقط موجودًا ثم أُعيد تشغيل الهاتف بعده، فقد لا يبقى ما يمكن العثور عليه. وإن استخدمت الحملة التي استهدفتك أدوات لم ينشر أي باحث مؤشرات لها بعد، فلا يوجد ما يمكن المطابقة معه.
ومن يقول لك إنه يستطيع أن يشهد بأن جهاز iPhone نظيف يبالغ في ما يبيعه. فالتحليل الجنائي يعثر على الأدلة؛ لكنه لا يثبت غيابها.
ما الذي تفعله إن عُثر على شيء
لا تُعد تشغيل الهاتف ولا تُعد ضبط المصنع فورًا. ستدفعك غريزتك إلى مسح الهاتف. لكن إن كنت قد تريد أن يكون ما عُثر عليه قابلًا للاستخدام، من قِبل محامٍ أو مؤسسة إخبارية أو محكمة أو باحثين يتتبعون الحملة، فالجهاز وبياناته أدلة، وإعادة الضبط تُتلفها.
افترض أن الحساب، لا الهاتف وحده، مخترق. غيّر كلمة مرور Apple ID وأي كلمات مرور مهمة من جهاز آخر تثق به. وراجع الأجهزة المسجّل دخولها إلى حساب Apple ID وأزل ما لا تعرفه منها.
اطلب مساعدة الخبراء. تقوم عدة منظمات بهذا العمل لصالح الأشخاص المعرّضين للخطر، وغالبًا دون مقابل. تدير Access Now خط مساعدة للأمن الرقمي مخصصًا للمجتمع المدني؛ ويحقق مختبر الأمن في Amnesty في الحالات التي تطال المدافعين عن حقوق الإنسان. فإن كان عملك قد وضعك في هذا الموقف، فأنت الجمهور الذي يقصدونه.
فكّر في الجانب الإنساني. إن كنت صحفيًا، فقد تكون المصادر التي تواصلت معك مكشوفة هي أيضًا. وكثيرًا ما يكون هذا هو الهدف الفعلي.
تقليل المخاطر من الآن فصاعدًا
- نمط المنع (Lockdown Mode) هو أقوى إجراء منفرد متاح على iOS. فهو يعطّل معظم أنواع مرفقات الرسائل، وبعض تقنيات الويب، وبعض ميزات الاتصال. وقد صرّحت Apple بأنها لا تعلم بأي هجوم ناجح ببرامج التجسس المرتزقة على جهاز فُعّل فيه نمط المنع. ستجده في الإعدادات، ثم «الخصوصية والأمن». وهو يجعل الهاتف أقل راحة في الاستخدام، وهذا هو الثمن.
- حدّث فورًا. تعتمد هذه السلاسل على ثغرات لم تُصلح بعد؛ والتأخير هو الثغرة.
- أعد التشغيل بانتظام. في مواجهة الأنواع التي تعيش في الذاكرة، تزيل إعادة التشغيل الإصابة. لكنها تزيل الأدلة أيضًا، فإن كنت تشك في اختراق نشط، فاطلب المشورة قبل إعادة التشغيل.
- قلّص مساحة الهجوم. تطبيقات مراسلة أقل، وحسابات أقل يمكن للغرباء الوصول إليها.
- افصل بين المجالات. للعمل عالي الخطورة فعلًا، يحدّ جهاز منفصل لجهات الاتصال الحساسة من حجم ما يكلّفك إياه اختراق واحد.
أسئلة شائعة، باختصار
هل يوجد تطبيق يكشف Pegasus؟ ليس على iOS. تعمل التطبيقات في بيئة معزولة ولا تستطيع تفحّص النظام، ولهذا فإن كل طريقة كشف موثوقة تعمل من حاسوب على نسخة احتياطية.
هل تزيله إعادة ضبط المصنع؟ على الأرجح، لكنها تزيل الأدلة أيضًا، ولا تعالج ما عرّضك للاستهداف في الأصل. إنها خطوة، لا حل.
هل يمكن أن أُصاب دون النقر على أي شيء؟ نعم. هذه هي السمة المميزة لهذه الحملات.
هل ينبغي أن أقلق؟ إن كنت صحفيًا أو ناشطًا أو محاميًا أو شخصية سياسية، ولا سيما إن كنت تعمل على موضوعات لا تحبها حكومة ما، فالسؤال معقول ويستحق أن يُحسم كما ينبغي. وإن لم تكن كذلك، ولم يدفعك شيء محدد إلى هذا البحث، فالإجابة شبه المؤكدة هي لا، وبرامج التعقّب العادية هي مصدر القلق الأرجح بكثير. ويتناول دليلنا عن كشف برامج التجسس على iPhone هذه الحالة.
المصادر
- مختبر الأمن في Amnesty International، تقرير المنهجية الجنائية: كيف تكشف برنامج Pegasus من NSO Group: amnesty.org
- أداة Mobile Verification Toolkit: mvt.re وgithub.com/mvt-project/mvt
- Apple، حول إشعارات التهديد من Apple والحماية من برامج التجسس المرتزقة: support.apple.com/en-us/102174
- خط المساعدة للأمن الرقمي التابع لـ Access Now: accessnow.org/help
قراءات ذات صلة: كيف تكشف برامج التجسس على iPhone، وعلامات برامج التعقّب وما لا يجب فعله، ودليل أداة MVT.