Das Mobile Verification Toolkit ist das forensische Werkzeug, das vom Security Lab von Amnesty International veröffentlicht wird, und es ist das Werkzeug hinter dem Pegasus-Projekt – jener Recherche aus dem Jahr 2021, die Söldner-Spyware weltweit auf die Titelseiten brachte. Der Quellcode ist öffentlich, es kostet nichts, und jeder kann es auf sein eigenes Telefon anwenden.
Wir verkaufen ein kommerzielles Produkt, das eine ähnliche Art von Analyse durchführt – behalten Sie das beim Lesen im Hinterkopf. MVT ist hervorragend. Für technisch versierte Menschen ist es vielleicht alles, was sie brauchen, und dieser Leitfaden soll Ihnen helfen, es zu benutzen, statt es Ihnen auszureden.
Was MVT tatsächlich tut
MVT scannt Ihr Telefon nicht so, wie ein Virenscanner einen Computer scannt. Es extrahiert Daten, die das Telefon ohnehin gespeichert hat, und gleicht sie mit veröffentlichten Kompromittierungsindikatoren ab: Domains, die bekannte Spyware kontaktiert, Prozessnamen, die sie erzeugt, Dateipfade, die sie hinterlässt, Absturzmuster, die sie verursacht.
Dieser Unterschied erklärt sowohl seine Stärke als auch seine Grenzen. Es liest Spuren aus, statt das Telefon zu bitten, sich selbst zu beurteilen – deshalb findet es Dinge, die keine App auf dem Gerät finden könnte. Und es findet nur, wofür bereits jemand Indikatoren veröffentlicht hat. Eine Kampagne, die noch niemand dokumentiert hat, bleibt für MVT also unsichtbar.
Unter iOS analysiert es ein Backup aus iTunes oder dem Finder, denn dort liegt das aussagekräftige Material: Absturzprotokolle, eine Datenbank, die festhält, welche Prozesse wann das Netzwerk genutzt haben, die Systemdatei, die das Herunterfahren protokolliert, der Safari-Verlauf und die Metadaten von Nachrichtenanhängen. Ein verschlüsseltes Backup enthält deutlich mehr als ein unverschlüsseltes, was viele überrascht.
Unter Android arbeitet es über ADB: Es listet die installierten Pakete auf, liest die Systemprotokolle aus und gleicht sie mit denselben Indikatorsätzen ab. Es kann außerdem ein Android-Backup analysieren und APKs prüfen.
Was die Nutzung tatsächlich erfordert
Der ehrliche Teil, den Download-Seiten gern weglassen.
Sie brauchen einen Computer mit macOS oder Linux. Windows wird nicht richtig unterstützt; manche behelfen sich mit WSL.
Sie müssen mit Python und einem Terminal sicher umgehen können. MVT wird mit pip installiert:
pip install mvt
Damit erhalten Sie zwei Befehle, mvt-ios und mvt-android.
Sie brauchen ein verschlüsseltes iPhone-Backup. Erstellen Sie es unter macOS mit dem Finder oder mit iTunes, mit aktivierter Verschlüsselungsoption, und merken Sie sich das Passwort. MVT entschlüsselt es für die Analyse:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Sie brauchen Indikatordateien. MVT kann veröffentlichte Sätze herunterladen:
mvt-ios download-iocs
Dann folgt die eigentliche Analyse:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Für Android über ADB, mit aktivierten Entwickleroptionen und USB-Debugging:
mvt-android check-adb --iocs indicators.stix2 --output results/
Optionen und Befehlsnamen ändern sich zwischen den Versionen. Prüfen Sie die aktuelle Dokumentation unter docs.mvt.re, statt sich bei der genauen Syntax auf irgendeine Anleitung zu verlassen – auch auf diese.
Dann lesen Sie die Ausgabe: ein Verzeichnis mit JSON-Dateien und eine Reihe von Treffern. An dieser Stelle geben die meisten auf. Die Dateien sind Zeitleisten und extrahierte Datensätze; um sie zu interpretieren, müssen Sie wissen, wie ein normales iPhone aussieht, damit Ihnen auffällt, was davon abweicht.
Realistisch betrachtet: ein Nachmittag, wenn Sie täglich im Terminal arbeiten, und eine unüberwindbare Hürde, wenn nicht.
Wie Sie das Ergebnis lesen
Das ist wichtiger als die Installation, und hier liegen viele in beide Richtungen falsch.
Ein Treffer ist ernst, aber nicht selbsterklärend. MVT markiert, was mit einem Indikator übereinstimmt. Zu bestätigen, was das bedeutet und wann es passiert ist, bleibt Analysearbeit, die Sie noch leisten müssen.
Keine Treffer bedeuten nicht, dass das Telefon sauber ist. Es bedeutet, dass nichts mit den Indikatoren übereinstimmte, die Sie bereitgestellt haben. Neue Kampagnen, undokumentierte Werkzeuge und Infektionen, die älter sind als Ihr Backup, führen alle zu einem unauffälligen Ergebnis. Amnesty weist ausdrücklich darauf hin, und es ist das mit Abstand am häufigsten missverstandene Merkmal des Werkzeugs.
Manche Befunde sind einfach nur interessant. Zeitleisten zeigen viele gewöhnliche Aktivitäten, die alarmierend wirken, wenn man noch nie das Innenleben eines Telefons gesehen hat.
Wann MVT die richtige Antwort ist
- Sie arbeiten im Terminal und lassen sich von JSON nicht abschrecken.
- Sie sind Journalistin, Aktivist, Anwältin oder Forscher, möglicherweise ein echtes Ziel, und Sie wollen ein Werkzeug mit einer öffentlichen, überprüfbaren Methode.
- Sie wollen etwas, das kein kommerzielles Interesse am Ergebnis hat – ein völlig berechtigter Anspruch an ein Sicherheitswerkzeug und ein echter Vorteil von MVT gegenüber allem, was Ihnen irgendjemand verkauft, uns eingeschlossen.
- Sie analysieren beruflich das Gerät einer anderen Person und brauchen eine belastbare, dokumentierte Methode.
Wann nicht
- Sie sind besorgt, nicht technisch versiert, und brauchen noch diese Woche eine Antwort.
- Das wahrscheinliche Problem ist kommerzielle Stalkerware, die jemand installiert hat, den Sie kennen – das ist weit häufiger als Söldner-Spyware. Sie zeigt sich in den Berechtigungsbildschirmen; um sie zu finden, brauchen Sie keine Forensik. Beginnen Sie mit Android oder iPhone.
- Sie brauchen eine Dokumentation für eine Anwältin, einen Polizeibeamten oder eine Beratungsstelle. Die Ausgabe von MVT ist ein Beweismittel, aber kein lesbarer Bericht.
- Sie müssen wiederholt prüfen, nicht nur einmal.
Was Haris Shield anders macht
Es verwendet dieselben öffentlichen Indikatoren, die Indikatorsätze des MVT-Projekts, die unser Server jede Nacht zu einem signierten Paket neu zusammenstellt. Es prüft einige derselben Spuren von einem Computer aus, leistet aber nicht alles, was MVT leistet. Die aktuelle Version analysiert kein verschlüsseltes iPhone-Backup. Beim iPhone liest sie aus, was das Telefon über das Kabel preisgibt: Absturzprotokolle, Konfigurations- und Bereitstellungsprofile und Sicherheitseinstellungen, dazu eine sysdiagnose, wenn Sie eine importieren – damit kommen die Datenbanken zur Netzwerknutzung und zur Prozessausführung hinzu. Bei Android liest sie das Gerät wie MVT über ADB aus. Unter So funktioniert es ist jeder einzelne Punkt aufgeführt.
Was Haris Shield Ihnen abnimmt, ist die Arbeit im Terminal: Sie bekommen eine grafische Anwendung für macOS, Windows und Linux, Indikatoren, die für Sie aktuell gehalten werden, und einen Bericht mit einer Risikostufe für jeden Befund, den Sie als PDF speichern und an jemand anderen weitergeben können.
Was wir nicht behaupten: dass wir Dinge finden, die MVT nicht findet. Beim iPhone liest MVT, angewandt auf ein vollständiges verschlüsseltes Backup, mehr aus als unsere aktuelle Version. Wo die Indikatoren von Amnesty die besten verfügbaren sind, baut jeder Vernünftige auf ihnen auf.
Wenn Sie MVT bedienen können und es nutzen möchten, nutzen Sie MVT.
Wenn Sie etwas finden
Bereinigen Sie das Telefon nicht sofort, wenn jemand aus Ihrem Leben beteiligt sein könnte – das Entfernen kann diese Person alarmieren und vernichtet Beweise. Und wenn Sie möglicherweise Ziel eines staatlichen Akteurs sind, holen Sie sich Hilfe von Menschen, die das beruflich machen: Das Security Lab von Amnesty und die Digital Security Helpline von Access Now unterstützen gefährdete Personen kostenlos. Spyware entfernen, ohne dass es die Person merkt, die sie installiert hat beschreibt die Reihenfolge.
Kurz gesagt
MVT ist das Original: das Werkzeug hinter dem Pegasus-Projekt, veröffentlicht vom Security Lab von Amnesty, kostenlos und mit einer öffentlichen Methode. Es analysiert ein verschlüsseltes iPhone-Backup oder ein Android-Gerät über ADB anhand veröffentlichter Kompromittierungsindikatoren.
Es setzt aber auch Python, ein Terminal und die Fähigkeit voraus, forensische Ausgaben zu interpretieren – und ein sauberes Ergebnis bedeutet nur, dass nichts mit den Indikatoren übereinstimmte, die Sie ihm gegeben haben. Wenn das zu Ihnen passt, nutzen Sie es. Wenn nicht, ist die Methode wichtiger als das Werkzeug: Lassen Sie die Analyse von einem Computer aus durchführen, womit auch immer, statt einem Scanner zu vertrauen, der auf genau dem Telefon läuft, das Sie überprüfen wollen.
Quellen
- Mobile Verification Toolkit: mvt.re und Dokumentation unter docs.mvt.re
- Quellcode von MVT: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
Weiterlesen: ein iPhone auf Pegasus prüfen, kostenlose Spyware-Prüfungen: was funktioniert und was Betrug ist.