El Mobile Verification Toolkit es la herramienta forense que publica el Security Lab de Amnesty International, y es la herramienta que hay detrás del Proyecto Pegasus, la investigación de 2021 que llevó el software espía mercenario a las portadas de todo el mundo. Su código es público, no cuesta nada y cualquiera puede usarla para analizar su propio teléfono.
Nosotros vendemos un producto comercial que hace un tipo de análisis parecido, así que tenlo en cuenta al leer esto. MVT es excelente. Para alguien que se maneja con soltura en lo técnico puede ser todo lo que necesita, y esta guía está escrita para ayudarte a usarla, no para convencerte de que no lo hagas.
Qué hace realmente MVT
MVT no analiza tu teléfono como un antivirus analiza un ordenador. Extrae datos que el teléfono ya contiene y los compara con indicadores de compromiso publicados: dominios con los que contacta el software espía conocido, nombres de los procesos que crea, rutas de archivos que deja, patrones de fallos que provoca.
Esa diferencia explica tanto su fuerza como sus límites. Lee pruebas en lugar de pedirle al teléfono que se evalúe a sí mismo, y por eso puede encontrar cosas que ninguna app del dispositivo podría. Y solo encuentra aquello para lo que alguien ya ha publicado indicadores, lo que significa que una campaña que nadie ha documentado todavía le resulta invisible.
En iOS analiza una copia de seguridad de iTunes o del Finder, que es donde está el material útil: registros de fallos, una base de datos que registra qué procesos usaron la red y cuándo, el archivo del sistema que registra los apagados, el historial de Safari y los metadatos de los archivos adjuntos de los mensajes. Una copia de seguridad cifrada contiene bastante más que una sin cifrar, algo que sorprende a mucha gente.
En Android funciona a través de ADB: enumera los paquetes instalados, extrae los registros del sistema y los compara con los mismos conjuntos de indicadores. También puede analizar una copia de seguridad de Android y examinar archivos APK.
Lo que implica realmente ejecutarla
La parte sincera, la que las páginas de descarga suelen saltarse.
Necesitas un ordenador con macOS o Linux. Windows no es compatible de forma oficial; la gente usa WSL.
Necesitas manejarte con Python y con un terminal. MVT se instala con pip:
pip install mvt
Eso te da dos comandos, mvt-ios y mvt-android.
Necesitas una copia de seguridad cifrada del iPhone. Hazla con el Finder en macOS o con iTunes, con la opción de cifrado activada, y recuerda la contraseña. MVT la descifra para analizarla:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Necesitas archivos de indicadores. MVT puede descargar los conjuntos publicados:
mvt-ios download-iocs
Y luego, el análisis propiamente dicho:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Para Android a través de ADB, con las opciones de desarrollador y la depuración USB activadas:
mvt-android check-adb --iocs indicators.stix2 --output results/
Las opciones y los nombres de los comandos cambian de una versión a otra. Consulta la documentación actual en docs.mvt.re en lugar de fiarte de cualquier tutorial, incluido este, en cuanto a la sintaxis exacta.
Después lees el resultado, que es una carpeta de archivos JSON y un conjunto de detecciones. Esta es la parte que frena a la mayoría. Los archivos son cronologías y registros extraídos; interpretarlos exige saber cómo es un iPhone normal para poder notar lo que no lo es.
Siendo realistas: una tarde si trabajas a diario con un terminal, y un muro si no.
Cómo interpretar el resultado
Esto importa más que la instalación, y es donde la gente se equivoca en las dos direcciones.
Una detección es grave, pero no se explica sola. MVT señala lo que coincide con un indicador. Confirmar qué significa, y cuándo ocurrió, es un análisis que todavía tienes que hacer tú.
Que no haya detecciones no significa que el teléfono esté limpio. Significa que nada coincidió con los indicadores que le diste. Las campañas nuevas, las herramientas no documentadas y las infecciones anteriores a tu copia de seguridad producen todas un resultado tranquilo. Amnesty lo dice claramente, y es lo que más se malinterpreta de esta herramienta.
Algunos hallazgos solo son curiosos. Las cronologías muestran mucha actividad corriente que parece alarmante si nunca has visto las tripas de un teléfono.
Cuándo MVT es la respuesta adecuada
- Trabajas con un terminal y no te asusta el JSON.
- Eres periodista, activista, abogado o investigador y podrías ser un objetivo real, y quieres herramientas con un método público y verificable.
- Quieres algo que no tenga ningún interés comercial en el resultado: algo totalmente razonable que pedirle a una herramienta de seguridad, y una ventaja real de MVT frente a cualquier cosa que te venda alguien, nosotros incluidos.
- Analizas el dispositivo de otra persona de forma profesional y necesitas un método documentado y defendible.
Cuándo no lo es
- Estás preocupado, no tienes perfil técnico y necesitas una respuesta esta semana.
- El problema probable es stalkerware comercial instalado por alguien que conoces, que es mucho más común que el software espía mercenario. Eso aparece en las pantallas de permisos; no necesitas análisis forense para encontrarlo. Empieza por Android o iPhone.
- Necesitas documentación para un abogado, un agente o una persona de apoyo. El resultado de MVT es una prueba, pero no es un informe legible.
- Necesitas comprobarlo de forma repetida, no una sola vez.
Qué hace Haris Shield de otra manera
Usa los mismos indicadores públicos, los conjuntos de indicadores del proyecto MVT, que nuestro servidor convierte cada noche en un paquete firmado. Revisa desde un ordenador algunos de los mismos rastros, pero no hace todo lo que hace MVT. La versión actual no analiza una copia de seguridad cifrada del iPhone. En iPhone lee lo que el teléfono expone por el cable: registros de fallos, perfiles de configuración y de aprovisionamiento y ajustes de seguridad, además de un sysdiagnose si importas uno, que añade las bases de datos de uso de red y de ejecución de procesos. En Android lee el dispositivo a través de ADB, como MVT. En cómo funciona se enumeran todos los elementos.
Lo que te ahorra es el trabajo en el terminal: tienes una aplicación con interfaz gráfica para macOS, Windows y Linux, indicadores que se mantienen al día sin que tengas que hacer nada y un informe con un nivel de riesgo para cada hallazgo que puedes guardar como PDF y entregar a otra persona.
Lo que no afirmamos es que encontremos cosas que MVT no puede encontrar. En iPhone, MVT ejecutado sobre una copia de seguridad cifrada completa lee más que nuestra versión actual. Allí donde los indicadores de Amnesty son los mejores disponibles, son la base sobre la que construye cualquiera con sentido común.
Si puedes usar MVT y quieres hacerlo, usa MVT.
Si encuentras algo
No limpies el teléfono de inmediato si puede haber alguien de tu entorno implicado: eliminarlo puede alertar a esa persona y destruye las pruebas. Y si puedes ser objetivo de un actor estatal, pide ayuda a quienes se dedican a esto: el Security Lab de Amnesty y la Digital Security Helpline de Access Now ayudan gratuitamente a personas en situación de riesgo. Cómo eliminar software espía sin alertar a quien lo instaló explica la secuencia.
La respuesta corta
MVT es la herramienta de verdad: la que hay detrás del Proyecto Pegasus, publicada por el Security Lab de Amnesty, gratuita y con un método público. Analiza una copia de seguridad cifrada de iPhone o un dispositivo Android a través de ADB comparándolos con indicadores de compromiso publicados.
También da por hecho que sabes usar Python y un terminal y que puedes interpretar resultados forenses, y un resultado limpio solo significa que nada coincidió con los indicadores que le diste. Si eso encaja contigo, úsala. Si no, el método importa más que la herramienta: haz que el análisis se haga desde un ordenador, con lo que sea, en lugar de fiarte de un analizador que se ejecuta en el mismo teléfono que intentas verificar.
Fuentes
- Mobile Verification Toolkit: mvt.re y documentación en docs.mvt.re
- Código fuente de MVT: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
Lecturas relacionadas: cómo comprobar si un iPhone tiene Pegasus, comprobaciones gratuitas de software espía: qué funciona y qué es una estafa.