Cómo funciona Haris Shield
Qué lee la app de tu teléfono, cómo decide qué es una amenaza, todas las conexiones que hace y cómo comprobarlo todo sin tener que creernos a ciegas.
Describe la versión actual, 1.0.13.
Qué lee la app a través del cable
Tu teléfono está conectado al ordenador con su cable USB. Haris Shield lo lee con libimobiledevice (iPhone) y adb de Android, las mismas herramientas de código abierto que usan los investigadores forenses. No se instala nada en el teléfono y el análisis solo lee: no borra, mueve ni modifica nada en él. Todo lo que copia se queda en la carpeta de la app en tu ordenador.
iPhone
Información del dispositivo
Modelo, versión y compilación de iOS, número de serie, si hay un código de acceso configurado, estado de activación, nombre del dispositivo y zona horaria.
Informes de fallos
Se copian a tu ordenador y se leen allí. Los originales se quedan en el teléfono: la app los copia, nunca los mueve ni los borra.
Perfiles de configuración
Perfiles instalados, inscripción en MDM, supervisión y perfiles de VPN, que son las vías por las que un teléfono puede gestionarse o su tráfico puede redirigirse.
Perfiles de aprovisionamiento
Quién firmó las apps de desarrollador y empresariales del teléfono, comparado con los nombres de proveedores de software espía conocidos.
Estado de seguridad
Modo de aislamiento, modo de desarrollador y si la versión de iOS es una de las que se sabe que se están explotando.
Un sysdiagnose que importes (opcional)
Si creas un sysdiagnose en el teléfono e importas el archivo, la app también lee sus bases de datos de uso de red, el historial de ejecución de procesos, las bases de datos de uso de apps y de permisos, y sus registros de red y de procesos.
Android
Información del dispositivo
Modelo, marca, versión de Android, nivel del parche de seguridad y número de serie.
Apps instaladas
Nombres de paquete comparados con stalkerware conocido, apps ocultas del lanzador y de dónde se instaló cada app (Play Store o instalación manual).
Permisos
Qué apps tienen permisos de vigilancia (SMS, registro de llamadas, ubicación, cámara, micrófono) y combinaciones peligrosas de ellos, además de las apps que pueden instalar otras apps.
Accesibilidad, administradores del dispositivo, lectores de notificaciones
Los tres mecanismos que el stalkerware suele necesitar para leer la pantalla, resistirse a ser eliminado y copiar las notificaciones.
Procesos y red
Procesos en ejecución, las conexiones abiertas en este momento y la caché del resolvedor DNS, comparados con servidores y direcciones IP de software espía conocidos.
Certificados
Certificados raíz instalados por el usuario, que pueden usarse para leer tráfico cifrado, y apps firmadas con certificados de depuración o de prueba.
Uso de batería, datos y sensores
Apps que se activan de noche, mueven muchos datos en segundo plano o usan la cámara y el micrófono sin estar en pantalla.
Ajustes y registros del sistema
Depuración USB e inalámbrica, orígenes desconocidos, Play Protect y algunas entradas concretas del registro del sistema vinculadas a software espía conocido.
Un análisis completo también hace una revisión de privacidad, un diagnóstico de hardware y, en iPhone, la verificación de componentes. El análisis de copias de seguridad cifradas de iPhone y la comparación de huellas de los archivos de apps de Android están en desarrollo; no forman parte de la versión actual.
Cómo se valoran los hallazgos
Un análisis termina con uno de tres resultados. La diferencia entre ellos importa, así que esto es exactamente lo que hace falta para cada uno.
Software espía detectado
Solo cuando hay un rastro concreto: un proceso de software espía conocido en el historial de ejecución, una conexión o consulta DNS a un servidor de software espía conocido, stalkerware conocido al que se ha dado acceso, o un perfil de un proveedor de software espía conocido.
Actividad sospechosa
Cosas que merecen una revisión más detenida pero que no son una prueba. Esto incluye la exposición: una versión antigua de iOS o la falta de parches de seguridad hacen que un teléfono sea más fácil de atacar, así que se indican aquí, nunca como una infección. Antes de la versión 1.0.11, una versión antigua de iOS se indicaba por error como infección; ya está corregido.
No se encontraron amenazas
No se encontró ninguno de los rastros que conoce la app. No significa que el teléfono esté limpio con total seguridad: consulta más abajo lo que ninguna herramienta puede prometer.
Con qué compara la app
La app incluye una lista integrada de nombres de procesos, servidores, direcciones IP y apps de stalkerware. Además, usa indicadores del proyecto MVT, publicados por Amnesty International, Citizen Lab y otros investigadores que estudian Pegasus, Predator y herramientas similares.
Un nombre solo cuenta cuando aparece como nombre completo en el registro. Los nombres cortos de procesos de Pegasus, como “bh”, antes coincidían con palabras como “github”; ya no. Los nombres que también son procesos normales del sistema iOS se excluyen, porque encontrarlos no demuestra nada.
Por qué no se puede manipular la lista de indicadores
- 1. Cada noche, nuestro servidor crea un paquete a partir del índice de indicadores de MVT.
- 2. Firma el paquete con una clave privada Ed25519 que solo existe en el servidor.
- 3. La app comprueba la firma con la clave pública que lleva integrada y solo usa el paquete si coincide. Si no coincide, conserva el último conjunto que sí coincidió.
Así, un paquete falso, venga de una red comprometida o de cualquier otro, no puede añadir ni quitar indicadores. Los hallazgos tampoco se suben nunca a una lista compartida: los informes de usuarios sin verificar son la forma en que se envenenan las listas de amenazas.
Qué sale de tu ordenador
Todas las conexiones que puede hacer la app, tomadas de su código. Si observas su tráfico (consulta Compruébalo tú mismo más abajo), esta es la lista que deberías poder ir marcando.
Siempre que la app está en línea
Comprobación de la licencia y el saldo
harisshield.com
Tu clave de licencia y un identificador del ordenador: un hash breve generado a partir del nombre del ordenador, el nombre de usuario, el procesador, la arquitectura y la cantidad de memoria. La respuesta es un comprobante de saldo firmado por nuestro servidor, que permite a la app seguir analizando sin conexión durante 14 días.
Recuento de análisis después de cada análisis
harisshield.com
Clave de licencia, identificador del ordenador, iOS o Android, el número de hallazgos, un identificador aleatorio del análisis y la hora. Así se descuentan los análisis de tu saldo. No lo que se encontró, ni nada del teléfono. Sin conexión, el informe espera y se envía más tarde.
Paquete de indicadores firmado
harisshield.com
Una descarga de los últimos indicadores de software espía (ver arriba). No se envía nada sobre ti ni sobre tu teléfono.
Búsqueda de actualizaciones
harisshield.com
Con una clave de licencia activada, la app busca actualizaciones al iniciarse y cada cuatro horas, y descarga las versiones nuevas, enviando la clave de licencia para que el servidor entregue el archivo.
Conexión de un ordenador a tu licencia
harisshield.com
Cuando conectas un ordenador nuevo: el identificador y el nombre del ordenador, para que el correo de confirmación pueda indicarte qué ordenador lo solicita.
Solo cuando usas una función
Verificación de componentes (parte de un análisis completo de iPhone)
checkcoverage.apple.com, support-sp.apple.com
El número de serie del iPhone, para consultar a Apple el modelo y el estado de la garantía.
Comprobación de certificados durante un análisis de Android
Servidores con los que se comunica el teléfono Android
La app inicia breves negociaciones TLS desde tu ordenador con algunos de los servidores públicos con los que el teléfono tiene conexiones HTTPS abiertas (como máximo 18 negociaciones por análisis), para examinar sus certificados. Esos servidores ven la dirección IP de tu ordenador. En un monitor de red aparece como el proceso openssl.
Monitor de red en directo
ipinfo.io
Las direcciones IP a las que se conecta tu teléfono mientras funciona el monitor (las de los servidores, no la tuya), para mostrar su país y su propietario. Si has introducido tu propio token de ipinfo, también se envía.
Comprobación de filtraciones
haveibeenpwned.com
La dirección de correo electrónico que escribas. La comprobación necesita tu propia clave de API de Have I Been Pwned; sin ella, la solicitud se envía igualmente pero no devuelve resultados.
Informes de errores: desactivados a menos que marques la casilla
harisshield.com
Solo a partir de una lista fija de campos: versión de la app, sistema operativo, arquitectura, qué paso falló, tipo y código de error, nombre de la función, iOS o Android, y un hash de 8 caracteres de la clave de licencia. Nunca mensajes de error, rutas de archivos, datos del teléfono, hallazgos, tu clave de licencia ni tu correo electrónico.
Solo claves de licencia antiguas
api.lemonsqueezy.com
Las claves que no empiezan por HRS- se vendieron a través de Lemon Squeezy y se activan y comprueban allí, con la clave y el identificador del ordenador.
Después de varias activaciones fallidas
harisshield.com
El identificador del ordenador y cuántos intentos fallaron, para que no se pueda adivinar una clave por fuerza bruta.
Nunca se envía
- Mensajes, fotos, contactos, registros de llamadas ni correos
- La lista de apps del teléfono
- Los informes de fallos ni tu sysdiagnose
- Lo que encontró un análisis, ni el propio informe del análisis
Los resultados y los informes de los análisis se quedan en la carpeta de la app en tu ordenador hasta que los borres o decidas compartir un PDF.
El modo sin conexión y lo que no cubre
El modo sin conexión, en los ajustes de la app, detiene la descarga de indicadores, las consultas de IP del monitor de red y la comprobación de filtraciones. No detiene la comprobación de la licencia y el saldo, la búsqueda de actualizaciones, la consulta del número de serie ni la comprobación de certificados en Android.
Para hacer un análisis sin ninguna conexión, desconecta el ordenador de internet. Después de que la app haya estado en línea una vez, puede seguir analizando durante un máximo de 14 días con su último comprobante de saldo firmado, usando los indicadores que ya tiene. Los recuentos de análisis se envían cuando vuelves a conectarte.
Lo que ninguna herramienta puede prometer
Ninguna herramienta puede demostrar que un teléfono está limpio
Haris Shield encuentra rastros que ya se conocen. El proyecto MVT dice lo mismo de su propia herramienta: los indicadores públicos no bastan para declarar limpio un dispositivo.
El software espía más avanzado puede pasar desapercibido
Las herramientas del tipo de Pegasus están diseñadas para dejar el menor rastro posible, y sus nuevas versiones se usan antes de que nadie haya publicado indicadores sobre ellas. Pueden eludir este análisis y cualquier otro.
“No se encontraron amenazas” no significa “seguro”
Significa que no apareció ninguno de los rastros conocidos. Si tu situación te pone en riesgo real, pide una segunda opinión a los expertos que aparecen más abajo, diga lo que diga nuestro resultado.
Dónde estamos hoy
Algunas cosas aún no están terminadas. Debes saber cuáles.
Todavía sin notarización de Apple
Por eso macOS dice que no se puede verificar al desarrollador y tienes que elegir Abrir igualmente la primera vez. Estamos configurando la firma Developer ID de Apple y la notarización.
Todavía sin firma de código para Windows
Por eso Windows muestra “Windows protegió su PC”. Estamos configurando la firma de código. Hasta que ambas estén listas, el sistema operativo no puede confirmar que un archivo procede de nosotros; las sumas de verificación de abajo sí pueden.
Versiones
La versión para Mac solo funciona en Apple Silicon, y la de Linux solo en x86-64. Consulta la página de descarga.
Compruébalo tú mismo
Una herramienta de seguridad pide mucha confianza. Estas son formas reales e independientes de comprobar que Haris Shield hace lo que dice esta página, y de revisar tu teléfono con alguien que no seamos nosotros.
1. Comprueba el instalador
Súbelo a VirusTotal. Arrastra el archivo que descargaste a virustotal.com y unos 70 motores antivirus lo analizarán. Fíjate en qué motores señalan algo y cómo lo llaman, no solo en el número.
Compara la suma de verificación SHA-512. Si la suma de verificación de tu archivo coincide con la de abajo, es exactamente el archivo que publicamos. Son los mismos valores que comprueba el actualizador de la app.
Versión 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 MB
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 MB
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 MB
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 MB
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <nombre del archivo>
Linux (terminal)
sha512sum <nombre del archivo>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <nombre del archivo>
Al comparar, da igual que sean mayúsculas o minúsculas.
2. Observa el tráfico de red de la app
Ejecuta una de estas herramientas mientras haces el análisis. Deberías ver que Haris Shield se comunica con harisshield.com y, solo cuando usas esas funciones, con los servicios de la lista de arriba. La conexión con el propio teléfono va por USB y no aparece como tráfico de internet.
Mac
- LuLu
Gratuita y de código abierto, de Objective-See. Pregunta antes de que una app establezca una nueva conexión saliente y muestra adónde va.
- Little Snitch
De pago, de Objective Development. Muestra todas las conexiones de cada app, en directo y en un mapa.
Windows
- TCPView
Gratuita, de Microsoft Sysinternals. Muestra todas las conexiones abiertas con el proceso al que pertenecen.
- GlassWire
Tiene una versión gratuita. Muestra a qué servidores se conecta cada app.
- Windows Defender Firewall
Integrado en el sistema. Bloquea Haris Shield por completo si quieres confirmar que el análisis sigue funcionando sin red.
Linux
- OpenSnitch
Gratuita y de código abierto. Pregunta app por app por las conexiones salientes, como LuLu.
3. Pide una segunda opinión sobre tu teléfono
Ninguno de ellos tiene relación con nosotros. Si eres periodista, activista o cualquier otra persona que pueda ser objetivo, contacta directamente con las líneas de ayuda: se dedican a esto todos los días.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Herramienta forense gratuita y de código abierto para iPhone y Android, creada durante el Proyecto Pegasus. Se usa desde la línea de comandos y está pensada para técnicos e investigadores, no para una comprobación rápida por tu cuenta. Haris Shield usa los mismos indicadores públicos.
- iVerify Basic
iVerify
Una app para iPhone y Android de una empresa independiente de seguridad móvil. Busca señales de software espía del tipo de Pegasus desde el propio teléfono: una segunda opinión útil desde otro ángulo.
- Digital Security Helpline
Access Now
Ayuda gratuita las 24 horas, en varios idiomas, para periodistas, activistas, defensores de los derechos humanos y grupos de la sociedad civil que creen ser objetivo de ataques.
- Security Lab — Get help
Amnesty International
Apoyo para periodistas, activistas y organizaciones de la sociedad civil en riesgo de sufrir ataques digitales dirigidos, como Pegasus.
- Coalition Against Stalkerware
stopstalkerware.org
Un directorio de líneas de ayuda y organizaciones de apoyo por país para personas a las que les preocupa que su pareja o alguien cercano esté vigilando su teléfono. Consúltalo desde un dispositivo al que esa persona nunca haya tenido acceso.
¿Has encontrado algo en esta página que no coincide con lo que hace la app? Cuéntanoslo en support@harisshield.com. Consulta también nuestra política de privacidad.