اگر این مطلب را می‌خوانید، احتمالاً چیزی شما را نگران کرده است. باتری‌ای که تا ظهر تمام می‌شود. همسر یا شریکی که چیزهایی می‌داند که هرگز به او نگفته‌اید. گوشی‌ای که شب در جیب‌تان گرم بوده است. دنبال برنامه‌ای گشتید که iPhone شما را اسکن کند و حقیقت را بگوید، و ده‌ها برنامه در App Store پیدا کردید.
اما بخشی که هیچ کدام از فروشندگان این برنامه‌ها نمی‌خواهند توضیح بدهند این است: روی iPhone، این برنامه‌ها نمی‌توانند کاری را بکنند که فکر می‌کنید.
چرا آنتی‌ویروس‌های iPhone نمی‌توانند جاسوس‌افزار پیدا کنند
iOS هر برنامه را در یک محیط ایزوله (sandbox) قرار می‌دهد. هر برنامه فقط فایل‌های خودش را می‌بیند و نه هیچ چیز دیگر. نمی‌تواند داده‌های برنامه‌ی دیگری را بخواند، نمی‌تواند پردازش‌های در حال اجرا روی گوشی را فهرست کند، و نمی‌تواند فایل‌های سیستمی را بررسی کند. این طراحی یکی از دلایلی است که آلوده کردن iPhone از اساس سخت است، و واقعاً به نفع شماست.
اما این شمشیر دو لبه است. همان دیواری که جلوی یک برنامه‌ی مخرب را می‌گیرد تا برنامه‌ی بانکی شما را نخواند، جلوی یک برنامه‌ی امنیتی را هم می‌گیرد تا برنامه‌ی مخرب را پیدا نکند. در iOS چیزی به نام اسکن کامل سیستم وجود ندارد، چون Apple اجازه‌ی وجودش را نمی‌دهد. هر محصولی در App Store که به‌عنوان ویروس‌یاب iPhone تبلیغ می‌شود، در بهترین حالت تنظیمات Wi-Fi شما را بررسی می‌کند، درباره‌ی وب‌سایت‌های خطرناک هشدار می‌دهد و می‌گوید نسخه‌ی iOS شما قدیمی است.
این موضوع دقیقاً درباره‌ی همان تهدیدهایی که نگرانشان هستید بیشترین اهمیت را دارد. جاسوس‌افزارهای مزدوری مثل Pegasus از ضعف‌هایی در عمق سیستم‌عامل سوءاستفاده می‌کنند، در سطحی که هیچ برنامه‌ی محصور در sandbox نمی‌تواند ببیند. ابزاری که داخل sandbox اجرا می‌شود مثل کسی است که در کمد زندانی شده و دنبال دزد می‌گردد.
پس اگر نمی‌شود از روی خودِ گوشی اسکن کرد، واقعاً چه کاری از دستتان برمی‌آید؟
پنج بررسی که خودتان در ده دقیقه می‌توانید انجام دهید
هیچ کدام از این‌ها قطعی نیست. اما همه‌شان ارزش انجام دادن دارند، و چند تایشان نفوذهای واقعی را آشکار کرده‌اند.
۱. دنبال اعلان تهدید Apple بگردید
Apple کارزارهای جاسوس‌افزار در سطح دولتی را زیر نظر دارد و به کسانی که فکر می‌کند هدف قرار گرفته‌اند هشدار می‌دهد. از ۲۰۲۱ تاکنون به کاربرانی در بیش از ۱۵۰ کشور اعلان فرستاده است؛ فقط یک کارزار در آوریل ۲۰۲۴ به افرادی در ۹۲ کشور رسید.
در account.apple.com وارد حساب‌تان شوید و ببینید آیا بنر هشداری در بالای صفحه هست یا نه. Apple همچنین به نشانی‌های ثبت‌شده در Apple ID شما ایمیل و iMessage اطلاع‌رسانی می‌فرستد.
یک نکته‌ی بسیار مهم: چون این اعلان‌ها ترسناک و شناخته‌شده‌اند، پوشش محبوب کلاهبرداران هم هستند. یک اعلان تهدید واقعی از طرف Apple هرگز از شما نمی‌خواهد روی لینکی بزنید، چیزی نصب کنید، فایلی باز کنید یا رمز عبورتان را بدهید. اگر پیامی هر کدام از این کارها را بخواهد، از طرف Apple نیست. برای اطمینان، خودتان نشانی account.apple.com را با دست تایپ کنید و وارد شوید.
۲. پروفایل‌های پیکربندی را بررسی کنید
پروفایل پیکربندی (configuration profile) قابلیتی مشروع در iOS است که به کارفرما یا مدرسه اجازه می‌دهد دستگاه را مدیریت کند. در عین حال یکی از معدود راه‌های پشتیبانی‌شده برای نصب نظارت دائمی روی iPhone بدون سوءاستفاده از حفره‌ی امنیتی است، و به همین دلیل استاکرورهای تجاری گاهی از کسی که گوشی شما را در دست دارد می‌خواهند یکی از آن‌ها را نصب کند.
به تنظیمات، سپس عمومی، سپس VPN و مدیریت دستگاه (VPN & Device Management) بروید. در یک iPhone شخصی معمولی این صفحه خالی است، یا فقط پروفایل‌هایی را نشان می‌دهد که از طرف کارفرمای‌تان می‌شناسید. هر چیزی که نمی‌شناسید، پیش از حذف، باید توضیحی داشته باشد.
۳. ببینید برنامه‌هایتان اجازه‌ی دیدن چه چیزهایی را دارند
به تنظیمات، سپس حریم خصوصی و امنیت (Privacy & Security) بروید و موارد خدمات مکان‌یابی، میکروفون، دوربین، عکس‌ها و مخاطبین را یکی‌یکی مرور کنید. اینجا دنبال جاسوس‌افزار نمی‌گردید. دنبال برنامه‌های معمولی با مجوزهای غیرمعمول می‌گردید، چون رایج‌ترین شکل نظارت بر گوشی اصلاً بدافزار عجیب‌وغریب نیست. یک برنامه‌ی اشتراک‌گذاری خانوادگی است، یک سرویس پشتیبان‌گیری از عکس‌ها، یا یک ابزار یادداشت‌برداری که کسی نصبش کرده و بی‌سروصدا به حساب خودش وصلش کرده است.
حالا که آنجا هستید، تنظیمات را باز کنید، روی نام خودتان در بالای صفحه بزنید و فهرست دستگاه‌هایی را که با Apple ID شما وارد شده‌اند بررسی کنید. دستگاهی که نمی‌شناسید یعنی کسی می‌تواند نسخه‌های پشتیبان iCloud شما را بخواند، و این شامل پیام‌هایتان هم می‌شود.
۴. دنبال نشانه‌های جیلبریک بگردید
بیشتر جاسوس‌افزارهای دائمی iPhone به دستگاه جیلبریک‌شده نیاز دارند. اگر گوشی شما بدون اطلاع‌تان جیلبریک شده باشد، ممکن است برنامه‌ای پیدا کنید که هرگز نصبش نکرده‌اید، به نام Cydia، Sileo یا Zebra. این نام‌ها را در گوشی‌تان جست‌وجو کنید. وجود آن‌ها اثبات جاسوسی نیست، اما اثبات این است که کسی محافظت‌های Apple را از روی دستگاه شما برداشته است.
۵. مصرف باتری و داده را با عادت‌هایتان مقایسه کنید
تنظیمات، سپس باتری را باز کنید و ده روز گذشته را ببینید. بعد تنظیمات، سپس داده‌ی تلفن همراه (Mobile Data)، و مجموع مصرف هر برنامه را مرور کنید. دنبال چیزی هستید که با نحوه‌ی واقعی استفاده‌ی شما از گوشی جور درنمی‌آید: برنامه‌ای که هرگز بازش نمی‌کنید اما نزدیک بالای فهرست باتری است، یا مصرف داده در پس‌زمینه در حد گیگابایت.
این را ضعیف‌ترین نشانه از این پنج مورد بدانید. باتری رو به خرابی، یک به‌روزرسانی iOS یا همگام‌سازی آلبوم عکس پس از یک سفر، همگی همین الگو را ایجاد می‌کنند. مصرف بی‌دلیل، دلیلی است برای دقیق‌تر نگاه کردن، نه حکم نهایی.
آنچه این بررسی‌ها نمی‌توانند به شما بگویند
همه‌ی موارد بالا داخل sandbox انجام می‌شوند، یعنی هر چیز پیشرفته‌ای می‌تواند همه‌ی آن‌ها را دور بزند. جاسوس‌افزار بدون کلیک (zero-click) هیچ آیکونی به جا نمی‌گذارد، هیچ مجوزی درخواست نمی‌کند و از شما نمی‌خواهد روی چیزی بزنید. ممکن است با پیامی نصب شود که هرگز بازش نکرده‌اید، و برخی گونه‌هایش اصلاً پس از ری‌استارت باقی نمی‌مانند، که گیر انداختنشان را از این هم سخت‌تر می‌کند.
ردپاها وجود دارند. فقط در جاهایی نیستند که iOS به برنامه‌ها اجازه‌ی نگاه کردن بدهد. در گزارش‌های خرابی (crash log)، در پایگاه‌داده‌هایی که ثبت می‌کنند کدام پردازش‌ها و کی از شبکه استفاده کرده‌اند، در یک فایل کوچک سیستمی که خاموش شدن‌های دستگاه را ثبت می‌کند، و در فراداده‌های داخل یک نسخه‌ی پشتیبان رمزگذاری‌شده قرار دارند. خواندن آن‌ها نیازمند بیرون رفتن از sandbox است، و فقط یک راه عملی برای این کار وجود دارد.
تحلیل از روی کامپیوتر چطور کار می‌کند
iPhone را با کابل به کامپیوتر وصل کنید؛ گوشی یک نسخه‌ی پشتیبان کامل تهیه می‌کند، همراه با داده‌های عیب‌یابی که هیچ برنامه‌ای روی خودِ دستگاه اجازه‌ی خواندنشان را ندارد. سپس می‌توان این نسخه‌ی پشتیبان را با نشانه‌های شناخته‌شده‌ی نفوذ (indicators of compromise) مقایسه کرد: دامنه‌هایی که معلوم است جاسوس‌افزارهای مزدور با آن‌ها تماس می‌گیرند، نام پردازش‌هایی که ایجاد می‌کنند، و ردپاهایی که از خود به جا می‌گذارند.
این همان روشی است که پژوهشگرانی که واقعاً این کارزارها را کشف می‌کنند به کار می‌برند. آزمایشگاه امنیت Amnesty International ابزاری متن‌باز به نام Mobile Verification Toolkit منتشر می‌کند که دقیقاً همین کار را انجام می‌دهد، و پایه‌ی تحقیقات Pegasus Project در سال ۲۰۲۱ بود. رایگان است، اعتبار خوبی دارد، و ابزاری خط‌فرمانی است که فرض می‌کند با نصب بسته‌های Python و تفسیر خروجی فارنزیک راحت هستید.
همین بخش آخر، گیر واقعی ماجراست. روش درست است و ابزارها عمومی‌اند، اما فاصله‌ی میان یک آدم نگران و یک تحلیل فارنزیک کارآمد زیاد است. پر کردن همین فاصله کاری است که Haris Shield برایش ساخته شده: تحلیل از روی کامپیوتر بر اساس همان نشانه‌های عمومی، با گزارشی که بدون ترمینال هم می‌توانید بخوانید. نسخه‌ی فعلی یک نسخه‌ی پشتیبان کامل را تحلیل نمی‌کند. گزارش‌های خرابی و پروفایل‌های نصب‌شده را از طریق کابل می‌خواند، به‌علاوه‌ی یک sysdiagnose اگر آن را وارد کنید؛ فهرست کامل در صفحه‌ی چگونه کار می‌کند آمده است.
اگر چیزی پیدا کردید، پیش از حذف آن این را بخوانید
این مهم‌ترین بخش این مقاله است، و همان بخشی است که بیشتر راهنماها از آن می‌گذرند.
اگر گمان می‌کنید کسی که شما را زیر نظر دارد از اطرافیان‌تان است، همسر یا شریک زندگی، همسر یا شریک سابق، یکی از اعضای خانواده، یا کارفرما، آن وقت حذف جاسوس‌افزار لزوماً اولین قدم درست نیست. بسیاری از استاکرورها همان لحظه‌ای که غیرفعال شوند به کسی که نصبشان کرده خبر می‌دهند. در یک وضعیت کنترل‌گرانه یا آزارگرانه، لحظه‌ای که نظارت بر شما متوقف می‌شود همان لحظه‌ای است که فرد ناظر می‌فهمد شما آن را پیدا کرده‌اید. این تشدید خطر، ریسکی مستند است، نه فرضی.
Coalition Against Stalkerware، ائتلافی که سازمان‌های فعال در حوزه‌ی خشونت خانگی و شرکت‌های امنیتی را گرد هم آورده، در این باره صریح است: حذف استاکرور مدرک را هم از بین می‌برد، و این مدرک ممکن است اگر به پلیس مراجعه کنید اهمیت داشته باشد.
ترتیبی امن‌تر برای کارها:
- فعلاً هیچ کاری روی گوشی نکنید. با کسی هم روبه‌رو نشوید.
- اول مشورت بگیرید، از دستگاهی که طرف مقابل هرگز به آن دسترسی نداشته است. یک سازمان حمایتی در حوزه‌ی خشونت خانگی می‌تواند به شما کمک کند ترتیب کارها را برنامه‌ریزی کنید.
- آنچه پیدا کرده‌اید را مستند کنید. یک گزارش فارنزیک از اسکرین‌شات ارزش بیشتری دارد.
- رمزهای عبور را عوض کنید و تأیید دومرحله‌ای را فعال کنید، از یک دستگاه دیگر، نه از گوشی‌ای که به آن مشکوکید.
- فقط پس از آن درباره‌ی حذف تصمیم بگیرید، ترجیحاً وقتی پشتیبانی لازم فراهم شده است.
اگر در چنین وضعیتی نیستید و نفوذ شبیه یک جرم معمولی یا کار یک مهاجم ناشناس است، حساب‌وکتاب ساده‌تر است. iOS را به‌روز کنید، آنچه پیدا کرده‌اید را حذف کنید، رمز Apple ID خود را عوض کنید، و بازنشانی کارخانه‌ای (factory reset) را در نظر بگیرید، بدون بازگرداندن نسخه‌ی پشتیبان مشکوک.
خودتان را به هدف سخت‌تری تبدیل کنید
- Lockdown Mode را روشن کنید اگر دلیل واقعی دارید که فکر کنید هدف قرار گرفته‌اید. این گزینه در تنظیمات، بخش حریم خصوصی و امنیت قرار دارد، و انواعی از پیوست‌های پیام و قابلیت‌های وب را که این اکسپلویت‌ها به آن‌ها متکی‌اند غیرفعال می‌کند. Apple گفته است از هیچ حمله‌ی موفق جاسوس‌افزار مزدور علیه دستگاهی که Lockdown Mode در آن فعال بوده اطلاعی ندارد. بعضی چیزها از کار می‌افتند، و هدف هم همین است.
- به‌روزرسانی‌های iOS را همان روزی که می‌رسند نصب کنید. بیشتر این کارزارها به ضعف‌هایی وابسته‌اند که Apple پیش‌تر وصله کرده است.
- رمزی برای گوشی بگذارید که هیچ کس دیگری نداند، و بررسی کنید که هیچ چهره یا اثر انگشت اضافه‌ای در Face ID یا Touch ID ثبت نشده باشد.
- جیلبریک نکنید، و اجازه ندهید کسی این کار را برایتان بکند.
- دستگاه‌های Apple ID خود را هر چند ماه یک بار بررسی کنید.
پاسخ کوتاه
نمی‌توانید iPhone را از روی خودِ iPhone برای جاسوس‌افزار اسکن کنید. هر چیزی که خلاف این را ادعا کند، در محدوده‌ی sandboxی گیر افتاده که نمی‌تواند از آن بیرون بیاید. کاری که خودتان می‌توانید بکنید بررسی اعلان‌های تهدید Apple، پروفایل‌های پیکربندی غیرمنتظره، برنامه‌هایی با مجوزهای بیش از حد، ردپاهای جیلبریک، و مصرفی است که با عادت‌های شما جور درنمی‌آید. فراتر از این، تنها پاسخ واقعی تحلیل از روی کامپیوتر است.
و اگر چیزی پیدا کردید و ممکن است کسی از اطرافیان‌تان پشت آن باشد، پیش از دست زدن به هر چیزی مشورت بگیرید. اسکن، بخش آسان کار است.
منابع
- Apple، درباره‌ی اعلان‌های تهدید Apple و محافظت در برابر جاسوس‌افزارهای مزدور: support.apple.com/en-us/102174
- آزمایشگاه امنیت Amnesty International، گزارش روش‌شناسی فارنزیک: چگونه Pegasus ساخت NSO Group را شناسایی کنیم: amnesty.org
- Mobile Verification Toolkit: mvt.re
- Coalition Against Stalkerware، اطلاعات برای بازماندگان: stopstalkerware.org/information-for-survivors
مطالب مرتبط: چگونه جاسوس‌افزار را در Android تشخیص دهیم، نشانه‌های استاکرور و کارهایی که نباید بکنید، بررسی iPhone برای Pegasus، بررسی‌های رایگان جاسوس‌افزار که واقعاً جواب می‌دهند، و چگونه جاسوس‌افزار را با خیال راحت حذف کنیم.