Mobile Verification Toolkit ابزار فارنزیکی است که آزمایشگاه امنیت Amnesty International منتشر کرده، و همان ابزاری است که پشت Pegasus Project قرار داشت — تحقیقاتی در سال ۲۰۲۱ که جاسوس‌افزارهای مزدور را به صفحه‌ی اول رسانه‌های سراسر جهان آورد. کد منبعش عمومی است، هزینه‌ای ندارد و هر کسی می‌تواند آن را روی گوشی خودش اجرا کند.
ما یک محصول تجاری می‌فروشیم که نوع مشابهی از تحلیل را انجام می‌دهد، پس این مطلب را با در نظر داشتن این نکته بخوانید. MVT عالی است. برای کسی که به مهارت فنی خود اطمینان دارد ممکن است تنها چیزی باشد که لازم دارد، و این راهنما نوشته شده تا به شما در استفاده از آن کمک کند، نه اینکه شما را از آن منصرف کند.
MVT واقعاً چه کار می‌کند
MVT گوشی شما را آن‌طور که یک آنتی‌ویروس کامپیوتر را اسکن می‌کند اسکن نمی‌کند. داده‌هایی را که گوشی از قبل در خود دارد استخراج می‌کند و آن‌ها را با نشانه‌های منتشرشده‌ی نفوذ (indicators of compromise) مقایسه می‌کند: دامنه‌هایی که جاسوس‌افزارهای شناخته‌شده با آن‌ها تماس می‌گیرند، نام پردازش‌هایی که ایجاد می‌کنند، مسیر فایل‌هایی که به جا می‌گذارند، و الگوهای خرابی‌ای که ایجاد می‌کنند.
همین تفاوت، هم نقطه‌ی قوت و هم محدودیت‌های آن را توضیح می‌دهد. شواهد را می‌خواند، به جای اینکه از گوشی بخواهد خودش را ارزیابی کند، و به همین دلیل می‌تواند چیزهایی پیدا کند که هیچ برنامه‌ای روی خودِ دستگاه نمی‌تواند. و فقط چیزهایی را پیدا می‌کند که کسی پیش‌تر نشانه‌هایشان را منتشر کرده باشد، یعنی کارزاری که هنوز کسی مستندش نکرده برای آن نامرئی است.
در iOS یک نسخه‌ی پشتیبان iTunes یا Finder را تحلیل می‌کند، که همان جایی است که داده‌های ارزشمند قرار دارند: گزارش‌های خرابی (crash log)، پایگاه‌داده‌ای که ثبت می‌کند کدام پردازش‌ها و کی از شبکه استفاده کرده‌اند، فایل سیستمی‌ای که خاموش شدن‌ها را ثبت می‌کند، تاریخچه‌ی Safari و فراداده‌ی پیوست‌های پیام‌ها. یک نسخه‌ی پشتیبان رمزگذاری‌شده به‌طور محسوسی اطلاعات بیشتری از نسخه‌ی رمزگذاری‌نشده دارد، و این مردم را شگفت‌زده می‌کند.
در Android از طریق ADB کار می‌کند: بسته‌های نصب‌شده را فهرست می‌کند، گزارش‌های سیستم را بیرون می‌کشد و آن‌ها را با همان مجموعه‌ی نشانه‌ها مقایسه می‌کند. همچنین می‌تواند یک نسخه‌ی پشتیبان Android را تحلیل کند و فایل‌های APK را اسکن کند.
اجرای آن واقعاً چه چیزهایی لازم دارد
بخش صادقانه‌ی ماجرا، که صفحه‌های دانلود معمولاً از آن می‌گذرند.
به یک کامپیوتر نیاز دارید، با macOS یا Linux. Windows به‌درستی پشتیبانی نمی‌شود؛ کاربران از WSL استفاده می‌کنند.
باید با Python و ترمینال راحت باشید. MVT با pip نصب می‌شود:
pip install mvt
این کار دو فرمان در اختیارتان می‌گذارد: mvt-ios و mvt-android.
به یک نسخه‌ی پشتیبان رمزگذاری‌شده از iPhone نیاز دارید. آن را با Finder در macOS یا با iTunes بسازید، با گزینه‌ی رمزگذاری روشن، و رمزش را به خاطر بسپارید. MVT آن را برای تحلیل رمزگشایی می‌کند:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
به فایل‌های نشانه‌ها نیاز دارید. MVT می‌تواند مجموعه‌های منتشرشده را دریافت کند:
mvt-ios download-iocs
سپس خودِ تحلیل:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
برای Android از طریق ADB، با گزینه‌های توسعه‌دهنده (developer options) و اشکال‌زدایی USB (USB debugging) فعال:
mvt-android check-adb --iocs indicators.stix2 --output results/
پرچم‌ها (flags) و نام فرمان‌ها از نسخه‌ای به نسخه‌ی دیگر تغییر می‌کنند. برای نحو دقیق، مستندات فعلی را در docs.mvt.re ببینید و به هیچ آموزشی، از جمله همین آموزش، اعتماد نکنید.
بعد خروجی را می‌خوانید، که یک پوشه از فایل‌های JSON به‌علاوه‌ی مجموعه‌ای از موارد شناسایی‌شده است. این همان بخشی است که بیشتر مردم را متوقف می‌کند. فایل‌ها خط زمانی‌ها و سوابق استخراج‌شده‌اند؛ تفسیرشان یعنی بدانید یک iPhone معمولی چه شکلی دارد تا متوجه شوید چه چیزی معمولی نیست.
به‌طور واقع‌بینانه: اگر هر روز با ترمینال کار می‌کنید، یک بعدازظهر؛ و اگر نه، یک دیوار.
چطور نتیجه را بخوانید
این از نصب مهم‌تر است، و همان جایی است که مردم در هر دو جهت اشتباه می‌کنند.
یک مورد شناسایی‌شده جدی است اما خودبه‌خود گویا نیست. MVT هر چیزی را که با یک نشانه جور دربیاید علامت می‌زند. تأیید اینکه معنایش چیست و کی اتفاق افتاده، تحلیلی است که هنوز باید خودتان انجام دهید.
نبودِ مورد شناسایی‌شده به معنای پاک بودن گوشی نیست. یعنی هیچ چیزی با نشانه‌هایی که شما داده‌اید جور درنیامده است. کارزارهای جدید، ابزارهای مستندنشده و آلودگی‌هایی که پیش از تهیه‌ی نسخه‌ی پشتیبان شما رخ داده‌اند، همگی نتیجه‌ای بی‌سروصدا ایجاد می‌کنند. Amnesty در این باره صریح است، و این بدفهمیده‌ترین نکته درباره‌ی این ابزار است.
بعضی یافته‌ها فقط جالب‌اند. خط زمانی‌ها فعالیت‌های معمولی زیادی را نشان می‌دهند که اگر پیش‌تر درون یک گوشی را ندیده باشید نگران‌کننده به نظر می‌رسند.
جاهایی که MVT پاسخ درست است
- با ترمینال کار می‌کنید و JSON شما را فراری نمی‌دهد.
- روزنامه‌نگار، فعال، وکیل یا پژوهشگری هستید که ممکن است واقعاً هدف باشید، و ابزاری با روشی عمومی و قابل بازرسی می‌خواهید.
- چیزی می‌خواهید که هیچ نفع تجاری در نتیجه نداشته باشد — خواسته‌ای کاملاً منطقی از یک ابزار امنیتی، و برتری واقعی MVT بر هر چیزی که کسی به شما می‌فروشد، از جمله ما.
- به‌طور حرفه‌ای دستگاه شخص دیگری را تحلیل می‌کنید و به روشی مستند و قابل دفاع نیاز دارید.
جاهایی که نیست
- نگرانید، فنی نیستید، و همین هفته به جواب نیاز دارید.
- مشکل محتمل، استاکرور تجاری‌ای است که کسی که می‌شناسید نصبش کرده، که بسیار رایج‌تر از جاسوس‌افزار مزدور است. این نوع در صفحه‌های مجوزها دیده می‌شود؛ برای پیدا کردنش به فارنزیک نیازی ندارید. با Android یا iPhone شروع کنید.
- برای وکیل، مأمور پلیس یا مددکار به مستندات نیاز دارید. خروجی MVT مدرک است، اما گزارشی خوانا نیست.
- باید به‌طور مکرر بررسی کنید، نه فقط یک بار.
تفاوت کار Haris Shield
از همان نشانه‌های عمومی استفاده می‌کند، یعنی مجموعه‌ی نشانه‌های پروژه‌ی MVT، که سرور ما هر شب آن‌ها را در قالب یک بسته‌ی امضاشده بازسازی می‌کند. برخی از همان ردپاها را از روی کامپیوتر بررسی می‌کند، اما همه‌ی کارهای MVT را انجام نمی‌دهد. نسخه‌ی فعلی یک نسخه‌ی پشتیبان رمزگذاری‌شده‌ی iPhone را تحلیل نمی‌کند. در iPhone چیزهایی را می‌خواند که گوشی از طریق کابل در اختیار می‌گذارد: گزارش‌های خرابی، پروفایل‌های پیکربندی و تأمین (provisioning) و تنظیمات امنیتی، به‌علاوه‌ی یک sysdiagnose اگر آن را وارد کنید، که پایگاه‌داده‌های مصرف شبکه و اجرای پردازش‌ها را هم اضافه می‌کند. در Android دستگاه را از طریق ADB می‌خواند، همان‌طور که MVT می‌خواند. صفحه‌ی چگونه کار می‌کند همه‌ی موارد را فهرست کرده است.
آنچه حذف می‌کند، کار با ترمینال است: یک برنامه‌ی گرافیکی برای macOS، Windows و Linux دریافت می‌کنید، نشانه‌ها برایتان به‌روز نگه داشته می‌شوند، و گزارشی می‌گیرید که برای هر یافته سطح خطر دارد و می‌توانید آن را به‌صورت PDF ذخیره کنید و به شخص دیگری بدهید.
آنچه ادعا نمی‌کنیم این است که چیزهایی پیدا می‌کنیم که MVT نمی‌تواند. در iPhone، MVT وقتی روی یک نسخه‌ی پشتیبان رمزگذاری‌شده‌ی کامل اجرا شود، بیشتر از نسخه‌ی فعلی ما می‌خواند. جایی که نشانه‌های Amnesty بهترین گزینه‌ی موجودند، همان چیزی‌اند که هر آدم عاقلی بر پایه‌اش می‌سازد.
اگر می‌توانید MVT را اجرا کنید و می‌خواهید، MVT را اجرا کنید.
اگر چیزی پیدا کردید
اگر ممکن است کسی از اطرافیان‌تان دخیل باشد، گوشی را فوراً پاک‌سازی نکنید — حذف می‌تواند به او هشدار بدهد و مدرک را از بین می‌برد. و اگر ممکن است هدف یک بازیگر در سطح دولتی باشید، از کسانی کمک بگیرید که کارشان همین است: آزمایشگاه امنیت Amnesty و Digital Security Helpline سازمان Access Now هر دو به افراد در معرض خطر به‌طور رایگان کمک می‌کنند. مقاله‌ی چگونه جاسوس‌افزار را حذف کنیم، بی‌آنکه کسی که نصبش کرده بو ببرد ترتیب کارها را توضیح می‌دهد.
پاسخ کوتاه
MVT ابزاری واقعی است: ابزار پشت Pegasus Project، منتشرشده توسط آزمایشگاه امنیت Amnesty، رایگان و با روشی عمومی. یک نسخه‌ی پشتیبان رمزگذاری‌شده‌ی iPhone یا یک دستگاه Android را از طریق ADB با نشانه‌های منتشرشده‌ی نفوذ مقایسه می‌کند.
در عین حال فرض می‌کند Python، ترمینال و توانایی تفسیر خروجی فارنزیک را در اختیار دارید، و نتیجه‌ی پاک فقط یعنی هیچ چیزی با نشانه‌هایی که به آن داده‌اید جور درنیامده است. اگر این با شما جور است، از آن استفاده کنید. اگر نیست، روش از ابزار مهم‌تر است — تحلیل را از روی کامپیوتر و با هر ابزاری انجام دهید، به جای اینکه به اسکنری اعتماد کنید که روی همان گوشی‌ای اجرا می‌شود که می‌خواهید راستی‌آزمایی‌اش کنید.
منابع
- Mobile Verification Toolkit: mvt.re و مستندات در docs.mvt.re
- کد منبع MVT: github.com/mvt-project/mvt
- آزمایشگاه امنیت Amnesty International، گزارش روش‌شناسی فارنزیک: چگونه Pegasus ساخت NSO Group را شناسایی کنیم: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
مطالب مرتبط: بررسی iPhone برای Pegasus، بررسی رایگان جاسوس‌افزار: چه چیزی جواب می‌دهد و چه چیزی کلاهبرداری است.