بیشتر مقاله‌ها درباره‌ی Pegasus به شما می‌گویند چیست. تعداد خیلی کمی می‌گویند چطور بفهمید روی گوشی شما هست یا نه. این مقاله درباره‌ی سؤال دوم است، از جمله بخش‌هایی که خوشایند نیستند.
با یک چارچوب صادقانه شروع کنیم: Pegasus تهدیدی برای عموم مردم نیست. شرکت NSO Group آن را به مشتریان دولتی می‌فروشد، هر بار به کار گرفتنش پرهزینه است، و افراد مشخصی را هدف می‌گیرد، معمولاً روزنامه‌نگاران، مدافعان حقوق بشر، وکلا، سیاستمداران مخالف و دیپلمات‌ها. اگر نگرانید چون گوشی‌تان کند شده، به احتمال بسیار زیاد توضیحش این است که گوشی‌تان کند شده است.
اما افراد هدف، در عدد مطلق، کم هم نیستند. Apple از ۲۰۲۱ تاکنون به کاربرانی در بیش از ۱۵۰ کشور اعلان تهدید فرستاده، و فقط یک دور از این اعلان‌ها در آوریل ۲۰۲۴ به افرادی در ۹۲ کشور رسید. اگر کارتان شما را به هدفی محتمل تبدیل می‌کند، این سؤال سزاوار یک جواب واقعی است، نه دلداری.
چرا با نگاه کردن به گوشی نمی‌توانید Pegasus را تشخیص دهید
Pegasus بدون کلیک (zero-click) است. هیچ لینک مشکوکی نیست که از آن دوری نکرده باشید، هیچ آیکونی نیست که ببینید، هیچ پنجره‌ی مجوزی نیست که تأییدش کرده باشید. از طریق iMessage و دیگر پیام‌رسان‌ها، بدون هیچ تعاملی، منتقل شده است. وقتی مستقر شود، می‌تواند به پیام‌ها، ایمیل، تماس‌ها، دوربین، میکروفون و موقعیت مکانی دسترسی پیدا کند.
همچنین عمداً بی‌سروصداست. برخی گونه‌هایش فقط در حافظه زندگی می‌کنند، یعنی یک ری‌استارت آن‌ها را از بین می‌برد، و بیشتر شواهد را هم همراهشان پاک می‌کند. گونه‌های دیگری دیده شده‌اند که پشت سر خود فایل‌های گزارش را پاک‌سازی می‌کنند.
یعنی فهرست معمول توصیه‌ها، مراقب تخلیه‌ی باتری باشید، دنبال برنامه‌های ناشناس بگردید، پاپ‌آپ‌ها را بررسی کنید، اینجا تقریباً بی‌فایده است. این علائم مربوط به استاکرورهای تجاری‌اند، که تهدیدی متفاوت با بودجه‌ای متفاوت است. در برابر جاسوس‌افزار در سطح دولتی، نبودِ علائم هیچ چیزی به شما نمی‌گوید.
دقیقاً یک دسته از جواب‌ها کار می‌کند: تحلیل فارنزیک داده‌های گوشی از بیرون گوشی.
سه بررسی که ارزش انجام دادن دارند، به ترتیب
۱. ببینید آیا Apple پیش‌تر به شما خبر داده است
Apple به کسانی که فکر می‌کند به‌طور فردی هدف قرار گرفته‌اند اطلاع می‌دهد. این باارزش‌ترین بررسی موجود است، دو دقیقه وقت می‌گیرد و رایگان است.
در account.apple.com وارد شوید و دنبال هشداری در بالای صفحه بگردید. Apple علاوه بر این یک ایمیل و یک iMessage به نشانی‌های مرتبط با Apple ID شما می‌فرستد.
دو نکته را در نظر داشته باشید. یک اعلان، مدرک محکمی است که هدف قرار گرفته‌اید، اما نبودنش مدرکی بر هدف نبودن شما نیست، چون تشخیص Apple نمی‌تواند کامل باشد. و چون این اعلان‌ها نگران‌کننده‌اند و به‌طور گسترده درباره‌شان خبر منتشر شده، به‌شدت جعل می‌شوند: یک اعلان واقعی هرگز از شما نمی‌خواهد روی لینکی بزنید، نرم‌افزاری نصب کنید، پیوستی باز کنید یا رمز عبوری بدهید.
۲. سوابق خودِ گوشی را بررسی کنید
ردپاها روی دستگاه باقی می‌مانند، در جاهایی که برنامه‌ها به آن دسترسی ندارند:
- پایگاه‌داده‌هایی که ثبت می‌کنند کدام پردازش‌ها و کی از شبکه استفاده کرده‌اند
- گزارش‌های خرابی (crash log) از تلاش‌های ناموفق برای اکسپلویت
- یک فایل سیستمی که خاموش شدن‌ها را ثبت می‌کند و می‌تواند ناهنجاری‌های اطراف یک آلودگی را نگه دارد
- فراداده‌ی پیوست‌های پیام‌ها و ردپاهای حافظه‌ی نهان (cache)
آزمایشگاه امنیت Amnesty International زنجیره‌ی آلودگی Pegasus را دقیقاً از همین نوع داده‌ها بازسازی کرد، و هم روش‌شناسی و هم ابزارها را در ژوئیه‌ی ۲۰۲۱ به‌عنوان بخشی از Pegasus Project منتشر کرد. ابزار متن‌باز آن‌ها، Mobile Verification Toolkit که معمولاً MVT نامیده می‌شود، یک نسخه‌ی پشتیبان iPhone را با نشانه‌های نفوذ (indicators of compromise) مقایسه می‌کند: دامنه‌ها، نام پردازش‌ها و ردپاهای فایلی مرتبط با کارزارهای شناخته‌شده.
اگر با ترمینال راحت هستید، MVT پیاده‌سازی مرجع است و رایگان است. آن را با Python نصب می‌کنید، یک نسخه‌ی پشتیبان رمزگذاری‌شده از iPhone تهیه می‌کنید، یک فایل نشانه‌های به‌روز دانلود می‌کنید و تحلیل را اجرا می‌کنید. خروجی مجموعه‌ای از فایل‌های JSON است که بعد باید تفسیرشان کنید.
اگر این جمله دلتان را خالی کرد، مانع واقعی همین است. روش عمومی و درست است؛ فاصله‌ی عملی میان یک روزنامه‌نگار نگران و یک تحلیل فارنزیک کامل، همان چیزی است که بیشتر مردم را متوقف می‌کند. Haris Shield برای پر کردن همین فاصله ساخته شده، با محدودیتی که باید درباره‌اش بدانید. گزارش‌های خرابی را با همان نشانه‌های عمومی مقایسه می‌کند و نتیجه را به‌صورت یک گزارش ارائه می‌دهد، نه به‌صورت JSON. نسخه‌ی فعلی یک نسخه‌ی پشتیبان رمزگذاری‌شده را تحلیل نمی‌کند، پس به‌تنهایی کمتر از یک اجرای کامل MVT می‌خواند؛ وارد کردن یک sysdiagnose پایگاه‌داده‌های مصرف شبکه و اجرای پردازش‌ها را اضافه می‌کند. اگر دلیل مشخصی دارید که باور کنید هدف Pegasus هستید، MVT را روی یک نسخه‌ی پشتیبان رمزگذاری‌شده اجرا کنید یا از آزمایشگاه امنیت Amnesty یا Digital Security Helpline سازمان Access Now کمک بخواهید.
۳. بدانید نتیجه‌ی پاک چه معنایی دارد
تحلیل پاک یعنی هیچ نشانه‌ی شناخته‌شده‌ای در داده‌های بررسی‌شده پیدا نشد. به این معنا نیست که گوشی شما هرگز آلوده نشده است. اگر گونه‌ای که فقط در حافظه زندگی می‌کند وجود داشته و گوشی از آن زمان ری‌استارت شده، ممکن است چیزی برای پیدا کردن باقی نمانده باشد. اگر کارزار علیه شما از ابزاری استفاده کرده که هیچ پژوهشگری هنوز نشانه‌هایش را منتشر نکرده، چیزی برای مقایسه وجود ندارد.
هر کسی که بگوید می‌تواند پاک بودن یک iPhone را تضمین کند، اغراق می‌کند. فارنزیک شواهد را پیدا می‌کند؛ نبودن را ثابت نمی‌کند.
اگر چیزی پیدا شد چه کنید
فوراً ری‌استارت یا بازنشانی کارخانه‌ای نکنید. غریزه‌تان این است که گوشی را پاک کنید. اگر ممکن است بخواهید یافته قابل استفاده باشد، برای وکیل، یک تحریریه، دادگاه، یا پژوهشگرانی که کارزار را دنبال می‌کنند، آن وقت دستگاه و داده‌هایش مدرک‌اند، و بازنشانی آن‌ها را از بین می‌برد.
فرض کنید حساب‌تان، نه فقط گوشی، آلوده شده است. رمز Apple ID و هر رمز مهم دیگری را از یک دستگاه دیگر که به آن اعتماد دارید عوض کنید. ببینید کدام دستگاه‌ها با Apple ID شما وارد شده‌اند و آن‌هایی را که نمی‌شناسید حذف کنید.
از متخصصان کمک بگیرید. چند سازمان این کار را برای افراد در معرض خطر انجام می‌دهند، اغلب بدون هزینه. Access Now یک Digital Security Helpline برای جامعه‌ی مدنی دارد؛ آزمایشگاه امنیت Amnesty پرونده‌های مربوط به مدافعان حقوق بشر را بررسی می‌کند. اگر کارتان شما را در این وضعیت قرار داده، شما دقیقاً همان مخاطبی هستید که این سازمان‌ها برایش کار می‌کنند.
به جنبه‌ی انسانی فکر کنید. اگر روزنامه‌نگارید، منابعی که با شما تماس گرفته‌اند هم ممکن است در معرض خطر باشند. اغلب هدف واقعی همین است.
کاهش خطر از این به بعد
- Lockdown Mode قوی‌ترین اقدام منفردی است که در iOS در دسترس است. بیشتر انواع پیوست پیام، برخی فناوری‌های وب و برخی قابلیت‌های اتصال را غیرفعال می‌کند. Apple اعلام کرده از هیچ حمله‌ی موفق جاسوس‌افزار مزدور علیه دستگاهی که Lockdown Mode در آن روشن بوده اطلاعی ندارد. در تنظیمات، بخش حریم خصوصی و امنیت قرار دارد. گوشی را کمتر راحت می‌کند، و بهای آن همین است.
- فوراً به‌روزرسانی کنید. این زنجیره‌ها به ضعف‌های وصله‌نشده وابسته‌اند؛ تأخیر خودش آسیب‌پذیری است.
- به‌طور منظم ری‌استارت کنید. در برابر گونه‌هایی که در حافظه مستقرند، ری‌استارت آلودگی را از بین می‌برد. شواهد را هم از بین می‌برد، پس اگر به یک آلودگی فعال مشکوکید، پیش از ری‌استارت مشورت بگیرید.
- سطح حمله‌ی خود را کم کنید. پیام‌رسان‌های کمتر، حساب‌های کمتری که غریبه‌ها به آن‌ها دسترسی داشته باشند.
- جداسازی کنید. برای کارهای واقعاً پرخطر، یک دستگاه جداگانه برای مخاطبان حساس، هزینه‌ی یک نفوذ منفرد را محدود می‌کند.
پرسش‌های رایج، به‌اختصار
آیا برنامه‌ای هست که Pegasus را تشخیص دهد؟ در iOS نه. برنامه‌ها در sandbox اجرا می‌شوند و نمی‌توانند سیستم را بررسی کنند، و به همین دلیل همه‌ی روش‌های معتبر تشخیص، از روی کامپیوتر و روی یک نسخه‌ی پشتیبان کار می‌کنند.
آیا بازنشانی کارخانه‌ای آن را حذف می‌کند؟ احتمالاً، اما شواهد را هم حذف می‌کند، و هر چیزی را که باعث شده هدف قرار بگیرید درست نمی‌کند. یک قدم است، نه راه‌حل.
آیا ممکن است بدون کلیک روی چیزی آلوده شوم؟ بله. ویژگی تعیین‌کننده‌ی این کارزارها همین است.
آیا باید نگران باشم؟ اگر روزنامه‌نگار، فعال، وکیل یا چهره‌ی سیاسی هستید، به‌خصوص اگر روی موضوعاتی کار می‌کنید که دولتی آن‌ها را نمی‌پسندد، این سؤال منطقی است و ارزش دارد که به‌درستی حلش کنید. اگر نیستید، و هیچ اتفاق مشخصی شما را به این جست‌وجو نکشانده، جواب تقریباً به‌طور قطع منفی است، و استاکرور معمولی نگرانی بسیار محتمل‌تری است. راهنمای ما برای تشخیص جاسوس‌افزار در iPhone همین حالت را پوشش می‌دهد.
منابع
- آزمایشگاه امنیت Amnesty International، گزارش روش‌شناسی فارنزیک: چگونه Pegasus ساخت NSO Group را شناسایی کنیم: amnesty.org
- Mobile Verification Toolkit: mvt.re و github.com/mvt-project/mvt
- Apple، درباره‌ی اعلان‌های تهدید Apple و محافظت در برابر جاسوس‌افزارهای مزدور: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
مطالب مرتبط: چگونه جاسوس‌افزار را در iPhone تشخیص دهیم، نشانه‌های استاکرور و کارهایی که نباید بکنید، و راهنمای MVT.