Le Mobile Verification Toolkit est l’outil d’analyse forensique publié par le Security Lab d’Amnesty International, et c’est l’outil qui se trouve derrière le Projet Pegasus — l’enquête de 2021 qui a fait des logiciels espions mercenaires un sujet de une dans le monde entier. Son code source est public, il ne coûte rien, et n’importe qui peut l’utiliser sur son propre téléphone.
Nous vendons un produit commercial qui effectue une analyse du même type : lisez donc cet article en gardant cela à l’esprit. MVT est excellent. Pour une personne à l’aise avec la technique, il peut suffire, et ce guide est écrit pour vous aider à l’utiliser, pas pour vous en dissuader.
Ce que fait réellement MVT
MVT n’analyse pas votre téléphone comme un antivirus analyse un ordinateur. Il extrait des données que le téléphone contient déjà et les compare à des indicateurs de compromission publiés : domaines que contactent des logiciels espions connus, noms de processus qu’ils créent, chemins de fichiers qu’ils laissent derrière eux, schémas de plantage qu’ils produisent.
Cette distinction explique à la fois sa force et ses limites. Il lit des preuves au lieu de demander au téléphone de s’évaluer lui-même, et c’est pourquoi il peut trouver des choses qu’aucune application installée sur l’appareil ne pourrait trouver. Mais il ne trouve que ce pour quoi quelqu’un a déjà publié des indicateurs, ce qui signifie qu’une campagne que personne n’a encore documentée lui est invisible.
Sur iOS, il analyse une sauvegarde iTunes ou Finder, c’est-à-dire l’endroit où se trouvent les éléments intéressants : journaux de plantage, base de données qui enregistre quels processus ont utilisé le réseau et à quel moment, fichier système qui enregistre les arrêts de l’appareil, historique de Safari et métadonnées des pièces jointes des messages. Une sauvegarde chiffrée contient sensiblement plus d’informations qu’une sauvegarde non chiffrée, ce qui surprend souvent.
Sur Android, il fonctionne via ADB : il recense les paquets installés, récupère les journaux du système et les compare aux mêmes ensembles d’indicateurs. Il peut aussi analyser une sauvegarde Android et examiner des fichiers APK.
Ce que son utilisation implique réellement
La partie honnête, que les pages de téléchargement ont tendance à passer sous silence.
Il vous faut un ordinateur, sous macOS ou Linux. Windows n’est pas vraiment pris en charge ; certains passent par WSL.
Il faut être à l’aise avec Python et un terminal. MVT s’installe avec pip :
pip install mvt
Vous obtenez ainsi deux commandes, mvt-ios et mvt-android.
Il vous faut une sauvegarde chiffrée de l’iPhone. Créez-la avec le Finder sur macOS ou avec iTunes, en activant l’option de chiffrement, et retenez le mot de passe. MVT la déchiffre pour l’analyse :
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Il vous faut des fichiers d’indicateurs. MVT peut récupérer les ensembles publiés :
mvt-ios download-iocs
Puis vient l’analyse elle-même :
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Pour Android via ADB, avec les options pour les développeurs et le débogage USB activés :
mvt-android check-adb --iocs indicators.stix2 --output results/
Les options et les noms de commandes changent d’une version à l’autre. Consultez la documentation à jour sur docs.mvt.re plutôt que de vous fier à un tutoriel, celui-ci compris, pour la syntaxe exacte.
Ensuite, il faut lire les résultats, c’est-à-dire un dossier de fichiers JSON accompagné d’une série de détections. C’est l’étape qui arrête la plupart des gens. Les fichiers sont des chronologies et des enregistrements extraits ; pour les interpréter, il faut savoir à quoi ressemble un iPhone normal afin de remarquer ce qui ne l’est pas.
Soyons réalistes : un après-midi si vous travaillez tous les jours dans un terminal, un mur infranchissable dans le cas contraire.
Comment interpréter le résultat
C’est plus important que l’installation, et c’est là que l’on se trompe, dans un sens comme dans l’autre.
Une détection est sérieuse, mais elle ne s’explique pas d’elle-même. MVT signale ce qui correspond à un indicateur. Confirmer ce que cela signifie, et à quel moment cela s’est produit, reste une analyse à faire.
Aucune détection ne veut pas dire que le téléphone est sain. Cela veut dire que rien ne correspondait aux indicateurs que vous avez fournis. Les nouvelles campagnes, les outils non documentés et les infections antérieures à votre sauvegarde produisent tous un résultat muet. Amnesty le dit explicitement, et c’est l’aspect le plus mal compris de l’outil.
Certains résultats sont simplement intéressants. Les chronologies montrent beaucoup d’activité ordinaire, qui peut paraître alarmante si vous n’avez jamais vu les rouages internes d’un téléphone.
Quand MVT est la bonne réponse
- Vous travaillez dans un terminal et le JSON ne vous rebute pas.
- Vous êtes journaliste, militant, avocat ou chercheur et vous pourriez être une véritable cible, et vous voulez un outil dont la méthode est publique et vérifiable.
- Vous voulez un outil qui n’a aucun intérêt commercial dans le résultat — une exigence tout à fait raisonnable envers un outil de sécurité, et un véritable avantage de MVT sur tout ce que l’on peut vous vendre, nous compris.
- Vous analysez l’appareil de quelqu’un d’autre dans un cadre professionnel et vous avez besoin d’une méthode documentée et défendable.
Quand ce ne l’est pas
- Vous êtes inquiet, vous n’êtes pas technicien et vous avez besoin d’une réponse cette semaine.
- Le problème probable est un logiciel de traque commercial (stalkerware) installé par quelqu’un que vous connaissez, ce qui est bien plus courant qu’un logiciel espion mercenaire. Ce type de logiciel apparaît dans les écrans d’autorisations ; nul besoin d’analyse forensique pour le trouver. Commencez par Android ou iPhone.
- Vous avez besoin de documents pour un avocat, un policier ou un travailleur social. Les résultats de MVT constituent des éléments de preuve, mais ce n’est pas un rapport lisible.
- Vous avez besoin de vérifier régulièrement, pas une seule fois.
Ce que Haris Shield fait différemment
Il utilise les mêmes indicateurs publics, les ensembles d’indicateurs du projet MVT, que notre serveur reconstruit chaque nuit sous la forme d’un paquet signé. Il vérifie depuis un ordinateur une partie des mêmes traces, mais il ne fait pas tout ce que fait MVT. La version actuelle n’analyse pas de sauvegarde chiffrée d’iPhone. Sur iPhone, il lit ce que le téléphone expose par le câble : journaux de plantage, profils de configuration et de provisionnement et réglages de sécurité, ainsi qu’un sysdiagnose si vous en importez un, ce qui ajoute les bases de données d’utilisation du réseau et d’exécution des processus. Sur Android, il lit l’appareil via ADB, comme MVT. La page Fonctionnement détaille chaque élément.
Ce qu’il vous épargne, c’est le travail dans le terminal : vous disposez d’une application graphique pour macOS, Windows et Linux, d’indicateurs tenus à jour pour vous, et d’un rapport indiquant un niveau de risque pour chaque résultat, que vous pouvez enregistrer en PDF et remettre à quelqu’un d’autre.
Ce que nous ne prétendons pas, c’est trouver des choses que MVT ne trouve pas. Sur iPhone, MVT exécuté sur une sauvegarde chiffrée complète lit davantage de données que notre version actuelle. Là où les indicateurs d’Amnesty sont les meilleurs disponibles, c’est sur eux que toute personne sensée s’appuie.
Si vous savez utiliser MVT et que vous en avez envie, utilisez MVT.
Si vous trouvez quelque chose
Ne nettoyez pas le téléphone immédiatement si quelqu’un de votre entourage est peut-être impliqué : la suppression peut l’alerter et détruit des preuves. Et si vous êtes peut-être la cible d’un acteur étatique, faites-vous aider par des personnes dont c’est le métier : le Security Lab d’Amnesty et la Digital Security Helpline d’Access Now aident tous deux gratuitement les personnes exposées. Comment supprimer un logiciel espion sans alerter la personne qui l’a installé explique la marche à suivre.
En bref
MVT est un outil sérieux : c’est l’outil derrière le Projet Pegasus, publié par le Security Lab d’Amnesty, gratuit, avec une méthode publique. Il analyse une sauvegarde chiffrée d’iPhone ou un appareil Android via ADB en le comparant à des indicateurs de compromission publiés.
Il suppose aussi de maîtriser Python, un terminal et l’interprétation de résultats d’analyse forensique, et un résultat négatif signifie seulement que rien ne correspondait aux indicateurs fournis. Si cela vous correspond, utilisez-le. Sinon, la méthode compte plus que l’outil : faites faire l’analyse depuis un ordinateur, par un outil ou un autre, plutôt que de vous fier à un scanner qui tourne sur le téléphone même que vous cherchez à vérifier.
Sources
- Mobile Verification Toolkit : mvt.re et documentation sur docs.mvt.re
- Code source de MVT : github.com/mvt-project/mvt
- Amnesty International Security Lab, rapport méthodologique d’analyse forensique : comment détecter Pegasus de NSO Group : amnesty.org
- Access Now Digital Security Helpline : accessnow.org/help
À lire aussi : vérifier si Pegasus est sur votre iPhone, vérifications gratuites : ce qui marche, et ce qui relève de l’arnaque.