Mobile Verification Toolkit, Amnesty International की Security Lab द्वारा प्रकाशित फ़ॉरेंसिक टूल है, और यही Pegasus Project के पीछे का टूल है — 2021 की वह जाँच जिसने भाड़े के स्पाइवेयर को दुनिया भर के अख़बारों के पहले पन्ने पर ला दिया। इसका सोर्स कोड सार्वजनिक है, इसकी कोई क़ीमत नहीं, और कोई भी इसे अपने फ़ोन पर चला सकता है।
हम एक व्यावसायिक प्रोडक्ट बेचते हैं जो इसी तरह का विश्लेषण करता है, इसलिए इसे पढ़ते समय यह बात ध्यान में रखें। MVT बेहतरीन है। तकनीकी रूप से सहज व्यक्ति के लिए शायद यही काफ़ी हो, और यह गाइड आपको इसका इस्तेमाल करने में मदद के लिए लिखी गई है, आपको इससे दूर करने के लिए नहीं।
MVT असल में क्या करता है
MVT आपके फ़ोन को उस तरह स्कैन नहीं करता जैसे कोई एंटीवायरस कंप्यूटर को स्कैन करता है। वह फ़ोन में पहले से मौजूद डेटा निकालता है और उसकी तुलना घुसपैठ के प्रकाशित संकेतों से करता है: वे डोमेन जिनसे जाना-पहचाना स्पाइवेयर संपर्क करता है, वे प्रक्रिया-नाम जो वह बनाता है, वे फ़ाइल पाथ जो वह पीछे छोड़ता है, और वे क्रैश पैटर्न जो वह पैदा करता है।
यही फ़र्क़ उसकी ताक़त और उसकी सीमाएँ, दोनों समझाता है। वह फ़ोन से ख़ुद का आकलन करने को कहने के बजाय सबूत पढ़ता है, और इसीलिए वह ऐसी चीज़ें ढूँढ सकता है जो फ़ोन पर चलने वाला कोई ऐप नहीं ढूँढ सकता। और वह सिर्फ़ वही ढूँढता है जिसके संकेत कोई पहले ही प्रकाशित कर चुका है, यानी जिस अभियान को अभी तक किसी ने दर्ज नहीं किया, वह उसे दिखाई नहीं देता।
iOS पर वह iTunes या Finder बैकअप का विश्लेषण करता है, जहाँ काम की सामग्री होती है: क्रैश लॉग, एक डेटाबेस जो दर्ज करता है कि किन प्रक्रियाओं ने कब नेटवर्क इस्तेमाल किया, शटडाउन दर्ज करने वाली सिस्टम फ़ाइल, Safari हिस्ट्री और संदेशों के अटैचमेंट का मेटाडेटा। एन्क्रिप्टेड बैकअप में बिना एन्क्रिप्शन वाले बैकअप से काफ़ी ज़्यादा जानकारी होती है, और यह बात लोगों को हैरान करती है।
Android पर वह ADB के ज़रिए काम करता है: इंस्टॉल किए गए पैकेजों की सूची बनाता है, सिस्टम लॉग निकालता है और उन्हें संकेतों के उन्हीं सेट से मिलाता है। वह Android बैकअप का विश्लेषण भी कर सकता है और APK फ़ाइलें स्कैन कर सकता है।
इसे चलाने में असल में क्या लगता है
ईमानदार हिस्सा, जिसे डाउनलोड पेज अक्सर छोड़ देते हैं।
आपको एक कंप्यूटर चाहिए, macOS या Linux। Windows का ठीक से समर्थन नहीं है; लोग WSL इस्तेमाल करते हैं।
आपको Python और टर्मिनल में सहज होना चाहिए। MVT, pip से इंस्टॉल होता है:
pip install mvt
इससे आपको दो कमांड मिलती हैं, mvt-ios और mvt-android।
आपको iPhone का एन्क्रिप्टेड बैकअप चाहिए। इसे macOS पर Finder से या iTunes से बनाएँ, एन्क्रिप्शन वाला विकल्प चालू करके, और पासवर्ड याद रखें। MVT विश्लेषण के लिए इसे डिक्रिप्ट करता है:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
आपको संकेतों वाली फ़ाइलें (indicator files) चाहिए। MVT प्रकाशित सेट ख़ुद ला सकता है:
mvt-ios download-iocs
फिर ख़ुद विश्लेषण:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Android के लिए ADB के ज़रिए, developer options और USB डीबगिंग चालू करके:
mvt-android check-adb --iocs indicators.stix2 --output results/
फ़्लैग और कमांड के नाम रिलीज़ के बीच बदलते रहते हैं। सटीक सिंटैक्स के लिए किसी भी ट्यूटोरियल पर, इस वाले पर भी, भरोसा करने के बजाय docs.mvt.re पर मौजूदा दस्तावेज़ देखें।
फिर आप आउटपुट पढ़ते हैं, जो JSON फ़ाइलों की एक डायरेक्टरी और पहचानों (detections) का एक सेट होता है। यही वह हिस्सा है जहाँ ज़्यादातर लोग अटक जाते हैं। फ़ाइलें टाइमलाइन और निकाले गए रिकॉर्ड होती हैं; उनका मतलब समझने के लिए यह पता होना चाहिए कि सामान्य iPhone कैसा दिखता है, ताकि आप वह पहचान सकें जो सामान्य नहीं है।
सच कहें तो: अगर आप रोज़ टर्मिनल में काम करते हैं तो एक दोपहर, और अगर नहीं करते तो एक दीवार।
नतीजा कैसे पढ़ें
यह इंस्टॉलेशन से ज़्यादा मायने रखता है, और यहीं लोग दोनों तरफ़ ग़लती करते हैं।
कोई पहचान (detection) गंभीर है, लेकिन अपने-आप में सब कुछ नहीं बताती। MVT उसे चिह्नित करता है जो किसी संकेत से मेल खाता है। इसका मतलब क्या है और यह कब हुआ, इसकी पुष्टि का विश्लेषण आपको फिर भी करना होगा।
कोई पहचान न होने का मतलब साफ़ फ़ोन नहीं है। इसका मतलब है कि आपके दिए संकेतों से कुछ मेल नहीं खाया। नए अभियान, बिना दर्ज किए गए टूल, और आपके बैकअप से पहले के संक्रमण, सब शांत नतीजा ही देते हैं। Amnesty इस बारे में साफ़ कहता है, और इस टूल के बारे में सबसे ज़्यादा ग़लत समझी जाने वाली बात यही है।
कुछ नतीजे बस दिलचस्प होते हैं। टाइमलाइन में बहुत-सी सामान्य गतिविधि दिखती है जो डरावनी लगती है, अगर आपने पहले कभी फ़ोन के अंदरूनी हिस्से नहीं देखे।
कब MVT सही जवाब है
- आप टर्मिनल में काम करते हैं और JSON से घबराते नहीं।
- आप पत्रकार, कार्यकर्ता, वकील या शोधकर्ता हैं जो सचमुच निशाने पर हो सकते हैं, और आपको ऐसा टूल चाहिए जिसका तरीक़ा सार्वजनिक हो और जिसकी जाँच की जा सके।
- आप ऐसी चीज़ चाहते हैं जिसका नतीजे में कोई व्यावसायिक हित न हो — किसी सुरक्षा टूल से यह चाहना बिल्कुल वाजिब है, और यह MVT का उन सब पर असली फ़ायदा है जो कोई भी आपको बेचता है, हम भी।
- आप पेशेवर तौर पर किसी और के डिवाइस का विश्लेषण कर रहे हैं और आपको ऐसा तरीक़ा चाहिए जो दर्ज हो और जिसका बचाव किया जा सके।
कब नहीं
- आप चिंतित हैं, तकनीकी नहीं, और आपको इसी हफ़्ते जवाब चाहिए।
- संभावित समस्या किसी जान-पहचान वाले द्वारा इंस्टॉल किया गया व्यावसायिक स्टॉकरवेयर है, जो भाड़े के स्पाइवेयर से कहीं ज़्यादा आम है। वह अनुमतियों वाली स्क्रीनों पर दिख जाता है; उसे ढूँढने के लिए फ़ॉरेंसिक की ज़रूरत नहीं। Android या iPhone से शुरुआत करें।
- आपको किसी वकील, अधिकारी या सहायता कार्यकर्ता के लिए दस्तावेज़ चाहिए। MVT का आउटपुट सबूत है, लेकिन पढ़ने लायक़ रिपोर्ट नहीं।
- आपको एक बार नहीं, बार-बार जाँच करनी है।
Haris Shield क्या अलग करता है
यह वही सार्वजनिक संकेत इस्तेमाल करता है, MVT प्रोजेक्ट के संकेतों के सेट, जिन्हें हमारा सर्वर हर रात एक हस्ताक्षरित बंडल में दोबारा तैयार करता है। यह कंप्यूटर से उन्हीं में से कुछ निशानों की जाँच करता है, लेकिन वह सब नहीं करता जो MVT करता है। मौजूदा वर्ज़न iPhone के एन्क्रिप्टेड बैकअप का विश्लेषण नहीं करता। iPhone पर यह वह पढ़ता है जो फ़ोन केबल के ज़रिए देता है: क्रैश लॉग, configuration और provisioning प्रोफ़ाइल और सुरक्षा सेटिंग्स, और अगर आप sysdiagnose इम्पोर्ट करें तो वह भी, जिससे नेटवर्क इस्तेमाल और प्रक्रियाओं के चलने वाले डेटाबेस जुड़ जाते हैं। Android पर यह डिवाइस को ADB के ज़रिए पढ़ता है, जैसे MVT करता है। यह कैसे काम करता है में हर चीज़ की सूची है।
यह टर्मिनल वाला काम हटा देता है: आपको macOS, Windows और Linux के लिए एक ग्राफ़िकल ऐप्लिकेशन मिलता है, संकेत आपके लिए अपडेट रखे जाते हैं, और एक रिपोर्ट मिलती है जिसमें हर नतीजे का जोखिम स्तर होता है, जिसे आप PDF के रूप में सेव करके किसी और को दे सकते हैं।
हम यह दावा नहीं करते कि हम वह ढूँढ लेते हैं जो MVT नहीं ढूँढ सकता। iPhone पर, पूरे एन्क्रिप्टेड बैकअप पर चलाया गया MVT हमारे मौजूदा वर्ज़न से ज़्यादा पढ़ता है। जहाँ Amnesty के संकेत सबसे अच्छे उपलब्ध हैं, वहाँ कोई भी समझदार उन्हीं पर निर्माण करता है।
अगर आप MVT चला सकते हैं और चलाना चाहते हैं, तो MVT चलाइए।
अगर आपको कुछ मिले
अगर आपकी ज़िंदगी का कोई व्यक्ति शामिल हो सकता है, तो फ़ोन तुरंत साफ़ न करें — हटाने से उसे सूचना जा सकती है और सबूत मिट जाते हैं। और अगर आप किसी सरकारी स्तर के तत्व के निशाने पर हो सकते हैं, तो उन लोगों से मदद लें जिनका यही काम है: Amnesty की Security Lab और Access Now की Digital Security Helpline, दोनों जोखिम में पड़े लोगों की मुफ़्त मदद करती हैं। स्पाइवेयर कैसे हटाएँ, बिना उसे इंस्टॉल करने वाले को भनक लगे में क़दमों का क्रम दिया गया है।
संक्षेप में
MVT असली औज़ार है: Pegasus Project के पीछे का टूल, Amnesty की Security Lab द्वारा प्रकाशित, मुफ़्त, सार्वजनिक तरीक़े के साथ। यह iPhone के एन्क्रिप्टेड बैकअप का या ADB के ज़रिए Android डिवाइस का विश्लेषण, घुसपैठ के प्रकाशित संकेतों के आधार पर करता है।
यह Python, टर्मिनल और फ़ॉरेंसिक आउटपुट समझने की क्षमता भी मानकर चलता है, और साफ़ नतीजे का मतलब सिर्फ़ इतना है कि आपके दिए संकेतों से कुछ मेल नहीं खाया। अगर यह आप पर फ़िट बैठता है, तो इसे इस्तेमाल करें। अगर नहीं, तो टूल से ज़्यादा तरीक़ा मायने रखता है — विश्लेषण कंप्यूटर से करवाइए, किसी भी चीज़ से, बजाय उस फ़ोन पर चलने वाले स्कैनर पर भरोसा करने के जिसकी आप पुष्टि करना चाहते हैं।
स्रोत
- Mobile Verification Toolkit: mvt.re और दस्तावेज़ docs.mvt.re पर
- MVT का सोर्स कोड: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
इसे भी पढ़ें: iPhone में Pegasus की जाँच, स्पाइवेयर की मुफ़्त जाँच: क्या काम करता है और क्या धोखा है।