Mobile Verification Toolkit adalah alat forensik yang diterbitkan oleh Security Lab milik Amnesty International, dan merupakan alat di balik Pegasus Project — investigasi tahun 2021 yang membuat spyware bayaran menjadi berita utama di seluruh dunia. Kode sumbernya terbuka untuk umum, tidak dipungut biaya, dan siapa pun bisa menjalankannya pada ponselnya sendiri.
Kami menjual produk komersial yang melakukan jenis analisis serupa, jadi bacalah artikel ini dengan mengingat hal itu. MVT adalah alat yang luar biasa. Bagi orang yang percaya diri secara teknis, mungkin hanya MVT yang Anda butuhkan, dan panduan ini ditulis untuk membantu Anda menggunakannya, bukan untuk membujuk Anda agar tidak memakainya.
Apa yang sebenarnya dilakukan MVT
MVT tidak memindai ponsel Anda seperti antivirus memindai komputer. MVT mengekstrak data yang sudah tersimpan di ponsel dan membandingkannya dengan indikator kompromi yang telah dipublikasikan: domain yang dihubungi spyware yang sudah dikenal, nama proses yang dibuatnya, jalur file yang ditinggalkannya, dan pola kerusakan (crash) yang ditimbulkannya.
Perbedaan itu menjelaskan kekuatan sekaligus keterbatasannya. MVT membaca bukti alih-alih meminta ponsel menilai dirinya sendiri, dan itulah sebabnya MVT bisa menemukan hal-hal yang tidak bisa ditemukan aplikasi mana pun di perangkat. Namun, MVT hanya menemukan hal-hal yang indikatornya sudah dipublikasikan seseorang, artinya kampanye yang belum didokumentasikan siapa pun tidak akan terlihat olehnya.
Di iOS, MVT menganalisis cadangan iTunes atau Finder, tempat bahan-bahan yang berharga tersimpan: log kerusakan, basis data yang mencatat proses mana yang memakai jaringan dan kapan, file sistem yang mencatat setiap kali ponsel dimatikan, riwayat Safari, dan metadata lampiran pesan. Cadangan terenkripsi berisi jauh lebih banyak data dibandingkan cadangan yang tidak terenkripsi, dan hal ini sering mengejutkan orang.
Di Android, MVT bekerja melalui ADB, mendata paket yang terpasang, menarik log sistem, dan mencocokkannya dengan kumpulan indikator yang sama. MVT juga bisa menganalisis cadangan Android dan memindai file APK.
Apa saja yang diperlukan untuk menjalankannya
Inilah bagian jujur yang cenderung dilewatkan oleh halaman unduhan.
Anda memerlukan komputer, macOS atau Linux. Windows tidak didukung dengan baik; orang biasanya memakai WSL.
Anda harus terbiasa dengan Python dan terminal. MVT dipasang dengan pip:
pip install mvt
Perintah itu memberi Anda dua perintah, mvt-ios dan mvt-android.
Anda memerlukan cadangan iPhone yang terenkripsi. Buat cadangan dengan Finder di macOS atau iTunes, dengan opsi enkripsi diaktifkan, dan ingat kata sandinya. MVT akan mendekripsinya untuk dianalisis:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Anda memerlukan file indikator. MVT bisa mengambil kumpulan indikator yang telah dipublikasikan:
mvt-ios download-iocs
Lalu analisisnya sendiri:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Untuk Android melalui ADB, dengan opsi developer dan proses debug USB diaktifkan:
mvt-android check-adb --iocs indicators.stix2 --output results/
Flag dan nama perintah memang bisa berubah antarversi. Periksa dokumentasi terbaru di docs.mvt.re alih-alih memercayai tutorial mana pun, termasuk yang ini, soal sintaksis persisnya.
Lalu Anda membaca keluarannya, berupa direktori berisi file JSON ditambah sekumpulan deteksi. Inilah bagian yang menghentikan kebanyakan orang. File-file itu berisi linimasa dan catatan yang diekstrak; menafsirkannya berarti Anda harus tahu seperti apa iPhone yang normal agar bisa menyadari apa yang tidak normal.
Secara realistis: satu sore jika Anda bekerja dengan terminal setiap hari, dan tembok tebal jika tidak.
Cara membaca hasilnya
Bagian ini lebih penting daripada pemasangannya, dan di sinilah orang sering keliru ke dua arah.
Sebuah deteksi itu serius, tetapi tidak menjelaskan dirinya sendiri. MVT menandai apa pun yang cocok dengan sebuah indikator. Memastikan apa artinya, dan kapan hal itu terjadi, tetap merupakan analisis yang harus Anda lakukan sendiri.
Tidak ada deteksi bukan berarti ponselnya bersih. Artinya tidak ada yang cocok dengan indikator yang Anda berikan. Kampanye baru, alat yang belum terdokumentasi, dan infeksi yang terjadi sebelum cadangan Anda dibuat semuanya menghasilkan hasil yang sunyi. Amnesty menyatakan hal ini dengan tegas, dan inilah satu-satunya hal yang paling sering disalahpahami tentang alat ini.
Sebagian temuan hanya menarik, bukan berbahaya. Linimasa menampilkan banyak aktivitas biasa yang tampak mengkhawatirkan jika Anda belum pernah melihat isi dalam sebuah ponsel.
Kapan MVT menjadi jawaban yang tepat
- Anda bekerja dengan terminal dan tidak gentar melihat JSON.
- Anda jurnalis, aktivis, pengacara, atau peneliti yang mungkin benar-benar menjadi sasaran, dan Anda menginginkan alat dengan metode yang terbuka dan bisa diaudit.
- Anda menginginkan alat yang tidak punya kepentingan komersial atas hasilnya — hal yang sepenuhnya wajar diharapkan dari alat keamanan, dan keunggulan nyata MVT dibandingkan apa pun yang dijual kepada Anda, termasuk produk kami.
- Anda menganalisis perangkat orang lain secara profesional dan membutuhkan metode yang terdokumentasi dan bisa dipertanggungjawabkan.
Kapan MVT bukan jawabannya
- Anda cemas, bukan orang teknis, dan membutuhkan jawaban minggu ini.
- Kemungkinan masalahnya adalah stalkerware komersial yang dipasang oleh orang yang Anda kenal, yang jauh lebih umum daripada spyware bayaran. Stalkerware semacam itu terlihat di layar-layar izin; Anda tidak memerlukan forensik untuk menemukannya. Mulailah dengan Android atau iPhone.
- Anda membutuhkan dokumentasi untuk pengacara, petugas polisi, atau pendamping korban. Keluaran MVT memang bukti, tetapi bukan laporan yang mudah dibaca.
- Anda perlu memeriksa berulang kali, bukan sekali saja.
Apa yang dilakukan Haris Shield secara berbeda
Haris Shield menggunakan indikator publik yang sama, yaitu kumpulan indikator dari proyek MVT, yang dibangun ulang oleh server kami menjadi paket bertanda tangan setiap malam. Haris Shield memeriksa sebagian jejak yang sama dari komputer, tetapi tidak melakukan semua yang dilakukan MVT. Versi saat ini tidak menganalisis cadangan iPhone yang terenkripsi. Di iPhone, Haris Shield membaca apa yang diungkapkan ponsel melalui kabel: log kerusakan, profil konfigurasi dan profil provisioning, serta setelan keamanan, ditambah sysdiagnose jika Anda mengimpornya, yang menambahkan basis data penggunaan jaringan dan riwayat eksekusi proses. Di Android, Haris Shield membaca perangkat melalui ADB, sama seperti MVT. Halaman cara kerja mencantumkan setiap itemnya.
Yang dihilangkannya adalah pekerjaan di terminal: Anda mendapatkan aplikasi grafis untuk macOS, Windows, dan Linux, indikator yang selalu diperbarui untuk Anda, dan laporan dengan tingkat risiko untuk setiap temuan yang bisa Anda simpan sebagai PDF dan serahkan kepada orang lain.
Yang tidak kami klaim adalah bahwa kami bisa menemukan hal-hal yang tidak bisa ditemukan MVT. Di iPhone, MVT yang dijalankan pada cadangan terenkripsi lengkap membaca lebih banyak data daripada versi kami saat ini. Selama indikator dari Amnesty adalah yang terbaik yang tersedia, indikator itulah yang menjadi landasan bagi siapa pun yang berpikir jernih.
Jika Anda bisa menjalankan MVT dan ingin melakukannya, jalankan MVT.
Jika Anda menemukan sesuatu
Jangan langsung membersihkan ponsel jika mungkin ada seseorang dalam hidup Anda yang terlibat — penghapusan bisa memberi tahu mereka dan menghancurkan bukti. Dan jika Anda mungkin menjadi sasaran aktor tingkat negara, mintalah bantuan dari orang-orang yang memang menekuni pekerjaan ini: Security Lab milik Amnesty dan Digital Security Helpline dari Access Now sama-sama membantu individu yang berisiko, tanpa biaya. Cara menghapus spyware tanpa membuat pemasangnya curiga menjelaskan urutan langkahnya.
Jawaban singkatnya
MVT adalah alat yang sungguhan: alat di balik Pegasus Project, diterbitkan oleh Security Lab milik Amnesty, gratis, dengan metode yang terbuka untuk umum. MVT menganalisis cadangan iPhone yang terenkripsi atau perangkat Android melalui ADB dengan mencocokkannya terhadap indikator kompromi yang telah dipublikasikan.
MVT juga mengasumsikan Anda menguasai Python, terminal, dan kemampuan menafsirkan keluaran forensik, dan hasil yang bersih hanya berarti tidak ada yang cocok dengan indikator yang Anda berikan. Jika itu sesuai dengan Anda, gunakanlah. Jika tidak, metodenya lebih penting daripada alatnya — lakukan analisis dari komputer, dengan alat apa pun, alih-alih memercayai pemindai yang berjalan di ponsel yang justru sedang ingin Anda verifikasi.
Sumber
- Mobile Verification Toolkit: mvt.re dan dokumentasinya di docs.mvt.re
- Kode sumber MVT: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
Bacaan terkait: memeriksa iPhone dari Pegasus, pemeriksaan spyware gratis, mana yang berfungsi dan mana yang penipuan.