Cek Spyware Pegasus: Cara Mengetahui Apakah iPhone Anda Terinfeksi

Sebagian besar artikel tentang Pegasus menjelaskan apa itu Pegasus. Sangat sedikit yang menjelaskan cara mengetahui apakah Pegasus ada di ponsel Anda. Artikel ini membahas pertanyaan kedua, termasuk bagian-bagian yang tidak mengenakkan.

Mari mulai dengan sudut pandang yang jujur: Pegasus bukan ancaman massal. Pegasus dijual oleh NSO Group kepada klien pemerintah, setiap penggunaannya mahal, dan ditujukan kepada orang-orang tertentu, biasanya jurnalis, pembela hak asasi manusia, pengacara, politisi oposisi, dan diplomat. Jika Anda khawatir karena ponsel Anda lambat, penjelasan yang paling mungkin, jauh di atas yang lain, adalah bahwa ponsel Anda memang lambat.

Namun, orang yang menjadi sasaran tidak bisa dibilang langka jika dilihat dari jumlahnya. Sejak 2021, Apple telah mengirim pemberitahuan ancaman kepada pengguna di lebih dari 150 negara, dan satu gelombang pemberitahuan pada April 2024 saja menjangkau orang-orang di 92 negara. Jika pekerjaan Anda membuat Anda masuk akal dijadikan sasaran, pertanyaan ini layak mendapat jawaban yang sungguh-sungguh, bukan sekadar kata-kata penenang.

Mengapa Anda tidak bisa mendeteksi Pegasus hanya dengan melihat ponsel

Pegasus bersifat zero-click. Tidak ada tautan mencurigakan yang gagal Anda hindari, tidak ada ikon aplikasi yang bisa dilihat, tidak ada dialog izin yang Anda setujui. Pegasus pernah dikirim melalui iMessage dan platform pesan lainnya tanpa interaksi apa pun. Begitu bercokol, Pegasus bisa menjangkau pesan, email, panggilan, kamera, mikrofon, dan lokasi.

Pegasus juga sengaja dibuat senyap. Sebagian variannya hanya hidup di memori, artinya menyalakan ulang ponsel akan menghapusnya, sekaligus menghapus sebagian besar buktinya. Varian lain terpantau membersihkan file log di belakangnya.

Artinya, daftar saran yang biasa — waspadai baterai yang cepat habis, cari aplikasi tak dikenal, perhatikan pop-up — hampir tidak berguna di sini. Gejala-gejala itu menggambarkan stalkerware konsumen, yang merupakan ancaman berbeda dengan anggaran yang berbeda pula. Melawan spyware kelas negara, tidak adanya gejala tidak memberi tahu Anda apa pun.

Hanya ada satu jenis jawaban yang berhasil: analisis forensik atas data ponsel, dilakukan dari luar ponsel.

Tiga pemeriksaan yang layak dilakukan, secara berurutan

1. Periksa apakah Apple sudah memberi tahu Anda

Apple memberi tahu orang-orang yang diyakininya menjadi sasaran secara perorangan. Inilah pemeriksaan paling bernilai yang tersedia, hanya butuh dua menit, dan gratis.

Masuk ke account.apple.com dan cari peringatan di bagian atas halaman. Apple juga mengirim email dan iMessage ke alamat-alamat yang terkait dengan Apple ID Anda.

Ada dua hal yang perlu diingat. Pemberitahuan merupakan bukti kuat bahwa Anda menjadi sasaran, tetapi tidak adanya pemberitahuan bukan bukti bahwa Anda tidak menjadi sasaran, karena deteksi Apple tidak mungkin sempurna. Dan karena pemberitahuan ini mengkhawatirkan dan banyak diberitakan, pemberitahuan ini sering dipalsukan: pemberitahuan yang asli tidak pernah meminta Anda mengeklik tautan, memasang perangkat lunak, membuka lampiran, atau memberikan kata sandi.

2. Minta agar catatan di ponsel itu sendiri diperiksa

Jejak memang tetap tertinggal di perangkat, di tempat-tempat yang tidak bisa dijangkau aplikasi:

• Basis data yang mencatat proses mana yang memakai jaringan, dan kapan
• Log kerusakan (crash log) dari upaya eksploitasi yang gagal
• File sistem yang mencatat setiap kali ponsel dimatikan, yang bisa menyimpan kejanggalan di sekitar waktu infeksi
• Metadata lampiran pesan dan artefak cache

Security Lab milik Amnesty International merekonstruksi rantai infeksi Pegasus dari bahan-bahan semacam inilah, lalu menerbitkan metodologi beserta alatnya pada Juli 2021 sebagai bagian dari Pegasus Project. Alat sumber terbuka mereka, Mobile Verification Toolkit, yang biasa disebut MVT, membandingkan cadangan iPhone dengan indikator kompromi: domain, nama proses, dan artefak file yang terkait dengan kampanye-kampanye yang sudah dikenal.

Jika Anda terbiasa dengan terminal, MVT adalah implementasi rujukan dan gratis. Anda memasangnya dengan Python, membuat cadangan iPhone yang terenkripsi, mengunduh file indikator terbaru, lalu menjalankan analisisnya. Keluarannya berupa sekumpulan file JSON yang kemudian harus Anda tafsirkan.

Jika kalimat tadi membuat perut Anda mulas, itulah hambatan yang sebenarnya. Metodenya terbuka dan kokoh; jarak praktis antara jurnalis yang cemas dan analisis forensik yang tuntas itulah yang menghentikan kebanyakan orang. Haris Shield hadir untuk menutup jarak itu, dengan satu batasan yang perlu Anda ketahui. Haris Shield memeriksa log kerusakan terhadap indikator publik yang sama, dan menyajikan hasilnya sebagai laporan, bukan sebagai JSON. Versi saat ini tidak menganalisis cadangan terenkripsi, jadi jika dipakai sendiri, Haris Shield membaca lebih sedikit data daripada MVT yang dijalankan secara lengkap; mengimpor sysdiagnose menambahkan basis data penggunaan jaringan dan riwayat eksekusi proses. Jika Anda punya alasan konkret untuk meyakini bahwa Anda menjadi sasaran Pegasus, jalankan MVT pada cadangan terenkripsi atau mintalah bantuan Security Lab milik Amnesty atau Digital Security Helpline dari Access Now.

3. Pahami arti hasil yang bersih

Analisis yang bersih berarti tidak ditemukan indikator yang dikenal di dalam data yang diperiksa. Itu tidak berarti ponsel Anda tidak pernah disusupi. Jika ada varian yang hanya hidup di memori dan ponsel sudah dinyalakan ulang sejak itu, mungkin tidak ada lagi yang tersisa untuk ditemukan. Jika kampanye terhadap Anda memakai alat yang indikatornya belum dipublikasikan oleh peneliti mana pun, tidak ada yang bisa dicocokkan.

Siapa pun yang mengaku bisa menyatakan sebuah iPhone bersih dengan pasti sedang melebih-lebihkan. Forensik menemukan bukti; forensik tidak membuktikan ketiadaan.

Apa yang harus dilakukan jika ditemukan sesuatu

Jangan langsung menyalakan ulang atau mereset ke setelan pabrik. Naluri Anda akan mendorong untuk menghapus isi ponsel. Jika Anda mungkin ingin temuan itu bisa dipakai — oleh pengacara, redaksi media, pengadilan, atau peneliti yang melacak kampanye tersebut — maka perangkat dan datanya adalah bukti, dan reset akan menghancurkannya.

Anggap akun Anda, bukan hanya ponselnya, sudah disusupi. Ganti kata sandi Apple ID dan kata sandi penting lainnya dari perangkat lain yang Anda percayai. Tinjau perangkat mana saja yang masuk ke Apple ID Anda dan hapus yang tidak Anda kenali.

Mintalah bantuan ahli. Beberapa organisasi menangani pekerjaan ini untuk orang-orang yang berisiko, sering kali tanpa biaya. Access Now menjalankan Digital Security Helpline untuk masyarakat sipil; Security Lab milik Amnesty menyelidiki kasus-kasus yang melibatkan pembela hak asasi manusia. Jika pekerjaan Anda yang membawa Anda ke posisi ini, Andalah orang yang memang hendak mereka bantu.

Pikirkan sisi manusianya. Jika Anda jurnalis, narasumber yang pernah menghubungi Anda mungkin juga ikut terekspos. Sering kali, justru itulah tujuan sebenarnya.

Mengurangi risiko ke depannya

• Mode Isolasi adalah satu-satunya langkah terkuat yang tersedia di iOS. Fitur ini menonaktifkan sebagian besar jenis lampiran pesan, teknologi web tertentu, dan beberapa fitur koneksi. Apple menyatakan tidak mengetahui adanya serangan spyware bayaran yang berhasil terhadap perangkat dengan Mode Isolasi aktif. Fitur ini ada di Pengaturan, Privasi & Keamanan. Ponsel memang menjadi kurang praktis, dan itulah harga yang harus dibayar.
• Segera perbarui. Rantai serangan ini bergantung pada celah yang belum ditambal; menunda pembaruan itulah celah keamanannya.
• Nyalakan ulang ponsel secara rutin. Terhadap varian yang hidup di memori, menyalakan ulang akan menghapus infeksinya. Namun, langkah itu juga menghapus buktinya, jadi jika Anda mencurigai adanya penyusupan yang sedang aktif, mintalah saran sebelum menyalakan ulang.
• Perkecil celah serangan Anda. Lebih sedikit aplikasi pesan, lebih sedikit akun yang bisa dijangkau orang asing.
• Pisahkan penggunaan. Untuk pekerjaan yang benar-benar berisiko tinggi, perangkat terpisah untuk kontak-kontak sensitif membatasi seberapa besar kerugian akibat satu penyusupan.

Pertanyaan yang sering diajukan, secara singkat

Apakah ada aplikasi yang bisa mendeteksi Pegasus? Tidak di iOS. Aplikasi berjalan di dalam sandbox dan tidak bisa memeriksa sistem, dan itulah sebabnya setiap metode deteksi yang kredibel bekerja dari komputer terhadap sebuah cadangan.

Apakah reset ke setelan pabrik bisa menghapusnya? Mungkin bisa, tetapi reset juga menghapus buktinya, dan tidak memperbaiki celah apa pun yang membuat Anda dijadikan sasaran. Reset adalah satu langkah, bukan solusi.

Bisakah saya terinfeksi tanpa mengeklik apa pun? Bisa. Itulah ciri khas utama kampanye-kampanye ini.

Haruskah saya khawatir? Jika Anda jurnalis, aktivis, pengacara, atau tokoh politik, terutama yang menggarap isu-isu yang tidak disukai pemerintah, pertanyaan ini wajar dan layak dijawab dengan benar. Jika bukan, dan tidak ada kejadian spesifik yang memicu pencarian ini, jawabannya hampir pasti tidak, dan stalkerware biasa jauh lebih mungkin menjadi masalahnya. Panduan kami tentang mendeteksi spyware di iPhone membahas kasus tersebut.

Sumber

• Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
• Mobile Verification Toolkit: mvt.re dan github.com/mvt-project/mvt
• Apple, Tentang pemberitahuan ancaman Apple dan perlindungan dari spyware bayaran: support.apple.com/en-us/102174
• Access Now Digital Security Helpline: accessnow.org/help

Bacaan terkait: cara mendeteksi spyware di iPhone, tanda-tanda stalkerware dan apa yang tidak boleh dilakukan, dan panduan MVT.