Mobile Verification Toolkit은 Amnesty International의 Security Lab이 공개한 포렌식 도구로, Pegasus 프로젝트에 쓰인 도구예요. 2021년 전 세계 신문 1면에 용병 스파이웨어를 올려놓은 바로 그 조사예요. 소스 코드가 공개되어 있고, 비용이 들지 않으며, 누구나 자기 휴대폰에 실행해 볼 수 있어요.
저희는 비슷한 종류의 분석을 하는 상용 제품을 판매하고 있으니, 그 점을 감안하고 읽어 주세요. MVT는 훌륭한 도구예요. 기술에 자신 있는 분이라면 이것만으로 충분할 수도 있고, 이 글은 MVT를 쓰지 말라고 설득하려는 게 아니라 잘 쓰도록 돕기 위해 썼어요.
MVT가 실제로 하는 일
MVT는 백신이 컴퓨터를 검사하는 식으로 휴대폰을 검사하지 않아요. 휴대폰에 이미 있는 데이터를 추출해서 공개된 침해 지표와 대조해요. 알려진 스파이웨어가 접속하는 도메인, 스파이웨어가 만드는 프로세스 이름, 남기는 파일 경로, 일으키는 충돌 패턴 같은 것들이에요.
이 차이가 MVT의 강점과 한계를 모두 설명해 줘요. 휴대폰에게 스스로를 평가하라고 하지 않고 증거를 읽기 때문에, 기기 안의 어떤 앱도 찾지 못하는 것을 찾아낼 수 있어요. 그리고 누군가 이미 지표를 공개한 것만 찾을 수 있어서, 아직 아무도 기록하지 않은 캠페인은 MVT에게 보이지 않아요.
iOS에서는 iTunes나 Finder 백업을 분석해요. 쓸모 있는 자료가 있는 곳이 바로 여기예요. 충돌 로그, 어떤 프로세스가 언제 네트워크를 썼는지 기록하는 데이터베이스, 기기 종료를 기록하는 시스템 파일, Safari 방문 기록, 메시지 첨부 파일 메타데이터 등이에요. 의외라고 느끼는 분이 많은데, 암호화된 백업에는 암호화되지 않은 백업보다 훨씬 많은 정보가 들어 있어요.
Android에서는 ADB를 통해 작동해요. 설치된 패키지를 나열하고, 시스템 로그를 가져와서 같은 지표 세트와 대조해요. Android 백업을 분석하거나 APK를 검사할 수도 있어요.
실행하려면 실제로 무엇이 필요한가요
다운로드 페이지에서 흔히 건너뛰는, 솔직한 부분이에요.
컴퓨터가 필요해요. macOS나 Linux요. Windows는 제대로 지원되지 않아서, 사람들은 WSL을 써요.
Python과 터미널에 익숙해야 해요. MVT는 pip로 설치해요.
pip install mvt
그러면 mvt-ios와 mvt-android라는 두 가지 명령어가 생겨요.
암호화된 iPhone 백업이 필요해요. macOS의 Finder나 iTunes에서 암호화 옵션을 켜고 백업을 만든 다음, 암호를 기억해 두세요. MVT가 분석을 위해 백업을 복호화해요.
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
지표 파일이 필요해요. MVT가 공개된 지표 세트를 받아올 수 있어요.
mvt-ios download-iocs
그다음 분석을 실행해요.
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Android에서는 개발자 옵션과 USB 디버깅을 켠 상태에서 ADB로 실행해요.
mvt-android check-adb --iocs indicators.stix2 --output results/
옵션과 명령어 이름은 버전마다 바뀌어요. 정확한 문법은 이 글을 포함해 어떤 튜토리얼도 믿지 말고, docs.mvt.re의 최신 문서를 확인하세요.
그다음 결과를 읽어야 해요. 결과는 JSON 파일이 담긴 폴더와 탐지 항목 목록이에요. 대부분의 사람이 여기서 막혀요. 파일들은 타임라인과 추출된 기록인데, 이걸 해석하려면 정상적인 iPhone이 어떤 모습인지 알아야 정상이 아닌 것을 알아챌 수 있어요.
현실적으로 말하면, 매일 터미널로 일하는 분이라면 오후 한나절, 그렇지 않다면 넘기 힘든 벽이에요.
결과를 읽는 법
설치보다 더 중요한 부분이고, 사람들이 양쪽 방향으로 잘못 판단하는 지점이에요.
탐지 항목은 심각하지만, 그것만으로 모든 걸 설명해 주지는 않아요. MVT는 지표와 일치하는 것을 표시해요. 그게 무엇을 의미하는지, 언제 일어났는지 확인하는 건 여전히 직접 해야 하는 분석이에요.
탐지 항목이 없다고 휴대폰이 깨끗하다는 뜻은 아니에요. 내가 넣은 지표와 일치하는 게 없었다는 뜻일 뿐이에요. 새로운 캠페인, 기록되지 않은 도구, 백업 이전에 일어난 감염은 모두 조용한 결과를 내요. Amnesty도 이 점을 분명히 밝히고 있고, 이 도구에 대해 가장 많이 오해받는 부분이에요.
어떤 발견 항목은 그냥 흥미로운 것일 뿐이에요. 타임라인에는 평범한 활동이 많이 나오는데, 휴대폰 내부를 한 번도 본 적 없다면 놀라워 보일 수 있어요.
MVT가 맞는 답인 경우
- 터미널로 일하고 JSON이 낯설지 않은 경우.
- 실제로 표적이 될 수 있는 기자, 활동가, 변호사, 연구자이고, 공개되어 검증 가능한 방법을 쓰는 도구를 원하는 경우.
- 결과에 상업적 이해관계가 없는 도구를 원하는 경우. 보안 도구에 바랄 만한 아주 합리적인 조건이고, 저희를 포함해 누가 파는 어떤 제품과 비교해도 MVT가 가진 실질적인 장점이에요.
- 업무상 다른 사람의 기기를 분석하고 있고, 근거를 댈 수 있는 문서화된 방법이 필요한 경우.
맞지 않는 경우
- 걱정은 되지만 기술에 익숙하지 않고, 이번 주 안에 답이 필요한 경우.
- 아는 사람이 설치한 상용 스토커웨어가 문제일 가능성이 큰 경우. 이건 용병 스파이웨어보다 훨씬 흔해요. 권한 화면에 드러나기 때문에 찾는 데 포렌식이 필요 없어요. Android나 iPhone부터 시작하세요.
- 변호사, 경찰, 지원 기관 담당자에게 보여 줄 기록이 필요한 경우. MVT의 결과물은 증거이지만, 읽기 쉬운 보고서는 아니에요.
- 한 번이 아니라 여러 번 반복해서 확인해야 하는 경우.
Haris Shield는 무엇이 다른가요
같은 공개 지표, 즉 MVT 프로젝트의 지표 세트를 써요. 저희 서버가 매일 밤 이걸 서명된 묶음으로 새로 만들어요. 같은 흔적 일부를 컴퓨터에서 확인하지만, MVT가 하는 일을 모두 하지는 않아요. 현재 버전은 암호화된 iPhone 백업을 분석하지 않아요. iPhone에서는 휴대폰이 케이블을 통해 내놓는 정보를 읽어요. 충돌 로그, 구성 프로파일과 프로비저닝 프로파일, 보안 설정이고, sysdiagnose를 가져오면 네트워크 사용 데이터베이스와 프로세스 실행 데이터베이스도 추가돼요. Android에서는 MVT처럼 ADB로 기기를 읽어요. 모든 항목은 작동 방식에 나와 있어요.
Haris Shield가 덜어 주는 건 터미널 작업이에요. macOS, Windows, Linux용 그래픽 애플리케이션, 알아서 최신 상태로 유지되는 지표, 그리고 발견 항목마다 위험 수준이 표시되고 PDF로 저장해 다른 사람에게 건넬 수 있는 보고서를 제공해요.
저희는 MVT가 찾지 못하는 것을 찾는다고 주장하지 않아요. iPhone에서는 암호화된 전체 백업에 MVT를 실행하면 현재 버전의 Haris Shield보다 더 많은 것을 읽어요. Amnesty의 지표가 현재 구할 수 있는 최선인 영역에서는, 분별 있는 사람이라면 누구나 그 지표를 바탕으로 만들어요.
MVT를 실행할 수 있고 실행하고 싶다면, MVT를 쓰세요.
무언가를 발견했다면
주변 사람이 관련되어 있을 수 있다면 휴대폰을 바로 정리하지 마세요. 제거하면 상대가 알아챌 수 있고 증거도 사라져요. 그리고 국가 수준의 행위자에게 표적이 되었을 수 있다면, 이 일을 전문으로 하는 사람들에게 도움을 구하세요. Amnesty의 Security Lab과 Access Now의 Digital Security Helpline은 둘 다 위험에 처한 개인을 무료로 도와요. 순서는 설치한 사람이 눈치채지 못하게 스파이웨어를 제거하는 법에서 다뤄요.
요약
MVT는 진짜예요. Pegasus 프로젝트에 쓰인 도구이고, Amnesty의 Security Lab이 공개했으며, 무료이고, 방법이 공개되어 있어요. 암호화된 iPhone 백업이나 ADB로 연결한 Android 기기를 공개된 침해 지표와 대조해 분석해요.
동시에 Python, 터미널, 포렌식 결과를 해석하는 능력을 전제로 하고, 깨끗한 결과는 내가 넣은 지표와 일치하는 게 없었다는 뜻일 뿐이에요. 나에게 맞는다면 쓰세요. 맞지 않는다면 도구보다 방법이 더 중요해요. 확인하려는 바로 그 휴대폰에서 실행되는 검사 앱을 믿지 말고, 무엇을 쓰든 컴퓨터에서 분석하세요.
출처
- Mobile Verification Toolkit: mvt.re, 문서: docs.mvt.re
- MVT 소스 코드: github.com/mvt-project/mvt
- Amnesty International Security Lab, 포렌식 방법론 보고서: NSO Group의 Pegasus를 잡아내는 방법: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
함께 읽어 보세요: iPhone에서 Pegasus 확인하기, 무료 스파이웨어 점검: 효과 있는 것과 사기.