O Mobile Verification Toolkit é a ferramenta forense publicada pelo Security Lab da Amnesty International, e é a ferramenta por trás do Projeto Pegasus — a investigação de 2021 que levou o spyware mercenário às capas de jornais do mundo inteiro. O código-fonte é público, não custa nada e qualquer pessoa pode rodá-lo no próprio celular.

Nós vendemos um produto comercial que faz um tipo de análise parecido, então leia este texto tendo isso em mente. O MVT é excelente. Para quem tem segurança técnica, ele pode ser tudo de que você precisa, e este guia foi escrito para ajudar você a usá-lo, não para convencer você a desistir dele.

O que o MVT faz de fato

O MVT não verifica o seu celular do jeito que um antivírus verifica um computador. Ele extrai dados que o celular já guarda e os compara com indicadores de comprometimento já publicados: domínios que spywares conhecidos contatam, nomes de processos que eles criam, caminhos de arquivos que deixam para trás, padrões de falhas que provocam.

Essa diferença explica tanto a força quanto os limites da ferramenta. Ela lê provas, em vez de pedir ao celular que avalie a si mesmo, e é por isso que consegue encontrar coisas que nenhum app no aparelho encontraria. E ela só encontra aquilo para o qual alguém já publicou indicadores, ou seja, uma campanha que ninguém documentou ainda fica invisível para ela.

No iOS, ele analisa um backup do iTunes ou do Finder, que é onde está o material que interessa: registros de falhas, um banco de dados que registra quais processos usaram a rede e quando, o arquivo do sistema que registra os desligamentos, o histórico do Safari e os metadados dos anexos de mensagens. Um backup criptografado contém bem mais do que um não criptografado, o que surpreende muita gente.

No Android, ele funciona via ADB, listando os pacotes instalados, extraindo os registros do sistema e comparando-os com os mesmos conjuntos de indicadores. Também consegue analisar um backup do Android e verificar arquivos APK.

O que rodar o MVT envolve na prática

A parte honesta, que as páginas de download costumam pular.

Você precisa de um computador com macOS ou Linux. O Windows não é bem suportado; quem usa recorre ao WSL.

Você precisa se sentir à vontade com Python e com o terminal. O MVT é instalado com o pip:

pip install mvt

Isso dá a você dois comandos, mvt-ios e mvt-android.

Você precisa de um backup criptografado do iPhone. Faça um com o Finder no macOS ou com o iTunes, com a opção de criptografia ativada, e guarde a senha. O MVT descriptografa o backup para a análise:

mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/

Você precisa de arquivos de indicadores. O MVT consegue baixar os conjuntos publicados:

mvt-ios download-iocs

Depois vem a análise em si:

mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/

No Android via ADB, com as opções do desenvolvedor e a depuração USB ativadas:

mvt-android check-adb --iocs indicators.stix2 --output results/

As opções e os nomes dos comandos mudam de uma versão para outra. Consulte a documentação atual em docs.mvt.re em vez de confiar na sintaxe exata de qualquer tutorial, inclusive este.

Depois você lê o resultado, que é uma pasta de arquivos JSON mais um conjunto de detecções. É aqui que a maioria das pessoas trava. Os arquivos são linhas do tempo e registros extraídos; interpretá-los exige saber como é um iPhone normal, para conseguir perceber o que não é.

Sendo realista: uma tarde, se você usa o terminal todo dia, e um muro, se não usa.

Como ler o resultado

Isso importa mais do que a instalação, e é aqui que as pessoas erram nas duas direções.

Uma detecção é séria, mas não se explica sozinha. O MVT aponta o que bate com um indicador. Confirmar o que isso significa, e quando aconteceu, é uma análise que você ainda precisa fazer.

Nenhuma detecção não significa celular limpo. Significa que nada bateu com os indicadores que você forneceu. Campanhas novas, ferramentas não documentadas e infecções anteriores ao seu backup produzem, todas, um resultado silencioso. A Amnesty é explícita quanto a isso, e esse é, de longe, o ponto mais mal compreendido da ferramenta.

Algumas descobertas são só curiosas. As linhas do tempo mostram muita atividade comum que parece alarmante para quem nunca viu as entranhas de um celular.

Quando o MVT é a resposta certa

Você trabalha no terminal e não se intimida com JSON.
Você é jornalista, ativista, advogado ou pesquisador e pode ser um alvo de verdade, e quer uma ferramenta com um método público e auditável.
Você quer algo sem nenhum interesse comercial no resultado — algo totalmente razoável de se querer de uma ferramenta de segurança, e uma vantagem real do MVT sobre qualquer coisa que alguém venda a você, nós incluídos.
Você analisa aparelhos de outras pessoas profissionalmente e precisa de um método documentado e defensável.

Quando não é

Você está preocupado, não tem conhecimento técnico e precisa de uma resposta ainda esta semana.
O problema provável é um stalkerware comercial instalado por alguém que você conhece, o que é muito mais comum do que spyware mercenário. Isso aparece nas telas de permissões; você não precisa de perícia forense para encontrar. Comece pelo Android ou pelo iPhone.
Você precisa de documentação para um advogado, um policial ou alguém de um serviço de apoio. O resultado do MVT é prova, mas não é um relatório legível.
Você precisa verificar repetidas vezes, e não só uma.

O que o Haris Shield faz de diferente

Ele usa os mesmos indicadores públicos, os conjuntos de indicadores do projeto MVT, que o nosso servidor reúne todas as noites num pacote assinado. Ele verifica alguns dos mesmos vestígios a partir de um computador, mas não faz tudo o que o MVT faz. A versão atual não analisa um backup criptografado do iPhone. No iPhone, ela lê o que o celular expõe pelo cabo: registros de falhas, perfis de configuração e de provisionamento e ajustes de segurança, além de um sysdiagnose, se você importar um, o que acrescenta os bancos de dados de uso de rede e de execução de processos. No Android, ela lê o aparelho via ADB, como o MVT. A página como funciona lista cada item.

O que ele elimina é o trabalho no terminal: você tem um aplicativo gráfico para macOS, Windows e Linux, indicadores mantidos atualizados para você e um relatório com um nível de risco para cada descoberta, que você pode salvar em PDF e entregar a outra pessoa.

O que não afirmamos é que encontramos coisas que o MVT não encontra. No iPhone, o MVT rodando num backup criptografado completo lê mais do que a nossa versão atual. Onde os indicadores da Amnesty são os melhores disponíveis, é sobre eles que qualquer pessoa sensata constrói.

Se você consegue rodar o MVT e quer rodar, rode o MVT.

Se você encontrar alguma coisa

Não limpe o celular imediatamente se alguém da sua vida puder estar envolvido — a remoção pode alertar essa pessoa e destrói provas. E, se você pode ser alvo de um agente de nível estatal, busque ajuda de quem faz isso profissionalmente: o Security Lab da Amnesty e a Digital Security Helpline da Access Now ajudam pessoas em situação de risco, gratuitamente. Como remover spyware sem alertar quem o instalou explica a sequência.

Resumindo

O MVT é a ferramenta de verdade: a ferramenta por trás do Projeto Pegasus, publicada pelo Security Lab da Amnesty, gratuita, com um método público. Ela analisa um backup criptografado do iPhone ou um aparelho Android via ADB, comparando com indicadores de comprometimento já publicados.

Ela também pressupõe Python, terminal e capacidade de interpretar resultados forenses, e um resultado limpo só significa que nada bateu com os indicadores que você forneceu. Se isso combina com você, use. Se não combina, o método importa mais do que a ferramenta — faça a análise a partir de um computador, com alguma ferramenta, em vez de confiar num scanner rodando no mesmo celular que você está tentando verificar.

Fontes

Mobile Verification Toolkit: mvt.re e a documentação em docs.mvt.re
Código-fonte do MVT: github.com/mvt-project/mvt
Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Access Now Digital Security Helpline: accessnow.org/help

MVT (Mobile Verification Toolkit): um guia honesto e alternativas mais fáceis