Como o Haris Shield funciona
O que o app lê do seu celular, como ele decide o que é uma ameaça, todas as conexões que faz — e como conferir tudo isso sem precisar confiar só na nossa palavra.
Descreve a versão atual, 1.0.13.
O que o app lê pelo cabo
Seu celular fica conectado ao computador pelo cabo USB dele. O Haris Shield o lê com o libimobiledevice (iPhone) e o adb do Android — as mesmas ferramentas de código aberto que pesquisadores forenses usam. Nada é instalado no celular, e a verificação apenas lê: ela não apaga, não move e não altera nada nele. Tudo o que ela copia fica na pasta do app no seu computador.
iPhone
Informações do aparelho
Modelo, versão e build do iOS, número de série, se há código de acesso definido, estado de ativação, nome do aparelho e fuso horário.
Relatórios de falhas
Copiados para o seu computador e lidos lá. Os originais ficam no celular — o app copia, nunca move nem apaga.
Perfis de configuração
Perfis instalados, inscrição em MDM, supervisão e perfis de VPN — as formas pelas quais um celular pode ser gerenciado ou ter seu tráfego redirecionado.
Perfis de provisionamento
Quem assinou os apps de desenvolvedor e corporativos no celular, comparado com os nomes de fornecedores de spyware conhecidos.
Estado de segurança
Modo de Isolamento, modo de desenvolvedor e se a versão do iOS é uma das que sabidamente estão sendo exploradas.
Um sysdiagnose que você importar (opcional)
Se você criar um sysdiagnose no celular e importar o arquivo, o app também lê os bancos de dados de uso de rede, o histórico de execução de processos, os bancos de dados de uso de apps e de permissões, e os registros de rede e de processos.
Android
Informações do aparelho
Modelo, marca, versão do Android, nível do patch de segurança e número de série.
Apps instalados
Nomes de pacotes comparados com stalkerware conhecido, apps escondidos da tela inicial e de onde cada app foi instalado (Play Store ou instalação manual).
Permissões
Quais apps têm permissões de vigilância — SMS, registro de chamadas, localização, câmera, microfone — e combinações perigosas delas, além de apps autorizados a instalar outros apps.
Acessibilidade, administradores do dispositivo, acesso a notificações
Os três mecanismos de que um stalkerware normalmente precisa para ler a tela, resistir à remoção e copiar notificações.
Processos e rede
Processos em execução, as conexões abertas neste momento e o cache do resolvedor de DNS, comparados com servidores e endereços IP de spyware conhecidos.
Certificados
Certificados raiz instalados pelo usuário, que podem ser usados para ler tráfego criptografado, e apps assinados com certificados de depuração ou de teste.
Uso de bateria, dados e sensores
Apps que despertam durante a noite, transferem muitos dados em segundo plano ou usam a câmera e o microfone sem estar na tela.
Configurações e registros do sistema
Depuração USB e sem fio, fontes desconhecidas, Play Protect e algumas entradas específicas dos registros do sistema associadas a spyware conhecido.
Uma verificação completa também faz uma revisão de privacidade, um diagnóstico de hardware e, no iPhone, a verificação de componentes. A análise de backups criptografados do iPhone e a comparação de impressões digitais de arquivos de apps Android estão em desenvolvimento; elas não fazem parte da versão atual.
Como os resultados são avaliados
Uma verificação termina com um de três resultados. A diferença entre eles importa, então aqui está exatamente o que cada um exige.
Spyware detectado
Só quando há um rastro concreto: um processo de spyware conhecido no histórico de execução, uma conexão ou consulta de DNS a um servidor de spyware conhecido, um stalkerware conhecido que recebeu acesso, ou um perfil de um fornecedor de spyware conhecido.
Atividade suspeita
Coisas que merecem um olhar mais atento, mas que não são prova. Isso inclui exposição: uma versão antiga do iOS ou patches de segurança faltando tornam um celular mais fácil de atacar, por isso são informados aqui — nunca como infecção. Antes da versão 1.0.11, uma versão antiga do iOS era informada erroneamente como infecção; isso foi corrigido.
Nenhuma ameaça encontrada
Nenhum dos rastros que o app conhece foi encontrado. Isso não significa que o celular esteja garantidamente limpo — veja abaixo o que nenhuma ferramenta pode prometer.
Com o que o app compara
O app vem com uma lista própria de nomes de processos de spyware, servidores, endereços IP e apps de stalkerware. Além disso, ele usa indicadores do projeto MVT, publicados pela Amnesty International, pelo Citizen Lab e por outros pesquisadores que investigam o Pegasus, o Predator e ferramentas parecidas.
Um nome só conta quando aparece como nome inteiro no registro. Nomes curtos de processos do Pegasus, como “bh”, antes coincidiam com palavras como “github”; isso não acontece mais. Nomes que também são processos normais do sistema iOS ficam de fora, porque encontrá-los não prova nada.
Por que a lista de indicadores não pode ser adulterada
- 1. Toda noite, nosso servidor monta um pacote a partir do índice de indicadores do MVT.
- 2. Ele assina o pacote com uma chave privada Ed25519 que só existe no servidor.
- 3. O app confere a assinatura com a chave pública embutida nele e só usa o pacote se ela corresponder. Se não corresponder, ele mantém o último conjunto que correspondeu.
Assim, um pacote falso — vindo de uma rede comprometida ou de qualquer outra pessoa — não consegue adicionar nem remover indicadores. Os resultados também nunca são enviados para uma lista compartilhada: relatos não verificados de usuários são justamente a forma como listas de ameaças acabam envenenadas.
O que sai do seu computador
Todas as conexões que o app pode fazer, tiradas do código do próprio app. Se você observar o tráfego dele (veja Confira você mesmo, abaixo), esta é a lista que você deve conseguir conferir item por item.
Sempre que o app está online
Checagem de licença e saldo
harisshield.com
Sua chave de licença e uma identificação do computador — um hash curto gerado a partir do nome do computador, do nome de usuário, do processador, da arquitetura e do tamanho da memória. A resposta é um comprovante de saldo assinado pelo nosso servidor, que permite ao app continuar fazendo verificações offline por 14 dias.
Contagem de verificações após cada verificação
harisshield.com
Chave de licença, identificação do computador, iOS ou Android, o número de resultados, uma identificação aleatória da verificação e o horário. É assim que as verificações são descontadas do seu saldo. Não o que foi encontrado, e nada do celular. Sem conexão, o relato fica aguardando e é enviado depois.
Pacote de indicadores assinado
harisshield.com
Um download dos indicadores de spyware mais recentes (veja acima). Nada sobre você ou o seu celular é enviado junto.
Procura por atualizações
harisshield.com
Com uma chave de licença ativada, o app procura atualizações ao abrir e a cada quatro horas e baixa as novas versões, enviando a chave de licença para que o servidor libere o arquivo.
Conexão de um computador à sua licença
harisshield.com
Quando você conecta um computador novo: a identificação e o nome do computador, para que o e-mail de confirmação possa dizer qual computador está pedindo acesso.
Só quando você usa um recurso
Verificação de componentes (parte de uma verificação completa do iPhone)
checkcoverage.apple.com, support-sp.apple.com
O número de série do iPhone, para consultar o modelo e a situação da garantia com a Apple.
Checagem de certificados durante uma verificação do Android
Servidores com os quais o celular Android está se comunicando
O app faz handshakes TLS curtos do seu computador com alguns dos servidores públicos com os quais o celular tem conexões HTTPS abertas (no máximo 18 handshakes por verificação), para examinar os certificados deles. Esses servidores veem o endereço IP do seu computador. Em um monitor de rede, isso aparece como o processo openssl.
Monitor de rede ao vivo
ipinfo.io
Os endereços IP aos quais seu celular se conecta enquanto o monitor está rodando — os endereços dos servidores, não o seu — para mostrar o país e o dono de cada um. Se você informou seu próprio token do ipinfo, ele também é enviado.
Checagem de vazamentos
haveibeenpwned.com
O endereço de e-mail que você digitar. A checagem precisa da sua própria chave de API do Have I Been Pwned; sem ela, a solicitação ainda é enviada, mas não retorna resultados.
Relatórios de erro — desativados, a menos que você marque a opção
harisshield.com
Apenas de uma lista fixa de campos: versão do app, sistema operacional, arquitetura, qual etapa falhou, tipo e código do erro, nome da função, iOS ou Android e um hash de 8 caracteres da chave de licença. Nunca mensagens de erro, caminhos de arquivos, detalhes do celular, resultados, sua chave de licença ou seu e-mail.
Somente chaves de licença mais antigas
api.lemonsqueezy.com
Chaves que não começam com HRS- foram vendidas pela Lemon Squeezy e são ativadas e conferidas lá, com a chave e a identificação do computador.
Após várias ativações malsucedidas
harisshield.com
A identificação do computador e quantas tentativas falharam, para que uma chave não possa ser descoberta por força bruta.
Nunca é enviado
- Mensagens, fotos, contatos, registros de chamadas ou e-mails
- A lista de apps do celular
- Relatórios de falhas ou o seu sysdiagnose
- O que uma verificação encontrou, ou o próprio relatório da verificação
Os resultados e relatórios das verificações ficam na pasta do app no seu computador até que você os apague ou decida compartilhar um PDF.
O modo offline e o que ele não cobre
O modo offline, nas configurações do app, interrompe o download de indicadores, as consultas de IP no monitor de rede e a checagem de vazamentos. Ele não interrompe a checagem de licença e saldo, a procura por atualizações, a consulta do número de série nem a checagem de certificados no Android.
Para uma verificação sem nenhuma conexão, desconecte o computador da internet. Depois que o app esteve online uma vez, ele continua fazendo verificações por até 14 dias com base no último comprovante de saldo assinado, usando os indicadores que já tem. A contagem de verificações é enviada quando você se reconectar.
O que nenhuma ferramenta pode prometer
Nenhuma ferramenta pode provar que um celular está limpo
O Haris Shield encontra rastros que são conhecidos. O projeto MVT diz o mesmo sobre a própria ferramenta: indicadores públicos não bastam para declarar que um aparelho está limpo.
Os spywares mais avançados podem continuar escondidos
Ferramentas do nível do Pegasus são feitas para deixar o mínimo possível de rastros, e versões novas já estão em uso antes que alguém publique indicadores para elas. Elas podem escapar desta verificação, e de qualquer outra.
“Nenhuma ameaça encontrada” não é o mesmo que “seguro”
Significa que nenhum dos rastros conhecidos apareceu. Se a sua situação coloca você em risco real, peça uma segunda opinião aos especialistas listados abaixo, seja qual for o nosso resultado.
Onde estamos hoje
Algumas coisas ainda não estão prontas. Você deve saber quais.
Ainda sem notarização da Apple
É por isso que o macOS diz que não é possível verificar o desenvolvedor e você precisa escolher Abrir Mesmo Assim na primeira vez. A assinatura com Apple Developer ID e a notarização estão sendo configuradas.
Ainda sem assinatura de código para Windows
É por isso que o Windows mostra “O Windows protegeu o computador”. A assinatura de código está sendo configurada. Até que as duas estejam prontas, o sistema operacional não consegue confirmar que um arquivo veio de nós — os checksums abaixo conseguem.
Versões
A versão para Mac roda só em Apple Silicon, e a versão para Linux só em x86-64. Veja a página de download.
Confira você mesmo
Uma ferramenta de segurança pede muita confiança. Estas são formas reais e independentes de conferir se o Haris Shield faz o que esta página diz — e de verificar seu celular com alguém que não seja a gente.
1. Confira o instalador
Envie-o para o VirusTotal. Arraste o arquivo que você baixou para o virustotal.com e cerca de 70 mecanismos antivírus vão analisá-lo. Veja quais mecanismos apontam algo e como eles chamam o que encontraram, e não só a contagem.
Compare o checksum SHA-512. Se o checksum do seu arquivo for igual ao que aparece abaixo, é exatamente o arquivo que publicamos. São os mesmos valores que o atualizador do app confere.
Versão 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 MB
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 MB
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 MB
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 MB
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <nome do arquivo>
Linux (terminal)
sha512sum <nome do arquivo>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <nome do arquivo>
Letras maiúsculas ou minúsculas não fazem diferença na comparação.
2. Observe o tráfego de rede do app
Rode um destes enquanto faz a verificação. Você deve ver o Haris Shield se comunicar com harisshield.com e, só quando usar esses recursos, com os serviços da lista acima. A conexão com o próprio celular passa pelo USB e não aparece como tráfego de internet.
Mac
- LuLu
Grátis e de código aberto, da Objective-See. Pergunta antes de qualquer app abrir uma nova conexão de saída e mostra para onde ela vai.
- Little Snitch
Pago, da Objective Development. Mostra todas as conexões de cada app, ao vivo e em um mapa.
Windows
- TCPView
Grátis, da Microsoft Sysinternals. Lista todas as conexões abertas com o processo dono de cada uma.
- GlassWire
Tem uma versão grátis. Mostra a quais servidores cada app se conecta.
- Windows Defender Firewall
Já vem no sistema. Bloqueie completamente o Haris Shield se quiser confirmar que a verificação continua funcionando sem rede.
Linux
- OpenSnitch
Grátis e de código aberto. Pergunta, app por app, sobre conexões de saída, como o LuLu.
3. Peça uma segunda opinião sobre o seu celular
Nenhum destes tem ligação com a gente. Se você é jornalista, ativista ou qualquer outra pessoa que possa ser alvo, entre em contato diretamente com os canais de ajuda — eles fazem esse trabalho todos os dias.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Ferramenta forense grátis e de código aberto para iPhone e Android, criada durante o Pegasus Project. Ela roda pela linha de comando e é voltada a técnicos e investigadores, não a uma checagem rápida por conta própria. O Haris Shield usa os mesmos indicadores públicos.
- iVerify Basic
iVerify
Um app para iPhone e Android de uma empresa independente de segurança mobile. Ele verifica, a partir do próprio celular, se há sinais de spyware do tipo Pegasus — uma segunda visão útil, de outro ângulo.
- Digital Security Helpline
Access Now
Ajuda gratuita 24 horas por dia, em vários idiomas, para jornalistas, ativistas, defensores de direitos humanos e grupos da sociedade civil que acreditam ser alvo de ataques.
- Security Lab — Peça ajuda
Amnesty International
Apoio para jornalistas, ativistas e organizações da sociedade civil em risco de ataques digitais direcionados, como o Pegasus.
- Coalition Against Stalkerware
stopstalkerware.org
Um diretório de canais de ajuda e organizações de apoio, por país, para quem teme que um parceiro ou alguém próximo esteja monitorando o celular. Faça a consulta em um aparelho ao qual essa pessoa nunca teve acesso.
Encontrou algo nesta página que não corresponde ao que o app faz? Avise a gente em support@harisshield.com. Veja também nossa política de privacidade.