Mobile Verification Toolkit — это криминалистический инструмент, который выпускает Security Lab организации Amnesty International. На нём строился Pegasus Project — расследование 2021 года, благодаря которому наёмное шпионское ПО оказалось на первых полосах по всему миру. Его исходный код открыт, он ничего не стоит, и любой может проверить им собственный телефон.

Мы продаём коммерческий продукт, который выполняет анализ похожего класса, — учитывайте это, читая статью. MVT превосходен. Человеку, уверенно обращающемуся с техникой, его может оказаться вполне достаточно, и это руководство написано, чтобы помочь вам им воспользоваться, а не отговорить вас.

Что на самом деле делает MVT

MVT не сканирует телефон так, как антивирус сканирует компьютер. Он извлекает данные, которые уже хранятся в телефоне, и сравнивает их с опубликованными индикаторами компрометации: доменами, с которыми связывается известное шпионское ПО, названиями процессов, которые оно создаёт, путями к файлам, которые оно оставляет, и характерными сбоями, которые оно вызывает.

Это различие объясняет и его силу, и его ограничения. Он читает улики, а не просит телефон оценить самого себя, — поэтому он может найти то, чего не найдёт ни одно приложение на устройстве. И он находит только то, для чего кто-то уже опубликовал индикаторы, а значит, кампания, которую ещё никто не задокументировал, для него невидима.

На iOS он анализирует резервную копию iTunes или Finder — именно там хранятся ценные данные: журналы сбоев, база данных, где записано, какие процессы и когда пользовались сетью, системный файл, фиксирующий выключения, история Safari и метаданные вложений в сообщениях. Зашифрованная резервная копия содержит заметно больше, чем незашифрованная, и это многих удивляет.

На Android он работает через ADB: перечисляет установленные пакеты, извлекает системные журналы и проверяет их по тем же наборам индикаторов. Он также может анализировать резервную копию Android и проверять APK-файлы.

Чего на самом деле требует его запуск

Честная часть, которую страницы загрузки обычно пропускают.

Вам нужен компьютер с macOS или Linux. Windows полноценно не поддерживается; пользователи прибегают к WSL.

Вам нужно уверенно обращаться с Python и терминалом. MVT устанавливается через pip:

pip install mvt

После этого у вас появятся две команды: mvt-ios и mvt-android.

Вам нужна зашифрованная резервная копия iPhone. Создайте её в Finder на macOS или в iTunes, включив шифрование, и запомните пароль. Для анализа MVT её расшифрует:

mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/

Вам нужны файлы индикаторов. MVT может загрузить опубликованные наборы:

mvt-ios download-iocs

Затем сам анализ:

mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/

Для Android через ADB, с включёнными параметрами разработчика и отладкой по USB:

mvt-android check-adb --iocs indicators.stix2 --output results/

Флаги и названия команд меняются от версии к версии. Сверяйтесь с актуальной документацией на docs.mvt.re и не доверяйте точному синтаксису из какого-либо руководства, включая это.

Затем вы читаете результат — папку с JSON-файлами и набор обнаружений. На этом этапе останавливается большинство. Файлы — это хронологии и извлечённые записи; чтобы их понять, нужно знать, как выглядит нормальный iPhone, — тогда вы заметите то, что выбивается из нормы.

Если реально оценивать: полдня, если вы каждый день работаете в терминале, и непреодолимая стена, если нет.

Как понимать результат

Это важнее установки, и именно здесь люди ошибаются в обе стороны.

Обнаружение — это серьёзно, но оно не говорит само за себя. MVT отмечает то, что совпадает с индикатором. Чтобы подтвердить, что это значит и когда это произошло, анализ вам всё равно придётся провести самим.

Отсутствие обнаружений не означает, что телефон чист. Оно означает, что ничто не совпало с индикаторами, которые вы указали. Новые кампании, незадокументированные инструменты и заражения, случившиеся раньше, чем была сделана ваша резервная копия, — всё это даёт спокойный результат. Amnesty прямо говорит об этом, и это самое непонятое свойство инструмента.

Некоторые находки просто любопытны. Хронологии показывают много обычной активности, которая выглядит тревожно, если вы никогда раньше не видели внутреннее устройство телефона.

Когда MVT — правильный выбор

Вы работаете в терминале, и JSON вас не пугает.
Вы журналист, активист, юрист или исследователь, который может быть реальной целью, и вам нужен инструмент с общедоступным методом, который можно проверить.
Вам нужно средство, у которого нет коммерческой заинтересованности в результате, — вполне разумное желание в отношении инструмента безопасности и реальное преимущество MVT перед всем, что вам продают, включая нас.
Вы профессионально анализируете чужое устройство, и вам нужен обоснованный, задокументированный метод.

Когда нет

Вы встревожены, не разбираетесь в технике, и ответ нужен вам на этой неделе.
Вероятная проблема — коммерческое сталкерское ПО, установленное знакомым вам человеком, а это встречается гораздо чаще, чем наёмное шпионское ПО. Такие программы видны на экранах разрешений; чтобы их найти, криминалистика не нужна. Начните с Android или iPhone.
Вам нужны документы для юриста, полиции или социального работника. Результаты MVT — это доказательства, но не понятный отчёт.
Вам нужно проверять телефон регулярно, а не один раз.

Чем отличается Haris Shield

Он использует те же общедоступные индикаторы — наборы индикаторов проекта MVT, которые наш сервер каждую ночь пересобирает в подписанный пакет. Он проверяет с компьютера часть тех же следов, но делает не всё, что делает MVT. Текущая версия не анализирует зашифрованную резервную копию iPhone. На iPhone он читает то, что телефон открывает по кабелю: журналы сбоев, профили конфигурации и профили обеспечения, настройки безопасности, а также sysdiagnose, если вы его импортируете, — это добавляет базы данных об использовании сети и о запуске процессов. На Android он читает устройство через ADB, как и MVT. На странице «Как это работает» перечислен каждый пункт.

Что он убирает — так это работу в терминале: вы получаете графическое приложение для macOS, Windows и Linux, индикаторы, которые обновляются за вас, и отчёт с уровнем риска для каждой находки, который можно сохранить в PDF и передать другому человеку.

Чего мы не утверждаем, так это того, что находим то, чего не может найти MVT. На iPhone MVT, запущенный на полной зашифрованной резервной копии, читает больше, чем наша текущая версия. Там, где индикаторы Amnesty — лучшие из доступных, на них и опирается любой, кто подходит к делу здраво.

Если вы можете запустить MVT и хотите этого — запускайте MVT.

Если вы что-то нашли

Не очищайте телефон сразу, если может быть замешан кто-то из вашего окружения: удаление может его насторожить и уничтожает доказательства. А если вы можете быть целью государственных структур, обратитесь за помощью к тем, кто занимается этим профессионально: и Security Lab организации Amnesty, и Digital Security Helpline организации Access Now бесплатно помогают людям, находящимся в группе риска. Последовательность действий описана в статье Как удалить шпионское ПО так, чтобы об этом не узнал тот, кто его установил.

Коротко

MVT — настоящий инструмент: на нём строился Pegasus Project, его выпускает Security Lab организации Amnesty, он бесплатен и использует общедоступный метод. Он анализирует зашифрованную резервную копию iPhone или устройство на Android через ADB по опубликованным индикаторам компрометации.

Но он также предполагает Python, терминал и умение разбираться в криминалистических данных, а чистый результат означает лишь то, что ничто не совпало с указанными вами индикаторами. Если вам это подходит, пользуйтесь им. Если нет, метод важнее инструмента: проведите анализ с компьютера — неважно чем, — а не доверяйте сканеру, работающему на том самом телефоне, который вы пытаетесь проверить.

Источники

Mobile Verification Toolkit: mvt.re и документация на docs.mvt.re
Исходный код MVT: github.com/mvt-project/mvt
Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Access Now Digital Security Helpline: accessnow.org/help

MVT (Mobile Verification Toolkit): честное руководство и более простые альтернативы