Mobile Verification Toolkit är det forensiska verktyg som ges ut av Amnesty Internationals Security Lab, och det är verktyget bakom Pegasus Project – granskningen 2021 som fick legosoldatsspionprogram på förstasidorna över hela världen. Källkoden är offentlig, det kostar ingenting och vem som helst kan köra det på sin egen telefon.
Vi säljer en kommersiell produkt som gör en liknande sorts analys, så läs det här med det i åtanke. MVT är utmärkt. För den som är tekniskt säker kan det vara allt du behöver, och den här guiden är skriven för att hjälpa dig att använda det, inte för att avråda dig.
Vad MVT faktiskt gör
MVT skannar inte din telefon på det sätt som ett antivirusprogram skannar en dator. Det tar ut data som telefonen redan har och jämför den med publicerade indikatorer på intrång: domäner som känt spionprogram kontaktar, processnamn som det skapar, filsökvägar som det lämnar efter sig, kraschmönster som det ger upphov till.
Den skillnaden förklarar både styrkan och begränsningarna. Verktyget läser bevis i stället för att be telefonen bedöma sig själv, och därför kan det hitta saker som ingen app på enheten kan. Och det hittar bara det som någon redan har publicerat indikatorer för, vilket betyder att en kampanj som ingen har dokumenterat ännu är osynlig för det.
På iOS analyserar det en säkerhetskopia från iTunes eller Finder, och det är där det värdefulla materialet finns: kraschloggar, en databas som registrerar vilka processer som använde nätverket och när, systemfilen som registrerar avstängningar, Safari-historik och metadata för bilagor i meddelanden. En krypterad säkerhetskopia innehåller betydligt mer än en okrypterad, vilket förvånar många.
På Android arbetar det via ADB: det listar installerade paket, hämtar systemloggar och kontrollerar dem mot samma uppsättningar av indikatorer. Det kan också analysera en Android-säkerhetskopia och skanna APK-filer.
Vad det faktiskt innebär att köra det
Den ärliga delen, som nedladdningssidorna brukar hoppa över.
Du behöver en dator med macOS eller Linux. Windows stöds inte fullt ut; folk använder WSL.
Du behöver vara bekväm med Python och en terminal. MVT installeras med pip:
pip install mvt
Det ger dig två kommandon, mvt-ios och mvt-android.
Du behöver en krypterad iPhone-säkerhetskopia. Gör en med Finder på macOS eller med iTunes, med krypteringsalternativet påslaget, och kom ihåg lösenordet. MVT dekrypterar den för analys:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Du behöver indikatorfiler. MVT kan hämta publicerade uppsättningar:
mvt-ios download-iocs
Sedan själva analysen:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
För Android via ADB, med utvecklaralternativ och USB-felsökning aktiverade:
mvt-android check-adb --iocs indicators.stix2 --output results/
Flaggor och kommandonamn ändras mellan versioner. Kontrollera den aktuella dokumentationen på docs.mvt.re i stället för att lita på någon guide, inklusive den här, när det gäller den exakta syntaxen.
Sedan läser du resultatet, som är en katalog med JSON-filer plus en uppsättning träffar. Det är här de flesta fastnar. Filerna är tidslinjer och uttagna poster; att tolka dem kräver att du vet hur en normal iPhone ser ut så att du kan lägga märke till det som avviker.
Realistiskt sett: en eftermiddag om du arbetar i en terminal varje dag, och en vägg om du inte gör det.
Så tolkar du resultatet
Det här är viktigare än installationen, och det är här människor gör fel åt båda hållen.
En träff är allvarlig men inte självförklarande. MVT flaggar det som matchar en indikator. Att bekräfta vad det betyder, och när det hände, är en analys som du fortfarande måste göra.
Inga träffar betyder inte att telefonen är ren. Det betyder att ingenting matchade de indikatorer du angav. Nya kampanjer, odokumenterade verktyg och infektioner som är äldre än din säkerhetskopia ger alla ett tyst resultat. Amnesty är tydlig med detta, och det är det enskilt mest missförstådda med verktyget.
Vissa fynd är bara intressanta. Tidslinjerna visar mycket vanlig aktivitet som ser alarmerande ut om du aldrig har sett en telefons inre förut.
När MVT är rätt svar
- Du arbetar i en terminal och skräms inte av JSON.
- Du är journalist, aktivist, advokat eller forskare och kan vara en verklig måltavla, och du vill ha verktyg med en offentlig, granskningsbar metod.
- Du vill ha något som inte har något kommersiellt intresse av resultatet – helt rimligt att vilja ha av ett säkerhetsverktyg, och en verklig fördel för MVT jämfört med allt som någon säljer till dig, oss inräknade.
- Du analyserar någon annans enhet i yrket och behöver en försvarbar, dokumenterad metod.
När det inte är det
- Du är orolig, inte teknisk, och behöver ett svar den här veckan.
- Det troliga problemet är kommersiell stalkerware som någon du känner har installerat, vilket är betydligt vanligare än legosoldatsspionprogram. Det syns i behörighetsvyerna; du behöver ingen forensik för att hitta det. Börja med Android eller iPhone.
- Du behöver dokumentation till en advokat, en polis eller en stödperson. MVT:s resultat är bevis, men det är ingen läsbar rapport.
- Du behöver kontrollera upprepade gånger snarare än en gång.
Vad Haris Shield gör annorlunda
Programmet använder samma offentliga indikatorer, MVT-projektets indikatoruppsättningar, som vår server bygger om till ett signerat paket varje natt. Det kontrollerar en del av samma spår från en dator, men det gör inte allt som MVT gör. Den nuvarande versionen analyserar inte en krypterad iPhone-säkerhetskopia. På iPhone läser det det som telefonen visar via kabeln: kraschloggar, konfigurations- och provisioneringsprofiler och säkerhetsinställningar, plus en sysdiagnose om du importerar en, vilket lägger till databaserna över nätverksanvändning och processkörning. På Android läser det enheten via ADB, precis som MVT. Så fungerar det listar varje punkt.
Det som försvinner är terminalarbetet: du får ett grafiskt program för macOS, Windows och Linux, indikatorer som hålls uppdaterade åt dig och en rapport med en risknivå för varje fynd som du kan spara som PDF och lämna till någon annan.
Det vi inte påstår är att vi hittar saker som MVT inte kan hitta. På iPhone läser MVT, när det körs på en fullständig krypterad säkerhetskopia, mer än vad vår nuvarande version gör. Där Amnestys indikatorer är de bästa som finns är det dem som alla med förnuft bygger på.
Om du kan köra MVT och vill göra det: kör MVT.
Om du hittar något
Rensa inte telefonen direkt om någon i din närhet kan vara inblandad – borttagningen kan varna personen och förstör bevis. Och om du kan vara måltavla för en statlig aktör: ta hjälp av människor som gör det här yrkesmässigt. Amnestys Security Lab och Access Nows Digital Security Helpline hjälper båda utsatta personer, utan kostnad. Så tar du bort spionprogram utan att den som installerade det märker något går igenom ordningen.
Det korta svaret
MVT är på riktigt: verktyget bakom Pegasus Project, utgivet av Amnestys Security Lab, gratis och med en offentlig metod. Det analyserar en krypterad iPhone-säkerhetskopia eller en Android-enhet via ADB mot publicerade indikatorer på intrång.
Det förutsätter också Python, en terminal och förmågan att tolka forensiska resultat, och ett rent resultat betyder bara att ingenting matchade de indikatorer du gav det. Om det passar dig: använd det. Om det inte gör det är metoden viktigare än verktyget – låt analysen göras från en dator, av något, i stället för att lita på en skanner som körs på just den telefon du försöker kontrollera.
Källor
- Mobile Verification Toolkit: mvt.re och dokumentation på docs.mvt.re
- MVT:s källkod: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
Läs vidare: så kontrollerar du en iPhone efter Pegasus, gratiskontroller av spionprogram: det som fungerar och det som är bluff.