De flesta artiklar om Pegasus berättar vad det är. Väldigt få berättar hur du tar reda på om det finns på din telefon. Den här handlar om den andra frågan, inklusive de delar som är obekväma.
Börja med en ärlig inramning: Pegasus är inget massmarknadshot. Det säljs av NSO Group till statliga kunder, varje användning är dyr, och det riktas mot specifika personer, oftast journalister, människorättsförsvarare, advokater, oppositionspolitiker och diplomater. Om du är orolig för att din telefon är långsam är den överlägset troligaste förklaringen att din telefon är långsam.
Men i absoluta tal är de som utsätts inte sällsynta. Apple har skickat hotaviseringar till användare i mer än 150 länder sedan 2021, och en enda omgång aviseringar i april 2024 nådde personer i 92 länder. Om ditt arbete gör dig till en trolig måltavla förtjänar frågan ett verkligt svar snarare än lugnande ord.
Varför du inte kan upptäcka Pegasus genom att titta på din telefon
Pegasus är ett nollklicksprogram. Det finns ingen misstänkt länk som du missade att undvika, ingen appikon att få syn på, ingen behörighetsdialog som du godkände. Det har levererats via iMessage och andra meddelandeplattformar helt utan någon interaktion. När det väl har tagit sig in kan det komma åt meddelanden, e-post, samtal, kamera, mikrofon och plats.
Det är också medvetet tyst. Vissa varianter finns bara i minnet, vilket betyder att en omstart tar bort dem – och tar bort det mesta av bevisen med dem. Andra har observerats städa bort loggfiler efter sig.
Det betyder att den vanliga listan med råd – håll utkik efter batteriförbrukning, leta efter okända appar, kontrollera popup-fönster – är nästan värdelös här. De symtomen beskriver stalkerware för konsumenter, vilket är ett annat hot med en annan budget. Mot statliga spionprogram säger frånvaron av symtom ingenting.
Det finns exakt en sorts svar som fungerar: forensisk analys av telefonens data utifrån telefonen.
De tre kontrollerna som är värda att göra, i ordning
1. Kontrollera om Apple redan har meddelat dig
Apple meddelar personer som företaget tror har utsatts individuellt. Det här är den enskilt mest värdefulla kontrollen som finns, den tar två minuter och den är gratis.
Logga in på account.apple.com och leta efter en varning högst upp på sidan. Apple skickar dessutom ett mejl och ett iMessage till de adresser som är kopplade till ditt Apple-ID.
Två saker att tänka på. En avisering är ett starkt tecken på att du har utsatts, men att ingen avisering har kommit är inget tecken på att du inte har utsatts, eftersom Apples upptäckt inte kan vara heltäckande. Och eftersom aviseringarna är alarmerande och har uppmärksammats mycket utger sig många för att vara dem: en äkta avisering ber dig aldrig klicka på en länk, installera programvara, öppna en bilaga eller ange ett lösenord.
2. Låt telefonens egna register granskas
Spår överlever på enheten, på ställen som appar inte kommer åt:
- Databaser som registrerar vilka processer som använde nätverket, och när
- Kraschloggar från försök att utnyttja sårbarheter som misslyckades
- En systemfil som registrerar avstängningar, som kan bevara avvikelser kring en infektion
- Metadata för bilagor i meddelanden och spår i cachen
Amnesty Internationals Security Lab rekonstruerade Pegasus infektionskedja ur just den här sortens material, och publicerade både metoden och verktygen i juli 2021 som en del av Pegasus Project. Deras verktyg med öppen källkod, Mobile Verification Toolkit, oftast kallat MVT, jämför en iPhone-säkerhetskopia med indikatorer på intrång: domäner, processnamn och filspår som är kopplade till kända kampanjer.
Om du är bekväm i en terminal är MVT referensverktyget, och det är gratis. Du installerar det med Python, gör en krypterad säkerhetskopia av din iPhone, laddar ned en aktuell indikatorfil och kör analysen. Resultatet är en uppsättning JSON-filer som du sedan måste tolka.
Om den meningen fick det att vända sig i magen på dig är det den verkliga tröskeln. Metoden är offentlig och sund; det praktiska avståndet mellan en orolig journalist och en färdig forensisk analys är det som stoppar de flesta. Haris Shield finns till för att överbrygga det avståndet, med en begränsning som du bör känna till. Programmet kontrollerar kraschloggar mot samma offentliga indikatorer och presenterar resultatet som en rapport i stället för som JSON. Den nuvarande versionen analyserar inte en krypterad säkerhetskopia, så på egen hand läser den mindre än en fullständig körning av MVT; om du importerar en sysdiagnose tillkommer databaserna över nätverksanvändning och processkörning. Om du har konkreta skäl att tro att du är måltavla för Pegasus: kör MVT på en krypterad säkerhetskopia, eller be Amnestys Security Lab eller Access Nows Digital Security Helpline om hjälp.
3. Förstå vad ett rent resultat betyder
En ren analys betyder att inga kända indikatorer hittades i de data som granskades. Det betyder inte att din telefon aldrig har komprometterats. Om en variant som bara fanns i minnet var närvarande och telefonen har startats om sedan dess kanske det inte finns något kvar att hitta. Om kampanjen mot dig använde verktyg som ingen forskare har publicerat indikatorer för ännu finns det inget att jämföra med.
Den som säger att hen kan intyga att en iPhone är ren lovar för mycket. Forensik hittar bevis; den bevisar inte frånvaro.
Vad du ska göra om något hittas
Starta inte om och gör ingen fabriksåterställning direkt. Din instinkt blir att radera telefonen. Om du kan vilja att fyndet ska gå att använda – av en advokat, en redaktion, en domstol eller av forskare som följer kampanjen – är enheten och dess data bevis, och en återställning förstör dem.
Utgå från att kontot, inte bara telefonen, är komprometterat. Byt lösenord till ditt Apple-ID och andra viktiga lösenord från en annan enhet som du litar på. Gå igenom vilka enheter som är inloggade med ditt Apple-ID och ta bort dem du inte känner igen.
Ta hjälp av experter. Flera organisationer gör det här arbetet för utsatta personer, ofta utan kostnad. Access Now driver en Digital Security Helpline för civilsamhället; Amnestys Security Lab utreder fall som rör människorättsförsvarare. Om ditt arbete har försatt dig i den här situationen är det dig de finns till för.
Tänk på den mänskliga sidan. Om du är journalist kan källor som har kontaktat dig också vara utsatta. Ofta är det just det som är det egentliga målet.
Minska risken framöver
- Låst läge är den starkaste enskilda åtgärden som finns i iOS. Det stänger av de flesta typer av bilagor i meddelanden, vissa webbtekniker och en del anslutningsfunktioner. Apple har uppgett att företaget inte känner till någon lyckad attack med legosoldatsspionprogram mot en enhet med Låst läge påslaget. Det finns under Inställningar, Integritet och säkerhet. Det gör telefonen mindre bekväm att använda, och det är priset.
- Uppdatera direkt. De här attackkedjorna bygger på brister som inte har täppts till; dröjsmålet är sårbarheten.
- Starta om regelbundet. Mot varianter som bara finns i minnet tar en omstart bort infektionen. Den tar också bort bevisen, så om du misstänker ett pågående intrång: be om råd innan du startar om.
- Minska din attackyta. Färre meddelandeappar, färre konton som främlingar kan nå.
- Dela upp. För arbete med verkligt hög risk begränsar en separat enhet för känsliga kontakter hur mycket ett enskilt intrång kostar dig.
Vanliga frågor, kort
Finns det en app som upptäcker Pegasus? Inte på iOS. Appar körs i en sandlåda och kan inte granska systemet, och därför arbetar alla trovärdiga metoder för upptäckt från en dator mot en säkerhetskopia.
Skulle en fabriksåterställning ta bort det? Förmodligen, men den tar också bort bevisen, och den åtgärdar inte det som gjorde dig till måltavla. Det är ett steg, inte en lösning.
Kan jag bli infekterad utan att klicka på något? Ja. Det är det som utmärker de här kampanjerna.
Ska jag vara orolig? Om du är journalist, aktivist, advokat eller politiker, särskilt om du arbetar med ämnen som en regering ogillar, är frågan rimlig och värd att reda ut ordentligt. Om du inte är det, och inget särskilt fick dig att söka på det här, är svaret nästan säkert nej, och vanlig stalkerware är en betydligt troligare oro. Vår guide så hittar du spionprogram på iPhone täcker det fallet.
Källor
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Mobile Verification Toolkit: mvt.re och github.com/mvt-project/mvt
- Apple, Om Apples hotaviseringar och skydd mot legosoldatsspionprogram: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
Läs vidare: så hittar du spionprogram på iPhone, stalkerware: tecknen och vad du inte ska göra och guiden till MVT.