Mobile Verification Toolkit, Amnesty International'ın Security Lab'i tarafından yayımlanan adli analiz aracıdır ve Pegasus Projesi'nin, yani paralı casus yazılımları 2021'de dünya genelinde manşetlere taşıyan soruşturmanın arkasındaki araçtır. Kaynak kodu herkese açıktır, hiçbir ücreti yoktur ve herkes onu kendi telefonunda çalıştırabilir.
Biz de benzer türde bir analiz yapan ticari bir ürün satıyoruz; bu yazıyı okurken bunu aklınızda bulundurun. MVT mükemmel bir araçtır. Teknik konularda kendine güvenen biri için ihtiyacınız olan her şey olabilir ve bu rehber sizi ondan vazgeçirmek için değil, onu kullanmanıza yardımcı olmak için yazıldı.
MVT gerçekte ne yapar
MVT, telefonunuzu bir antivirüsün bilgisayarı taradığı gibi taramaz. Telefonda zaten bulunan verileri çıkarır ve bunları yayımlanmış ele geçirilme göstergeleriyle karşılaştırır: bilinen casus yazılımların bağlandığı alan adları, oluşturduğu işlem adları, geride bıraktığı dosya yolları, ürettiği çökme kalıpları.
Bu ayrım, aracın hem gücünü hem de sınırlarını açıklar. Telefondan kendini değerlendirmesini istemek yerine kanıtları okur; cihazdaki hiçbir uygulamanın bulamayacağı şeyleri bulabilmesinin nedeni budur. Ve yalnızca birinin daha önce göstergelerini yayımladığı şeyleri bulur; bu da henüz kimsenin belgelemediği bir kampanyanın onun için görünmez olduğu anlamına gelir.
iOS'ta bir iTunes veya Finder yedeğini analiz eder; değerli malzeme de oradadır: çökme günlükleri, hangi işlemlerin ağı ne zaman kullandığını kaydeden bir veritabanı, kapanmaları kaydeden sistem dosyası, Safari geçmişi ve mesaj eklerinin meta verileri. Şifrelenmiş bir yedek, şifrelenmemiş olandan kayda değer ölçüde daha fazlasını içerir; bu da insanları şaşırtır.
Android'de ADB üzerinden çalışır; yüklü paketleri listeler, sistem günlüklerini çeker ve bunları aynı gösterge setleriyle karşılaştırır. Ayrıca bir Android yedeğini analiz edebilir ve APK dosyalarını tarayabilir.
Çalıştırmak gerçekte neleri gerektirir
İndirme sayfalarının genellikle atladığı dürüst kısım.
Bir bilgisayara ihtiyacınız var: macOS veya Linux. Windows düzgün biçimde desteklenmiyor; insanlar WSL kullanıyor.
Python ve terminal konusunda rahat olmanız gerekir. MVT, pip ile kurulur:
pip install mvt
Bu size iki komut verir: mvt-ios ve mvt-android.
Şifrelenmiş bir iPhone yedeğine ihtiyacınız var. macOS'ta Finder ile ya da iTunes ile, şifreleme seçeneği açık olarak bir yedek alın ve şifreyi unutmayın. MVT analiz için yedeğin şifresini çözer:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Gösterge dosyalarına ihtiyacınız var. MVT yayımlanmış setleri indirebilir:
mvt-ios download-iocs
Ardından analizin kendisi:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
ADB üzerinden Android için, geliştirici seçenekleri ve USB hata ayıklama açıkken:
mvt-android check-adb --iocs indicators.stix2 --output results/
Seçenekler ve komut adları sürümden sürüme değişebilir. Tam sözdizimi konusunda, bu rehber dahil hiçbir eğitime güvenmek yerine docs.mvt.re adresindeki güncel belgelere bakın.
Ardından çıktıyı okursunuz; bu, bir dizi tespitle birlikte JSON dosyalarından oluşan bir klasördür. Çoğu insanı durduran kısım budur. Dosyalar zaman çizelgeleri ve çıkarılmış kayıtlardır; bunları yorumlamak, normal bir iPhone'un neye benzediğini bilmeyi gerektirir ki normal olmayanı fark edebilesiniz.
Gerçekçi olmak gerekirse: her gün terminalde çalışıyorsanız bir öğleden sonra, çalışmıyorsanız aşılmaz bir duvar.
Sonuç nasıl okunur
Bu, kurulumdan daha önemlidir ve insanların her iki yönde de hata yaptığı yerdir.
Bir tespit ciddidir ama kendi kendini açıklamaz. MVT, bir göstergeyle eşleşen şeyleri işaretler. Bunun ne anlama geldiğini ve ne zaman olduğunu doğrulamak, sizin yine de yapmanız gereken bir analizdir.
Hiç tespit olmaması telefonun temiz olduğu anlamına gelmez. Yalnızca sağladığınız göstergelerle hiçbir şeyin eşleşmediği anlamına gelir. Yeni kampanyalar, belgelenmemiş araçlar ve yedeğinizden önceye uzanan bulaşmaların hepsi sessiz bir sonuç verir. Amnesty bu konuda açıktır ve bu, araç hakkında en çok yanlış anlaşılan tek şeydir.
Bazı bulgular yalnızca ilginçtir. Zaman çizelgeleri, bir telefonun iç yapısını daha önce hiç görmediyseniz endişe verici görünen pek çok sıradan etkinlik gösterir.
MVT'nin doğru cevap olduğu durumlar
- Terminalde çalışıyorsunuz ve JSON sizi yıldırmıyor.
- Gerçek bir hedef olabilecek bir gazeteci, aktivist, avukat veya araştırmacısınız ve herkese açık, denetlenebilir bir yöntemi olan araçlar istiyorsunuz.
- Sonuçta hiçbir ticari çıkarı olmayan bir şey istiyorsunuz; bu, bir güvenlik aracından beklenmesi son derece makul bir şeydir ve MVT'nin, biz dahil size bir şey satan herkese karşı gerçek bir üstünlüğüdür.
- Başka birinin cihazını profesyonel olarak analiz ediyorsunuz ve savunulabilir, belgelenmiş bir yönteme ihtiyacınız var.
Doğru cevap olmadığı durumlar
- Endişelisiniz, teknik değilsiniz ve bu hafta bir cevaba ihtiyacınız var.
- Olası sorun, tanıdığınız birinin yüklediği ticari takip yazılımıdır (stalkerware); bu, paralı casus yazılımlardan çok daha yaygındır. Bu tür yazılımlar izin ekranlarında görünür; bulmak için adli analize ihtiyacınız yoktur. Android ya da iPhone rehberimizle başlayın.
- Bir avukat, bir polis memuru ya da bir destek görevlisi için belgeye ihtiyacınız var. MVT'nin çıktısı kanıttır, ama okunabilir bir rapor değildir.
- Bir kez değil, tekrar tekrar kontrol etmeniz gerekiyor.
Haris Shield'ın farkı
Aynı kamuya açık göstergeleri, yani MVT projesinin gösterge setlerini kullanır; sunucumuz bunları her gece imzalı bir paket halinde yeniden oluşturur. Aynı izlerin bir kısmını bilgisayardan kontrol eder, ama MVT'nin yaptığı her şeyi yapmaz. Mevcut sürüm şifrelenmiş bir iPhone yedeğini analiz etmez. iPhone'da telefonun kablo üzerinden sunduklarını okur: çökme günlükleri, yapılandırma ve hazırlama (provisioning) profilleri ve güvenlik ayarları; ayrıca içe aktarırsanız bir sysdiagnose dosyasını da okur, bu da ağ kullanımı ve işlem çalıştırma veritabanlarını ekler. Android'de, MVT'nin yaptığı gibi cihazı ADB üzerinden okur. Nasıl çalışır sayfası her öğeyi listeliyor.
Ortadan kaldırdığı şey terminal işidir: macOS, Windows ve Linux için grafik arayüzlü bir uygulama, sizin için güncel tutulan göstergeler ve her bulgu için bir risk düzeyi içeren, PDF olarak kaydedip başka birine verebileceğiniz bir rapor alırsınız.
İddia etmediğimiz şey ise MVT'nin bulamadığı şeyleri bulduğumuzdur. iPhone'da, şifrelenmiş tam bir yedek üzerinde çalıştırılan MVT, mevcut sürümümüzden daha fazlasını okur. Amnesty'nin göstergeleri mevcut en iyi göstergeler olduğu sürece, aklı başında herkesin üzerine inşa ettiği şey onlardır.
MVT'yi çalıştırabiliyorsanız ve istiyorsanız, MVT'yi çalıştırın.
Bir şey bulursanız
Hayatınızdaki biri işin içinde olabilirse telefonu hemen temizlemeyin; kaldırma işlemi onu uyarabilir ve kanıtları yok eder. Ve devlet düzeyinde bir aktörün hedefi olabilirseniz, bu işi meslek olarak yapan insanlardan yardım alın: Amnesty'nin Security Lab'i ve Access Now'ın Digital Security Helpline'ı risk altındaki kişilere ücretsiz yardım ediyor. Casus yazılımı, yükleyen kişiyi uyarmadan nasıl kaldırırsınız yazımız izlenecek sırayı anlatıyor.
Kısaca
MVT gerçek bir araçtır: Pegasus Projesi'nin arkasındaki araç, Amnesty'nin Security Lab'i tarafından yayımlanıyor, ücretsiz ve herkese açık bir yöntemi var. Şifrelenmiş bir iPhone yedeğini ya da ADB üzerinden bir Android cihazı, yayımlanmış ele geçirilme göstergelerine karşı analiz eder.
Ayrıca Python, terminal ve adli analiz çıktısını yorumlama becerisi varsayar; temiz bir sonuç da yalnızca verdiğiniz göstergelerle hiçbir şeyin eşleşmediği anlamına gelir. Bu size uyuyorsa, kullanın. Uymuyorsa, yöntem araçtan daha önemlidir: doğrulamaya çalıştığınız telefonda çalışan bir tarayıcıya güvenmek yerine, analizi bir bilgisayardan, herhangi bir araçla yaptırın.
Kaynaklar
- Mobile Verification Toolkit: mvt.re ve belgeler: docs.mvt.re
- MVT kaynak kodu: github.com/mvt-project/mvt
- Amnesty International Security Lab, Adli Metodoloji Raporu: NSO Group'un Pegasus'u Nasıl Yakalanır: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
İlgili yazılar: iPhone'da Pegasus kontrolü, ücretsiz casus yazılım kontrolleri: ne işe yarar, ne dolandırıcılıktır.