Pegasus hakkındaki yazıların çoğu size onun ne olduğunu anlatır. Telefonunuzda olup olmadığını nasıl öğreneceğinizi anlatan ise çok azdır. Bu yazı, işin rahatsız edici kısımları da dahil olmak üzere ikinci soruyla ilgili.
Dürüst bir çerçeveyle başlayalım: Pegasus kitlesel bir tehdit değildir. NSO Group tarafından devlet müşterilerine satılır, her kullanımı pahalıdır ve belirli kişileri hedef alır; genellikle gazetecileri, insan hakları savunucularını, avukatları, muhalefet politikacılarını ve diplomatları. Telefonunuz yavaş olduğu için endişeleniyorsanız, açık ara en olası açıklama telefonunuzun yavaş olmasıdır.
Ama hedef alınan insanlar mutlak sayılarla nadir değildir. Apple, 2021'den bu yana 150'den fazla ülkedeki kullanıcılara tehdit bildirimi gönderdi ve Nisan 2024'teki tek bir bildirim dalgası 92 ülkedeki insanlara ulaştı. İşiniz sizi makul bir hedef haline getiriyorsa, bu soru teselliyi değil, gerçek bir cevabı hak ediyor.
Pegasus'u neden telefonunuza bakarak tespit edemezsiniz
Pegasus sıfır tıklamalıdır. Kaçınmayı başaramadığınız şüpheli bir bağlantı, fark edilecek bir uygulama simgesi, kabul ettiğiniz bir izin penceresi yoktur. iMessage ve diğer mesajlaşma platformları üzerinden, hiçbir etkileşim olmadan iletilmiştir. Yerleştikten sonra mesajlara, e-postaya, aramalara, kameraya, mikrofona ve konuma erişebilir.
Ayrıca bilerek sessiz çalışır. Bazı türleri yalnızca bellekte yaşar; bu da yeniden başlatmanın onları ve kanıtların çoğunu birlikte sildiği anlamına gelir. Diğerlerinin arkalarında kalan günlük dosyalarını temizlediği gözlemlenmiştir.
Bu da her zamanki tavsiye listesinin, yani pilin hızlı bitmesine dikkat edin, bilinmeyen uygulamalara bakın, açılır pencereleri kontrol edin türünden önerilerin burada neredeyse işe yaramadığı anlamına gelir. Bu belirtiler, farklı bir bütçeye sahip farklı bir tehdit olan tüketicilere yönelik takip yazılımlarını (stalkerware) tarif eder. Devlet düzeyindeki casus yazılımlara karşı belirtilerin olmaması size hiçbir şey söylemez.
İşe yarayan tek bir cevap türü vardır: telefonun verilerinin, telefonun dışından adli analizi.
Yapmaya değer üç kontrol, sırasıyla
1. Apple'ın size zaten haber verip vermediğine bakın
Apple, bireysel olarak hedef alındığını düşündüğü kişileri bilgilendirir. Bu, yapabileceğiniz en değerli kontroldür; iki dakika sürer ve ücretsizdir.
account.apple.com adresinde oturum açın ve sayfanın üst kısmında bir uyarı olup olmadığına bakın. Apple ayrıca Apple Kimliğinizle ilişkili adreslere bir e-posta ve bir iMessage gönderir.
Aklınızda tutmanız gereken iki şey var. Bir bildirim, hedef alındığınıza dair güçlü bir kanıttır; ama bildirimin olmaması hedef alınmadığınızın kanıtı değildir, çünkü Apple'ın tespiti eksiksiz olamaz. Ayrıca bildirimler korkutucu olduğu ve geniş çapta haberlere konu olduğu için sıkça taklit edilir: gerçek bir bildirim sizden asla bir bağlantıya tıklamanızı, yazılım yüklemenizi, bir eki açmanızı ya da şifre vermenizi istemez.
2. Telefonun kendi kayıtlarını inceletin
İzler cihazda, uygulamaların erişemediği yerlerde gerçekten kalır:
- Hangi işlemlerin ağı ne zaman kullandığını kaydeden veritabanları
- Başarısız olan saldırı girişimlerinden kalan çökme günlükleri
- Kapanmaları kaydeden ve bir bulaşma çevresindeki anormallikleri saklayabilen bir sistem dosyası
- Mesaj eklerinin meta verileri ve önbellek izleri
Amnesty International'ın Security Lab'i, Pegasus bulaşma zincirini tam olarak bu tür malzemelerden yeniden oluşturdu ve hem yöntemi hem de araçları Temmuz 2021'de Pegasus Projesi kapsamında yayımladı. Genellikle MVT olarak anılan açık kaynaklı Mobile Verification Toolkit, bir iPhone yedeğini ele geçirilme göstergeleriyle karşılaştırır: bilinen kampanyalarla ilişkili alan adları, işlem adları ve dosya izleri.
Terminalde rahatsanız, MVT referans uygulamadır ve ücretsizdir. Python ile kurarsınız, iPhone'un şifrelenmiş bir yedeğini alırsınız, güncel bir gösterge dosyası indirirsiniz ve analizi çalıştırırsınız. Çıktı, sonrasında yorumlamanız gereken bir dizi JSON dosyasıdır.
Bu cümle içinizi sıkıştırdıysa, asıl engel budur. Yöntem herkese açık ve sağlamdır; çoğu insanı durduran şey, endişeli bir gazeteci ile tamamlanmış bir adli analiz arasındaki pratik mesafedir. Haris Shield bu mesafeyi kapatmak için var; ama bilmeniz gereken bir sınırı var. Çökme günlüklerini aynı kamuya açık göstergelere karşı kontrol eder ve sonucu JSON olarak değil, bir rapor olarak sunar. Mevcut sürüm şifrelenmiş bir yedeği analiz etmez; bu yüzden tek başına, tam bir MVT çalıştırmasından daha azını okur. Bir sysdiagnose dosyasını içe aktarmak, ağ kullanımı ve işlem çalıştırma veritabanlarını ekler. Pegasus hedefi olduğunuza inanmak için somut bir nedeniniz varsa, MVT'yi şifrelenmiş bir yedek üzerinde çalıştırın ya da Amnesty'nin Security Lab'inden veya Access Now'ın Digital Security Helpline'ından yardım isteyin.
3. Temiz bir sonucun ne anlama geldiğini anlayın
Temiz bir analiz, incelenen verilerde bilinen hiçbir göstergenin bulunmadığı anlamına gelir. Telefonunuzun hiçbir zaman ele geçirilmediği anlamına gelmez. Yalnızca bellekte yaşayan bir tür bulunduysa ve telefon o zamandan beri yeniden başladıysa, bulunacak hiçbir şey kalmamış olabilir. Size karşı yürütülen kampanya, henüz hiçbir araştırmacının göstergelerini yayımlamadığı araçlar kullandıysa, karşılaştırılacak hiçbir şey yoktur.
Bir iPhone'un temiz olduğunu belgeleyebileceğini söyleyen herkes abartıyordur. Adli analiz kanıt bulur; yokluğu kanıtlamaz.
Bir şey bulunursa ne yapmalı
Telefonu hemen yeniden başlatmayın ya da fabrika ayarlarına sıfırlamayın. İçgüdünüz telefonu silmek olacaktır. Bulgunun bir avukat, bir haber merkezi, bir mahkeme ya da kampanyayı izleyen araştırmacılar tarafından kullanılabilir olmasını isteyebilirseniz, cihaz ve verileri kanıttır; sıfırlamak onları yok eder.
Yalnızca telefonun değil, hesabın da ele geçirildiğini varsayın. Apple Kimliği şifrenizi ve tüm kritik şifrelerinizi güvendiğiniz başka bir cihazdan değiştirin. Apple Kimliğinizle hangi cihazların oturum açtığını gözden geçirin ve tanımadıklarınızı kaldırın.
Uzman yardımı alın. Birçok kuruluş risk altındaki insanlar için bu işi, çoğu zaman ücretsiz olarak yapıyor. Access Now, sivil toplum için bir Digital Security Helpline işletiyor; Amnesty'nin Security Lab'i ise insan hakları savunucularını ilgilendiren vakaları araştırıyor. Bu duruma işiniz yüzünden düştüyseniz, hitap ettikleri kişiler tam olarak sizsiniz.
İşin insani yönünü düşünün. Gazeteciyseniz, sizinle iletişime geçen kaynaklar da açığa çıkmış olabilir. Çoğu zaman asıl hedef de budur.
İleriye dönük riski azaltmak
- Kilitleme Modu, iOS'taki en güçlü tek önlemdir. Mesaj eki türlerinin çoğunu, bazı web teknolojilerini ve bazı bağlantı özelliklerini devre dışı bırakır. Apple, Kilitleme Modu açık bir cihaza karşı başarılı bir paralı casus yazılım saldırısından haberdar olmadığını açıkladı. Ayarlar, Gizlilik ve Güvenlik altındadır. Telefonu daha az kullanışlı hale getirir; bedeli de budur.
- Hemen güncelleyin. Bu saldırı zincirleri kapatılmamış açıklara dayanır; gecikmenin kendisi güvenlik açığıdır.
- Düzenli olarak yeniden başlatın. Bellekte yaşayan türlere karşı yeniden başlatma bulaşmayı ortadan kaldırır. Kanıtları da ortadan kaldırır; bu yüzden aktif bir saldırıdan şüpheleniyorsanız, yeniden başlatmadan önce tavsiye alın.
- Saldırı yüzeyinizi küçültün. Daha az mesajlaşma uygulaması, yabancıların ulaşabileceği daha az hesap.
- Bölümlere ayırın. Gerçekten yüksek riskli işler için hassas kişilere ayrı bir cihaz kullanmak, tek bir saldırının size maliyetini sınırlar.
Sık sorulanlar, kısaca
Pegasus'u tespit eden bir uygulama var mı? iOS'ta yok. Uygulamalar korumalı bir alanda (sandbox) çalışır ve sistemi inceleyemez; güvenilir her tespit yönteminin bir bilgisayardan, bir yedek üzerinde çalışmasının nedeni budur.
Fabrika ayarlarına sıfırlama onu kaldırır mı? Muhtemelen; ama kanıtları da kaldırır ve sizi hedef haline getiren açıklığı da gidermez. Bir adımdır, çözüm değil.
Hiçbir şeye tıklamadan bulaşma olabilir mi? Evet. Bu kampanyaların belirleyici özelliği budur.
Endişelenmeli miyim? Gazeteci, aktivist, avukat ya da siyasi bir figürseniz, özellikle de bir hükümetin hoşlanmadığı konular üzerinde çalışıyorsanız, soru makuldür ve düzgün biçimde çözülmeye değer. Değilseniz ve bu aramaya sizi belirli bir şey yöneltmediyse, cevap neredeyse kesinlikle hayırdır; sıradan takip yazılımları çok daha olası bir endişedir. iPhone'da casus yazılım tespiti rehberimiz bu durumu ele alıyor.
Kaynaklar
- Amnesty International Security Lab, Adli Metodoloji Raporu: NSO Group'un Pegasus'u Nasıl Yakalanır: amnesty.org
- Mobile Verification Toolkit: mvt.re ve github.com/mvt-project/mvt
- Apple, Apple tehdit bildirimleri ve paralı casus yazılımlara karşı korunma hakkında: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
İlgili yazılar: iPhone'da casus yazılım nasıl tespit edilir, takip yazılımı işaretleri ve yapılmaması gerekenler ve MVT rehberi.