Nếu bạn đang đọc bài này, có lẽ đã có điều gì đó khiến bạn bất an. Pin cạn từ trước giờ trưa. Người yêu biết những chuyện bạn chưa từng kể. Chiếc điện thoại cứ ấm lên trong túi suốt đêm. Bạn đi tìm một ứng dụng có thể quét iPhone và cho bạn biết sự thật, và bạn thấy hàng chục ứng dụng như thế trên App Store.
Đây là điều mà không ai bán những ứng dụng đó muốn giải thích: trên iPhone, chúng không thể làm được việc bạn nghĩ là chúng đang làm.
Vì sao ứng dụng diệt virus trên iPhone không tìm được phần mềm gián điệp
iOS đặt mỗi ứng dụng trong một môi trường cách ly (sandbox). Một ứng dụng chỉ thấy được tệp của chính nó, ngoài ra không thấy gì khác. Nó không thể đọc dữ liệu của ứng dụng khác, không thể liệt kê các tiến trình đang chạy trên điện thoại, và không thể kiểm tra tệp hệ thống. Thiết kế đó là một trong những lý do khiến iPhone khó bị lây nhiễm ngay từ đầu, và nó thực sự có lợi cho bạn.
Nhưng nó có hai mặt. Chính bức tường ngăn một ứng dụng độc hại đọc ứng dụng ngân hàng của bạn cũng ngăn một ứng dụng bảo mật tìm ra ứng dụng độc hại. Trên iOS không có cái gọi là quét toàn bộ hệ thống, vì Apple không cho phép điều đó tồn tại. Bất kỳ sản phẩm nào trên App Store được quảng cáo là trình quét virus cho iPhone thì cùng lắm cũng chỉ kiểm tra cài đặt Wi-Fi, cảnh báo bạn về các trang web xấu, và nhắc rằng iOS của bạn đã cũ.
Điều này quan trọng nhất với chính những mối đe dọa mà bạn đang lo. Phần mềm gián điệp đánh thuê như Pegasus khai thác những lỗ hổng nằm sâu trong hệ điều hành, ở tầng mà không ứng dụng nào trong sandbox quan sát được. Một công cụ chạy bên trong sandbox giống như đi tìm kẻ trộm trong khi bị nhốt trong tủ.
Vậy nếu không thể quét từ chính điện thoại, bạn thực sự làm được gì?
Năm bước bạn có thể tự kiểm tra trong mười phút
Không bước nào trong số này cho kết luận chắc chắn. Tất cả đều đáng làm, và một vài bước đã từng phát hiện ra những vụ xâm nhập thật.
1. Tìm thông báo về mối đe dọa từ Apple
Apple theo dõi các chiến dịch phần mềm gián điệp cấp nhà nước và cảnh báo những người mà Apple tin là đã bị nhắm tới. Từ năm 2021, Apple đã gửi thông báo cho người dùng ở hơn 150 quốc gia; riêng một chiến dịch vào tháng 4 năm 2024 đã đến tay người dùng ở 92 quốc gia.
Đăng nhập tại account.apple.com và tìm một biểu ngữ cảnh báo ở đầu trang. Apple cũng gửi email thông báo và iMessage tới các địa chỉ gắn với Apple ID của bạn.
Một lưu ý hết sức quan trọng: vì những thông báo này đáng sợ và nổi tiếng, chúng là vỏ bọc ưa thích của các trò lừa đảo. Một thông báo về mối đe dọa thật từ Apple không bao giờ yêu cầu bạn bấm vào liên kết, cài bất cứ thứ gì, mở tệp hay đưa mật khẩu. Nếu một tin nhắn làm bất kỳ điều nào trong số đó, nó không đến từ Apple. Hãy tự kiểm tra bằng cách đăng nhập vào account.apple.com, tự gõ địa chỉ bằng tay.
2. Kiểm tra các cấu hình (configuration profile)
Cấu hình (configuration profile) là một tính năng hợp lệ của iOS, cho phép chủ lao động hoặc nhà trường quản lý thiết bị. Đây cũng là một trong số ít cách được hỗ trợ chính thức để đưa việc theo dõi lâu dài lên iPhone mà không cần khai thác lỗ hổng, và đó là lý do phần mềm theo dõi lén (stalkerware) thương mại đôi khi hướng dẫn một người cài cấu hình trong lúc họ đang cầm điện thoại của bạn.
Vào Cài đặt, chọn Cài đặt chung, rồi Quản lý VPN & thiết bị. Trên một chiếc iPhone cá nhân bình thường, màn hình này trống, hoặc chỉ có những cấu hình bạn nhận ra là của chủ lao động. Bất cứ thứ gì bạn không nhận ra đều cần được giải thích trước khi bạn gỡ nó đi.
3. Rà soát những gì ứng dụng được phép thấy
Vào Cài đặt, chọn Quyền riêng tư & Bảo mật, rồi lần lượt xem Dịch vụ định vị, Micrô, Camera, Ảnh và Danh bạ. Ở đây bạn không tìm phần mềm gián điệp. Bạn đang tìm những ứng dụng bình thường có quyền bất thường, vì hình thức theo dõi điện thoại phổ biến nhất hoàn toàn không phải phần mềm độc hại tinh vi nào. Đó là một ứng dụng chia sẻ trong gia đình, một dịch vụ sao lưu ảnh, hay một công cụ ghi chú mà ai đó đã cài rồi lặng lẽ trỏ về tài khoản của chính họ.
Nhân tiện, hãy mở Cài đặt, chạm vào tên của bạn ở trên cùng, và kiểm tra danh sách thiết bị đang đăng nhập Apple ID. Một thiết bị bạn không nhận ra nghĩa là có người đọc được các bản sao lưu iCloud của bạn, và trong đó có cả tin nhắn.
4. Tìm dấu hiệu jailbreak
Phần lớn phần mềm gián điệp tồn tại lâu dài trên iPhone cần một thiết bị đã jailbreak. Nếu điện thoại của bạn bị jailbreak mà bạn không biết, bạn có thể thấy một ứng dụng bạn chưa từng cài, có tên Cydia, Sileo hoặc Zebra. Hãy tìm những cái tên đó trên điện thoại. Sự có mặt của chúng không chứng minh bạn bị theo dõi, nhưng chứng minh rằng ai đó đã gỡ bỏ các lớp bảo vệ của Apple khỏi thiết bị của bạn.
5. So sánh mức dùng pin và dữ liệu với thói quen của bạn
Mở Cài đặt, chọn Pin, và xem mười ngày gần nhất. Sau đó vào Cài đặt, chọn Di động, và lướt qua tổng lượng dùng của từng ứng dụng. Bạn đang tìm thứ gì đó không khớp với cách bạn thực sự dùng điện thoại: một ứng dụng bạn chưa bao giờ mở nhưng lại nằm gần đầu danh sách pin, hoặc lượng dữ liệu chạy nền tính bằng gigabyte.
Hãy coi đây là tín hiệu yếu nhất trong năm bước. Một viên pin đang hỏng, một bản cập nhật iOS hay thư viện ảnh đang đồng bộ sau kỳ nghỉ đều tạo ra cùng một kiểu hình. Mức tiêu thụ không giải thích được là lý do để xem kỹ hơn, không phải là kết luận.
Những gì các bước này không thể cho bạn biết
Mọi thứ ở trên đều diễn ra bên trong sandbox, nghĩa là bất cứ thứ gì tinh vi đều có thể qua mặt chúng. Phần mềm gián điệp không cần nhấp (zero-click) không để lại biểu tượng, không xin quyền nào, và không cần bạn chạm vào bất cứ thứ gì. Nó có thể được cài qua một tin nhắn bạn chưa từng mở, và với một số biến thể, nó hoàn toàn không tồn tại sau khi khởi động lại máy, khiến việc bắt quả tang càng khó hơn.
Dấu vết vẫn tồn tại. Chỉ là chúng không nằm ở những nơi iOS cho phép ứng dụng nhìn vào. Chúng nằm trong nhật ký sự cố, trong các cơ sở dữ liệu ghi lại tiến trình nào đã dùng mạng và vào lúc nào, trong một tệp hệ thống nhỏ ghi lại các lần tắt máy, và trong siêu dữ liệu bên trong một bản sao lưu được mã hóa. Muốn đọc chúng thì phải bước ra ngoài sandbox, và chỉ có một cách thực tế để làm điều đó.
Phân tích từ máy tính hoạt động thế nào
Cắm iPhone vào máy tính bằng cáp, điện thoại sẽ tạo một bản sao lưu đầy đủ, cùng với dữ liệu chẩn đoán mà không ứng dụng nào trên thiết bị được phép đọc. Bản sao lưu đó sau đó có thể được đối chiếu với các chỉ dấu xâm nhập đã biết: những tên miền mà phần mềm gián điệp đánh thuê được biết là liên lạc tới, những tên tiến trình mà nó tạo ra, những dấu vết mà nó để lại.
Đây là phương pháp mà các nhà nghiên cứu thực sự lật tẩy những chiến dịch này sử dụng. Security Lab của Amnesty International phát hành một công cụ mã nguồn mở tên là Mobile Verification Toolkit làm đúng việc này, và đó là nền tảng của cuộc điều tra Dự án Pegasus năm 2021. Công cụ này miễn phí, được đánh giá cao, và là công cụ dòng lệnh, mặc định rằng bạn thoải mái với việc cài gói Python và diễn giải kết quả pháp y.
Phần cuối đó là điểm vướng, nói thật lòng. Phương pháp thì vững chắc và công cụ thì công khai, nhưng khoảng cách giữa một người đang lo lắng và một bản phân tích pháp y hoàn chỉnh là rất lớn. Thu hẹp khoảng cách đó là lý do Haris Shield ra đời: phân tích từ máy tính dựa trên cùng các chỉ dấu công khai, với một bản báo cáo bạn đọc được mà không cần cửa sổ dòng lệnh. Phiên bản hiện tại không phân tích bản sao lưu đầy đủ. Nó đọc nhật ký sự cố và các cấu hình đã cài qua cáp, cùng một tệp sysdiagnose nếu bạn nhập vào; trang cách hoạt động có danh sách đầy đủ.
Nếu bạn tìm thấy điều gì đó, hãy đọc phần này trước khi xóa
Đây là phần quan trọng nhất của bài viết, và cũng là phần mà hầu hết các hướng dẫn bỏ qua.
Nếu bạn nghi người đang theo dõi mình là một người trong cuộc sống của bạn — người yêu hoặc vợ/chồng, người yêu cũ, một người trong gia đình, chủ lao động — thì gỡ phần mềm gián điệp chưa chắc đã là bước đầu tiên đúng. Nhiều sản phẩm theo dõi lén báo cho người đã cài chúng ngay khi chúng bị vô hiệu hóa. Trong một hoàn cảnh bị kiểm soát hoặc bạo hành, thời điểm việc theo dõi bạn dừng lại cũng là thời điểm người đang theo dõi biết bạn đã phát hiện ra. Nguy cơ leo thang đó đã được ghi nhận trên thực tế, không phải chuyện giả định.
Coalition Against Stalkerware (Liên minh chống phần mềm theo dõi lén), tổ chức quy tụ các tổ chức hỗ trợ nạn nhân bạo lực gia đình và các công ty bảo mật, nói rõ điều này: xóa phần mềm theo dõi lén cũng là xóa luôn bằng chứng, và bằng chứng đó có thể quan trọng nếu bạn báo công an.
Một thứ tự an toàn hơn:
- Chưa làm gì trên điện thoại cả. Đừng đối chất với ai.
- Xin lời khuyên trước, từ một thiết bị mà người kia chưa từng có quyền truy cập. Một tổ chức hỗ trợ nạn nhân bạo lực gia đình có thể giúp bạn lên kế hoạch cho các bước.
- Ghi lại những gì bạn tìm thấy. Một bản báo cáo pháp y có giá trị hơn ảnh chụp màn hình.
- Đổi mật khẩu và bật xác thực hai yếu tố từ một thiết bị khác, không phải từ chiếc điện thoại bạn đang nghi ngờ.
- Chỉ sau đó mới quyết định việc gỡ bỏ, tốt nhất là khi đã có sự hỗ trợ.
Nếu bạn không ở trong hoàn cảnh đó, và vụ xâm nhập trông giống tội phạm thông thường hoặc một kẻ tấn công không rõ danh tính, cách tính toán đơn giản hơn. Cập nhật iOS, gỡ những gì bạn tìm thấy, đổi mật khẩu Apple ID, và cân nhắc khôi phục cài đặt gốc mà không khôi phục bản sao lưu đáng ngờ.
Khiến bản thân khó bị nhắm tới hơn
- Bật Chế độ phong tỏa (Lockdown Mode) nếu bạn có lý do thật sự để nghĩ mình bị nhắm tới. Nó nằm trong Cài đặt, Quyền riêng tư & Bảo mật, và nó vô hiệu hóa những loại tệp đính kèm tin nhắn và tính năng web mà các vụ khai thác này dựa vào. Apple cho biết họ không biết bất kỳ vụ tấn công thành công nào bằng phần mềm gián điệp đánh thuê nhắm vào thiết bị đã bật Chế độ phong tỏa. Một số thứ sẽ không còn hoạt động, và đó chính là mục đích.
- Cài bản cập nhật iOS ngay ngày chúng ra mắt. Phần lớn các chiến dịch này dựa vào những lỗ hổng mà Apple đã vá.
- Dùng một mật mã không ai khác biết, và kiểm tra xem có khuôn mặt Face ID hay vân tay Touch ID nào lạ được thêm vào không.
- Đừng jailbreak, và đừng để ai jailbreak hộ bạn.
- Rà soát các thiết bị trong Apple ID vài tháng một lần.
Tóm lại
Bạn không thể quét phần mềm gián điệp trên iPhone từ chính chiếc iPhone. Bất cứ thứ gì tuyên bố ngược lại đều bị giới hạn bởi một sandbox mà nó không thể thoát ra. Những gì bạn tự làm được là kiểm tra thông báo về mối đe dọa từ Apple, các cấu hình lạ, ứng dụng có quá nhiều quyền, dấu vết jailbreak, và mức tiêu thụ không khớp với thói quen của bạn. Ngoài những điều đó, câu trả lời thực sự duy nhất là phân tích từ máy tính.
Và nếu bạn tìm thấy điều gì đó và có thể một người trong cuộc sống của bạn đứng sau, hãy xin lời khuyên trước khi động vào bất cứ thứ gì. Quét là phần dễ.
Nguồn
- Apple, Giới thiệu về thông báo mối đe dọa của Apple và cách bảo vệ trước phần mềm gián điệp đánh thuê: support.apple.com/en-us/102174
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Mobile Verification Toolkit: mvt.re
- Coalition Against Stalkerware, Thông tin dành cho người bị hại: stopstalkerware.org/information-for-survivors
Đọc thêm: cách phát hiện phần mềm gián điệp trên Android, dấu hiệu phần mềm theo dõi lén và những điều không nên làm, kiểm tra iPhone có nhiễm Pegasus không, những cách kiểm tra phần mềm gián điệp miễn phí thực sự hiệu quả, và cách gỡ phần mềm gián điệp an toàn.