Mobile Verification Toolkit là công cụ pháp y kỹ thuật số do Security Lab của Amnesty International phát hành, và là công cụ đứng sau Dự án Pegasus — cuộc điều tra năm 2021 đã đưa phần mềm gián điệp đánh thuê lên trang nhất báo chí khắp thế giới. Mã nguồn của nó công khai, nó hoàn toàn miễn phí, và ai cũng có thể chạy nó trên điện thoại của chính mình.
Chúng tôi bán một sản phẩm thương mại thực hiện cùng loại phân tích, nên hãy đọc bài này với điều đó trong đầu. MVT rất xuất sắc. Với một người tự tin về kỹ thuật, nó có thể là tất cả những gì bạn cần, và hướng dẫn này được viết để giúp bạn dùng nó chứ không phải để can bạn đừng dùng.
MVT thực sự làm gì
MVT không quét điện thoại theo cách một phần mềm diệt virus quét máy tính. Nó trích xuất những dữ liệu mà điện thoại vốn đang lưu giữ, rồi đối chiếu với các chỉ dấu xâm nhập đã được công bố: những tên miền mà phần mềm gián điệp đã biết liên lạc tới, những tên tiến trình mà nó tạo ra, những đường dẫn tệp mà nó để lại, những kiểu sự cố mà nó gây ra.
Sự khác biệt đó giải thích cả điểm mạnh lẫn giới hạn của nó. Nó đọc bằng chứng thay vì yêu cầu điện thoại tự đánh giá chính nó, và đó là lý do nó có thể tìm ra những thứ mà không ứng dụng nào trên thiết bị tìm được. Nhưng nó chỉ tìm được những gì đã có người công bố chỉ dấu, nghĩa là một chiến dịch chưa ai ghi nhận thì hoàn toàn vô hình với nó.
Trên iOS, nó phân tích bản sao lưu từ iTunes hoặc Finder, nơi chứa những dữ liệu giá trị: nhật ký sự cố, một cơ sở dữ liệu ghi lại tiến trình nào đã dùng mạng và vào lúc nào, tệp hệ thống ghi lại các lần tắt máy, lịch sử Safari và siêu dữ liệu của tệp đính kèm trong tin nhắn. Một bản sao lưu được mã hóa chứa nhiều thông tin hơn đáng kể so với bản không mã hóa, điều khiến nhiều người bất ngờ.
Trên Android, nó làm việc qua ADB, liệt kê các gói phần mềm đã cài, lấy nhật ký hệ thống và đối chiếu chúng với cùng các bộ chỉ dấu. Nó cũng có thể phân tích bản sao lưu Android và quét các tệp APK.
Việc chạy nó thực sự đòi hỏi những gì
Phần nói thật, mà các trang tải về thường bỏ qua.
Bạn cần một máy tính, chạy macOS hoặc Linux. Windows không được hỗ trợ đầy đủ; người ta dùng WSL.
Bạn cần thoải mái với Python và cửa sổ dòng lệnh. MVT được cài bằng pip:
pip install mvt
Lệnh đó cho bạn hai câu lệnh, mvt-ios và mvt-android.
Bạn cần một bản sao lưu iPhone được mã hóa. Tạo bản sao lưu bằng Finder trên macOS hoặc iTunes, bật tùy chọn mã hóa, và nhớ mật khẩu. MVT sẽ giải mã nó để phân tích:
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
Bạn cần các tệp chỉ dấu. MVT có thể tải về các bộ đã được công bố:
mvt-ios download-iocs
Sau đó là bước phân tích:
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
Với Android qua ADB, khi đã bật tùy chọn cho nhà phát triển và gỡ lỗi USB:
mvt-android check-adb --iocs indicators.stix2 --output results/
Các tham số và tên lệnh có thay đổi giữa các phiên bản. Hãy xem tài liệu hiện hành tại docs.mvt.re thay vì tin vào cú pháp chính xác trong bất kỳ bài hướng dẫn nào, kể cả bài này.
Sau đó bạn đọc kết quả, là một thư mục chứa các tệp JSON cùng một tập hợp các phát hiện. Đây là phần khiến phần lớn mọi người dừng lại. Các tệp là dòng thời gian và bản ghi được trích xuất; diễn giải chúng đòi hỏi bạn biết một chiếc iPhone bình thường trông như thế nào để nhận ra điều gì không bình thường.
Nói thực tế: mất một buổi chiều nếu bạn làm việc với cửa sổ dòng lệnh hằng ngày, và là một bức tường nếu bạn không như vậy.
Cách đọc kết quả
Phần này quan trọng hơn cả việc cài đặt, và là chỗ người ta hiểu sai theo cả hai hướng.
Một phát hiện là nghiêm trọng nhưng không tự giải thích được. MVT đánh dấu những gì khớp với một chỉ dấu. Xác nhận ý nghĩa của nó, và nó xảy ra khi nào, là phần phân tích bạn vẫn phải tự làm.
Không có phát hiện nào không có nghĩa là điện thoại sạch. Nó có nghĩa là không có gì khớp với các chỉ dấu bạn đã cung cấp. Các chiến dịch mới, các công cụ chưa được ghi nhận và những vụ lây nhiễm xảy ra trước thời điểm bản sao lưu của bạn đều cho ra một kết quả im lặng. Amnesty nói rõ điều này, và đây là điều bị hiểu lầm nhiều nhất về công cụ.
Một số phát hiện chỉ đơn giản là thú vị. Dòng thời gian cho thấy rất nhiều hoạt động bình thường nhưng trông đáng báo động nếu bạn chưa từng nhìn vào bên trong một chiếc điện thoại.
Khi nào MVT là câu trả lời đúng
- Bạn làm việc với cửa sổ dòng lệnh và không ngại JSON.
- Bạn là nhà báo, nhà hoạt động, luật sư hay nhà nghiên cứu có thể thực sự là mục tiêu, và bạn muốn một công cụ có phương pháp công khai, kiểm chứng được.
- Bạn muốn một thứ không có lợi ích thương mại nào gắn với kết quả — một mong muốn hoàn toàn hợp lý đối với một công cụ bảo mật, và là một lợi thế thật sự của MVT so với bất cứ thứ gì người ta bán cho bạn, kể cả chúng tôi.
- Bạn phân tích thiết bị của người khác một cách chuyên nghiệp và cần một phương pháp có thể bảo vệ được, được ghi chép đầy đủ.
Khi nào thì không
- Bạn đang lo lắng, không rành kỹ thuật, và cần câu trả lời ngay trong tuần này.
- Vấn đề nhiều khả năng là phần mềm theo dõi lén (stalkerware) thương mại do một người bạn quen biết cài, điều phổ biến hơn nhiều so với phần mềm gián điệp đánh thuê. Loại này hiện ra trên các màn hình quyền; bạn không cần đến pháp y để tìm ra nó. Hãy bắt đầu với Android hoặc iPhone.
- Bạn cần tài liệu cho luật sư, cán bộ công an hoặc nhân viên hỗ trợ. Kết quả của MVT là bằng chứng, nhưng không phải một bản báo cáo dễ đọc.
- Bạn cần kiểm tra nhiều lần thay vì chỉ một lần.
Haris Shield làm khác đi ở điểm nào
Nó dùng cùng các chỉ dấu công khai, tức các bộ chỉ dấu của dự án MVT, được máy chủ của chúng tôi dựng lại thành một gói có chữ ký mỗi đêm. Nó kiểm tra một số dấu vết giống vậy từ máy tính, nhưng không làm được mọi thứ MVT làm. Phiên bản hiện tại không phân tích bản sao lưu iPhone được mã hóa. Trên iPhone, nó đọc những gì điện thoại để lộ qua cáp: nhật ký sự cố, các cấu hình (configuration profile) và provisioning profile, cài đặt bảo mật, cùng một tệp sysdiagnose nếu bạn nhập vào, giúp bổ sung các cơ sở dữ liệu về mức sử dụng mạng và việc thực thi tiến trình. Trên Android, nó đọc thiết bị qua ADB, giống như MVT. Trang cách hoạt động liệt kê từng mục.
Điều nó loại bỏ là phần việc trên cửa sổ dòng lệnh: bạn có một ứng dụng giao diện đồ họa cho macOS, Windows và Linux, các chỉ dấu được cập nhật sẵn cho bạn, và một bản báo cáo có mức độ rủi ro cho từng phát hiện mà bạn có thể lưu thành PDF và đưa cho người khác.
Điều chúng tôi không tuyên bố là chúng tôi tìm ra được những thứ MVT không tìm được. Trên iPhone, MVT chạy trên một bản sao lưu đầy đủ được mã hóa đọc được nhiều hơn phiên bản hiện tại của chúng tôi. Ở những chỗ các chỉ dấu của Amnesty là tốt nhất hiện có, chúng là nền tảng mà bất kỳ ai tỉnh táo cũng sẽ xây dựng dựa trên.
Nếu bạn chạy được MVT và muốn chạy, hãy chạy MVT.
Nếu bạn tìm thấy điều gì đó
Đừng làm sạch điện thoại ngay nếu có thể một người trong cuộc sống của bạn liên quan — việc gỡ bỏ có thể báo động cho họ và hủy luôn bằng chứng. Và nếu bạn có thể là mục tiêu của một chủ thể cấp nhà nước, hãy tìm sự giúp đỡ từ những người làm việc này một cách chuyên nghiệp: Security Lab của Amnesty và Đường dây hỗ trợ an ninh kỹ thuật số (Digital Security Helpline) của Access Now đều hỗ trợ miễn phí cho những cá nhân gặp rủi ro. Bài cách gỡ phần mềm gián điệp mà không để người đã cài nó phát hiện trình bày trình tự các bước.
Tóm lại
MVT là công cụ thực thụ: công cụ đứng sau Dự án Pegasus, do Security Lab của Amnesty phát hành, miễn phí, với phương pháp công khai. Nó phân tích một bản sao lưu iPhone được mã hóa hoặc một thiết bị Android qua ADB, đối chiếu với các chỉ dấu xâm nhập đã được công bố.
Nó cũng mặc định rằng bạn biết Python, cửa sổ dòng lệnh và có khả năng diễn giải kết quả pháp y, và một kết quả sạch chỉ có nghĩa là không có gì khớp với các chỉ dấu bạn đã đưa vào. Nếu điều đó phù hợp với bạn, hãy dùng nó. Nếu không, phương pháp quan trọng hơn công cụ — hãy để việc phân tích được thực hiện từ máy tính, bằng một công cụ nào đó, thay vì tin vào một ứng dụng quét chạy trên chính chiếc điện thoại bạn đang muốn xác minh.
Nguồn
- Mobile Verification Toolkit: mvt.re và tài liệu tại docs.mvt.re
- Mã nguồn MVT: github.com/mvt-project/mvt
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Access Now Digital Security Helpline: accessnow.org/help
Đọc thêm: kiểm tra iPhone có nhiễm Pegasus không, kiểm tra phần mềm gián điệp miễn phí: cách nào hiệu quả, cách nào là lừa đảo.