Phần lớn các bài viết về Pegasus cho bạn biết nó là gì. Rất ít bài cho bạn biết cách tìm hiểu xem nó có nằm trên điện thoại của bạn hay không. Bài này nói về câu hỏi thứ hai, kể cả những phần không mấy dễ chịu.
Hãy bắt đầu với một cách nhìn trung thực: Pegasus không phải là mối đe dọa đại trà. Nó được NSO Group bán cho các khách hàng là chính phủ, mỗi lần triển khai đều tốn kém, và nó nhắm vào những người cụ thể, thường là nhà báo, người bảo vệ nhân quyền, luật sư, chính trị gia đối lập và nhà ngoại giao. Nếu bạn lo lắng vì điện thoại chạy chậm, thì lời giải thích gần như chắc chắn là điện thoại của bạn chỉ đơn giản là chạy chậm.
Nhưng xét về con số tuyệt đối, những người bị nhắm tới không hề hiếm. Từ năm 2021, Apple đã gửi thông báo về mối đe dọa cho người dùng ở hơn 150 quốc gia, và chỉ một đợt thông báo vào tháng 4 năm 2024 đã đến tay người dùng ở 92 quốc gia. Nếu công việc khiến bạn có thể trở thành mục tiêu, câu hỏi này xứng đáng có một câu trả lời thật sự thay vì những lời trấn an.
Vì sao bạn không thể phát hiện Pegasus bằng cách nhìn vào điện thoại
Pegasus lây nhiễm mà không cần nhấp (zero-click). Không có liên kết đáng ngờ nào mà bạn đã lỡ bấm vào, không có biểu tượng ứng dụng nào để nhận ra, không có hộp thoại cấp quyền nào bạn đã chấp nhận. Nó từng được phát tán qua iMessage và các nền tảng nhắn tin khác mà không cần bất kỳ tương tác nào. Một khi đã nằm trên máy, nó có thể tiếp cận tin nhắn, thư, cuộc gọi, camera, micrô và vị trí.
Nó cũng được thiết kế để hoạt động lặng lẽ. Một số biến thể chỉ tồn tại trong bộ nhớ, nghĩa là khởi động lại máy sẽ xóa chúng, và xóa luôn phần lớn bằng chứng. Những biến thể khác từng được ghi nhận là tự dọn dẹp các tệp nhật ký sau khi hoạt động.
Điều này có nghĩa là danh sách lời khuyên quen thuộc — để ý pin tụt nhanh, tìm ứng dụng lạ, kiểm tra quảng cáo bật lên — gần như vô dụng ở đây. Những triệu chứng đó mô tả phần mềm theo dõi lén (stalkerware) dành cho người dùng phổ thông, một mối đe dọa khác với ngân sách khác. Trước phần mềm gián điệp cấp nhà nước, việc không có triệu chứng chẳng nói lên điều gì.
Chỉ có đúng một loại câu trả lời hiệu quả: phân tích pháp y dữ liệu của điện thoại từ bên ngoài điện thoại.
Ba bước kiểm tra đáng làm, theo thứ tự
1. Kiểm tra xem Apple đã báo cho bạn chưa
Apple thông báo cho những người mà Apple tin là đã bị nhắm tới một cách riêng lẻ. Đây là bước kiểm tra có giá trị cao nhất hiện có, chỉ mất hai phút, và miễn phí.
Đăng nhập tại account.apple.com và tìm một cảnh báo ở đầu trang. Ngoài ra, Apple còn gửi một email và một iMessage tới các địa chỉ gắn với Apple ID của bạn.
Có hai điều cần ghi nhớ. Một thông báo là bằng chứng mạnh cho thấy bạn đã bị nhắm tới, nhưng không có thông báo không phải là bằng chứng cho thấy bạn không bị nhắm tới, vì khả năng phát hiện của Apple không thể đầy đủ. Và vì các thông báo này gây hoảng sợ và được báo chí đưa tin rộng rãi, chúng bị mạo danh rất nhiều: một thông báo thật không bao giờ yêu cầu bạn bấm vào liên kết, cài phần mềm, mở tệp đính kèm hay cung cấp mật khẩu.
2. Cho phân tích các bản ghi của chính điện thoại
Dấu vết vẫn còn trên thiết bị, ở những nơi ứng dụng không với tới được:
- Các cơ sở dữ liệu ghi lại tiến trình nào đã dùng mạng, và vào lúc nào
- Nhật ký sự cố từ những lần khai thác thất bại
- Một tệp hệ thống ghi lại các lần tắt máy, có thể lưu giữ những bất thường quanh thời điểm lây nhiễm
- Siêu dữ liệu của tệp đính kèm trong tin nhắn và dấu vết trong bộ nhớ đệm
Security Lab của Amnesty International đã dựng lại chuỗi lây nhiễm của Pegasus từ chính loại dữ liệu này, và đã công bố cả phương pháp lẫn công cụ vào tháng 7 năm 2021 trong khuôn khổ Dự án Pegasus. Công cụ mã nguồn mở của họ, Mobile Verification Toolkit, thường được gọi là MVT, đối chiếu bản sao lưu iPhone với các chỉ dấu xâm nhập: tên miền, tên tiến trình và dấu vết tệp gắn với các chiến dịch đã biết.
Nếu bạn thoải mái với cửa sổ dòng lệnh, MVT là công cụ tham chiếu chuẩn và nó miễn phí. Bạn cài nó bằng Python, tạo một bản sao lưu iPhone được mã hóa, tải về một tệp chỉ dấu mới nhất, và chạy phân tích. Kết quả là một tập hợp các tệp JSON mà sau đó bạn cần tự diễn giải.
Nếu câu vừa rồi khiến bạn chột dạ, thì đó chính là rào cản thật sự. Phương pháp thì công khai và vững chắc; khoảng cách thực tế giữa một nhà báo đang lo lắng và một bản phân tích pháp y hoàn chỉnh là điều cản bước phần lớn mọi người. Haris Shield tồn tại để thu hẹp khoảng cách đó, với một giới hạn mà bạn nên biết. Nó đối chiếu nhật ký sự cố với cùng các chỉ dấu công khai, và trình bày kết quả dưới dạng một bản báo cáo thay vì JSON. Phiên bản hiện tại không phân tích bản sao lưu được mã hóa, nên nếu chỉ dùng riêng nó thì nó đọc được ít hơn một lần chạy MVT đầy đủ; nhập một tệp sysdiagnose sẽ bổ sung các cơ sở dữ liệu về mức sử dụng mạng và việc thực thi tiến trình. Nếu bạn có lý do cụ thể để tin mình là mục tiêu của Pegasus, hãy chạy MVT trên một bản sao lưu được mã hóa, hoặc nhờ Security Lab của Amnesty hay Đường dây hỗ trợ an ninh kỹ thuật số (Digital Security Helpline) của Access Now giúp đỡ.
3. Hiểu một kết quả sạch có nghĩa là gì
Một bản phân tích sạch có nghĩa là không tìm thấy chỉ dấu đã biết nào trong dữ liệu được kiểm tra. Nó không có nghĩa là điện thoại của bạn chưa bao giờ bị xâm nhập. Nếu từng có một biến thể chỉ tồn tại trong bộ nhớ và điện thoại đã khởi động lại kể từ đó, có thể không còn gì để tìm. Nếu chiến dịch nhắm vào bạn dùng công cụ mà chưa nhà nghiên cứu nào công bố chỉ dấu, thì không có gì để đối chiếu.
Bất kỳ ai nói với bạn rằng họ có thể chứng nhận một chiếc iPhone là sạch đều đang nói quá. Pháp y tìm ra bằng chứng; nó không chứng minh được sự vắng mặt.
Phải làm gì nếu phát hiện ra điều gì đó
Đừng khởi động lại hay khôi phục cài đặt gốc ngay. Phản xạ của bạn sẽ là xóa sạch điện thoại. Nếu bạn có thể muốn phát hiện đó được sử dụng — bởi luật sư, tòa soạn, tòa án, hay các nhà nghiên cứu đang theo dõi chiến dịch — thì thiết bị và dữ liệu trên đó là bằng chứng, và việc khôi phục sẽ hủy chúng.
Hãy giả định rằng tài khoản, chứ không chỉ điện thoại, đã bị xâm nhập. Đổi mật khẩu Apple ID và mọi mật khẩu quan trọng từ một thiết bị khác mà bạn tin tưởng. Xem lại những thiết bị nào đang đăng nhập Apple ID và gỡ những thiết bị bạn không nhận ra.
Tìm sự giúp đỡ của chuyên gia. Nhiều tổ chức làm công việc này cho những người gặp rủi ro, thường là miễn phí. Access Now vận hành một Đường dây hỗ trợ an ninh kỹ thuật số cho xã hội dân sự; Security Lab của Amnesty điều tra các vụ việc liên quan đến người bảo vệ nhân quyền. Nếu công việc đã đặt bạn vào hoàn cảnh này, bạn chính là đối tượng mà họ hướng tới.
Hãy nghĩ đến khía cạnh con người. Nếu bạn là nhà báo, những nguồn tin từng liên lạc với bạn cũng có thể bị lộ. Đó thường mới là mục tiêu thực sự.
Giảm rủi ro về sau
- Chế độ phong tỏa (Lockdown Mode) là biện pháp đơn lẻ mạnh nhất hiện có trên iOS. Nó vô hiệu hóa phần lớn các loại tệp đính kèm trong tin nhắn, một số công nghệ web và một vài tính năng kết nối. Apple đã tuyên bố rằng họ không biết bất kỳ vụ tấn công thành công nào bằng phần mềm gián điệp đánh thuê nhắm vào thiết bị đã bật Chế độ phong tỏa. Nó nằm trong Cài đặt, Quyền riêng tư & Bảo mật. Nó khiến điện thoại kém tiện lợi hơn, và đó là cái giá phải trả.
- Cập nhật ngay lập tức. Những chuỗi tấn công này dựa vào các lỗ hổng chưa được vá; chậm trễ chính là điểm yếu.
- Khởi động lại máy thường xuyên. Với các biến thể chỉ tồn tại trong bộ nhớ, khởi động lại sẽ xóa sự lây nhiễm. Nó cũng xóa luôn bằng chứng, nên nếu bạn nghi đang bị xâm nhập, hãy xin lời khuyên trước khi khởi động lại.
- Thu hẹp bề mặt tấn công. Ít ứng dụng nhắn tin hơn, ít tài khoản mà người lạ có thể liên lạc tới hơn.
- Tách biệt. Với công việc thực sự có rủi ro cao, một thiết bị riêng cho các liên lạc nhạy cảm sẽ hạn chế thiệt hại từ một lần bị xâm nhập.
Câu hỏi thường gặp, nói ngắn gọn
Có ứng dụng nào phát hiện được Pegasus không? Không có trên iOS. Ứng dụng chạy trong môi trường cách ly (sandbox) và không thể kiểm tra hệ thống, và đó là lý do mọi phương pháp phát hiện đáng tin cậy đều làm việc từ máy tính trên một bản sao lưu.
Khôi phục cài đặt gốc có xóa được nó không? Có lẽ có, nhưng nó cũng xóa luôn bằng chứng, và nó không khắc phục được bất cứ điều gì đã khiến bạn trở thành mục tiêu. Đó là một bước, không phải một giải pháp.
Tôi có thể bị nhiễm mà không bấm vào bất cứ thứ gì không? Có. Đó chính là đặc điểm định nghĩa của những chiến dịch này.
Tôi có nên lo lắng không? Nếu bạn là nhà báo, nhà hoạt động, luật sư hay nhân vật chính trị, đặc biệt là người làm về những chủ đề mà một chính phủ không ưa, thì câu hỏi này là hợp lý và đáng được giải đáp đến nơi đến chốn. Nếu bạn không phải, và không có điều gì cụ thể khiến bạn tìm kiếm điều này, thì câu trả lời gần như chắc chắn là không, và phần mềm theo dõi lén thông thường là mối lo có khả năng xảy ra cao hơn nhiều. Hướng dẫn phát hiện phần mềm gián điệp trên iPhone của chúng tôi trình bày trường hợp đó.
Nguồn
- Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
- Mobile Verification Toolkit: mvt.re và github.com/mvt-project/mvt
- Apple, Giới thiệu về thông báo mối đe dọa của Apple và cách bảo vệ trước phần mềm gián điệp đánh thuê: support.apple.com/en-us/102174
- Access Now Digital Security Helpline: accessnow.org/help
Đọc thêm: cách phát hiện phần mềm gián điệp trên iPhone, dấu hiệu phần mềm theo dõi lén và những điều không nên làm, và hướng dẫn về MVT.