Mobile Verification Toolkit 是 Amnesty International 安全实验室发布的取证工具，也是 Pegasus 项目背后的工具——正是 2021 年的这项调查，让雇佣型间谍软件登上了全球各大媒体的头版。它的源代码是公开的，分文不取，任何人都可以用它检查自己的手机。
我们销售的商业产品做的是同一类分析，所以请带着这一点来读这篇文章。MVT 非常出色。对于有技术底子的人来说，它可能就是你需要的全部，本指南的目的是帮你用好它，而不是劝你别用。
MVT 实际上做什么
MVT 并不像杀毒软件扫描电脑那样扫描你的手机。它提取手机中本来就有的数据，并与已公开的入侵指标进行比对：已知间谍软件会联系的域名、它创建的进程名称、它留下的文件路径、它产生的崩溃模式。
这一区别同时解释了它的优势和局限。它读取的是证据，而不是让手机自我评估，所以它能发现手机上任何应用都发现不了的东西。但它只能发现已经有人公布了指标的东西，这意味着一场尚未被记录的攻击活动，对它来说是不可见的。
在 iOS 上，它分析 iTunes 或“访达”备份，有价值的材料就在这里：崩溃日志、记录哪些进程在何时使用网络的数据库、记录关机情况的系统文件、Safari 浏览记录，以及信息附件的元数据。加密备份包含的内容明显比未加密备份多，这一点常常让人意外。
在 Android 上，它通过 ADB 工作，列出已安装的软件包、导出系统日志，并对照同样的指标集进行检查。它还可以分析 Android 备份并扫描 APK。
运行它实际上需要做哪些事
这是实话实说的部分，下载页面往往会略过。
你需要一台电脑，macOS 或 Linux。Windows 没有得到正式支持；有人会用 WSL。
你需要熟悉 Python 和终端。 MVT 通过 pip 安装：
pip install mvt
这样你就有了两个命令：mvt-ios 和 mvt-android。
你需要一份加密的 iPhone 备份。 在 macOS 上用“访达”或用 iTunes 制作，打开加密选项，并记住密码。MVT 会解密它以进行分析：
mvt-ios decrypt-backup -p PASSWORD -d decrypted/ backup-folder/
你需要指标文件。 MVT 可以下载已公开的指标集：
mvt-ios download-iocs
然后是分析本身：
mvt-ios check-backup --iocs indicators.stix2 --output results/ decrypted/
对于通过 ADB 连接的 Android，需要开启开发者选项和 USB 调试：
mvt-android check-adb --iocs indicators.stix2 --output results/
参数和命令名称会随版本变化。具体语法请以 docs.mvt.re 上的最新文档为准，不要轻信任何教程，包括本文。
然后你要读懂输出，它是一个装满 JSON 文件的目录，外加一组检测结果。大多数人就卡在这一步。这些文件是时间线和提取出来的记录；要解读它们，你得知道一部正常的 iPhone 是什么样子，才能注意到哪里不正常。
说实话：如果你每天都在终端里工作，这需要一个下午；如果不是，这就是一堵墙。
如何解读结果
这比安装更重要，而人们恰恰在这里朝两个方向犯错。
有检测结果是严重的事，但它不会自己解释自己。 MVT 标记的是与某个指标相匹配的内容。确认它意味着什么、发生在什么时候，仍然需要你自己去分析。
没有检测结果并不意味着手机是干净的。 它只意味着没有任何内容与你提供的指标相匹配。新的攻击活动、未被记录的工具，以及早于你备份时间的感染，都会产生一个“安静”的结果。Amnesty 对此说得很明确，而这也是人们对这款工具误解最深的一点。
有些发现只是看起来有意思。 时间线里会显示大量普通活动，如果你从没见过手机的内部数据，它们看起来会很吓人。
MVT 是正确选择的情况
- 你在终端里工作，不怕 JSON。
- 你是可能真正成为攻击目标的记者、活动人士、律师或研究人员，希望使用一种方法公开、可审计的工具。
- 你想要一个与结果没有任何商业利益关系的工具——这对安全工具来说是完全合理的要求，也是 MVT 相对于任何人卖给你的产品（包括我们的）的真正优势。
- 你在以专业身份分析他人的设备，需要一种站得住脚、有据可查的方法。
不适合的情况
- 你很担心，但不懂技术，而且需要在这周内得到答案。
- 可能的问题是你认识的人安装的商业跟踪软件，这远比雇佣型间谍软件常见。它会出现在权限页面里；要找到它，你不需要取证。请从 Android 或 iPhone 开始。
- 你需要给律师、警察或援助机构的工作人员提供材料。MVT 的输出是证据，但不是一份看得懂的报告。
- 你需要反复检查，而不是只查一次。
Haris Shield 有什么不同
它使用同样的公开指标，即 MVT 项目的指标集，我们的服务器每晚都会将其重新打包成一个签名的数据包。它从电脑上检查其中一部分同样的痕迹，但并不能做到 MVT 所做的一切。当前版本不分析加密的 iPhone 备份。在 iPhone 上，它读取手机通过数据线暴露的内容：崩溃日志、配置描述文件和预置描述文件，以及安全设置；如果你导入 sysdiagnose，还会读取其中的网络使用数据库和进程执行数据库。在 Android 上，它像 MVT 一样通过 ADB 读取设备。工作原理页面列出了每一项。
它省去的是终端操作：你得到的是一款适用于 macOS、Windows 和 Linux 的图形界面应用，指标会自动为你保持更新，还有一份为每项发现标注风险等级的报告，你可以把它保存为 PDF 交给别人。
我们不会声称自己能发现 MVT 发现不了的东西。在 iPhone 上，用完整加密备份运行的 MVT，读取的内容比我们当前版本更多。在 Amnesty 的指标是现有最佳选择的地方，任何明智的人都会以它为基础。
如果你会运行 MVT，也想运行它，那就用 MVT。
如果你发现了什么
如果可能牵涉到你身边的人，不要马上清理手机——删除可能会惊动对方，并毁掉证据。如果你可能是国家级行为者的目标，请向以此为业的人求助：Amnesty 的安全实验室和 Access Now 的数字安全求助热线都会免费帮助处于风险中的个人。如何清除间谍软件，又不惊动安装它的人讲解了具体顺序。
简短的回答
MVT 是货真价实的工具：它是 Pegasus 项目背后的工具，由 Amnesty 的安全实验室发布，免费，方法公开。它对照已公开的入侵指标，分析加密的 iPhone 备份，或通过 ADB 分析 Android 设备。
它也默认你会用 Python 和终端、能解读取证输出，而一个干净的结果只意味着没有任何内容与你提供的指标相匹配。如果这适合你，就用它。如果不适合，方法比工具更重要——无论用什么，都要从电脑上完成分析，而不要相信运行在你想要验证的那部手机上的扫描工具。
资料来源
- Mobile Verification Toolkit：mvt.re，文档见 docs.mvt.re
- MVT 源代码：github.com/mvt-project/mvt
- Amnesty International 安全实验室，取证方法报告：如何抓住 NSO Group 的 Pegasus：amnesty.org
- Access Now 数字安全求助热线：accessnow.org/help