大多数关于 Pegasus 的文章告诉你它是什么，却很少有文章告诉你如何查明它是否在你的手机上。这篇文章讨论的是第二个问题，包括那些不那么好听的部分。

先实话实说：Pegasus 不是面向大众的威胁。它由 NSO Group 出售给政府客户，每一次部署都代价高昂，而且针对的是特定的人，通常是记者、人权捍卫者、律师、反对派政治人物和外交官。如果你担心是因为手机变慢了，那么绝大多数情况下的解释就是：你的手机变慢了。

但从绝对数量上看，被盯上的人并不罕见。自 2021 年以来，Apple 已向 150 多个国家的用户发送过威胁通知，仅 2024 年 4 月的一轮通知就涉及 92 个国家的用户。如果你的工作让你可能成为目标，这个问题就值得一个真正的答案，而不只是一句安慰。

为什么你无法通过查看手机来发现 Pegasus

Pegasus 是零点击的。没有什么你没能避开的可疑链接，没有可以发现的应用图标，也没有你点过同意的权限弹窗。它曾经通过 iMessage 和其他聊天平台投放，完全不需要任何交互。一旦驻留，它就能获取信息、邮件、通话、相机、麦克风和位置。

它还刻意保持低调。有些变种只存在于内存中，这意味着重启就会清除它们，同时也会清除大部分证据。另一些变种则被观察到会在身后清理日志文件。

这意味着那份常见的建议清单——留意耗电、查找陌生应用、注意弹窗——在这里几乎毫无用处。那些症状描述的是消费级跟踪软件，那是另一种威胁，预算也完全不同。面对国家级间谍软件，没有症状说明不了任何问题。

真正有效的答案只有一类：在手机之外对手机的数据进行取证分析。

值得做的三项检查，按顺序进行

1. 查看 Apple 是否已经通知过你

Apple 会通知它认为遭到个别针对的人。这是你能做的最有价值的一项检查，只需两分钟，而且免费。

有两点需要记住。收到通知是你曾被盯上的有力证据，但没收到通知并不能证明你没被盯上，因为 Apple 的检测不可能面面俱到。另外，由于这类通知令人震惊又被广泛报道，冒充者非常多：真正的通知从不要求你点击链接、安装软件、打开附件或提供密码。

2. 让人检查手机自身的记录

痕迹确实会留在设备上，就在应用无法触及的地方：

记录哪些进程在何时使用网络的数据库
漏洞利用失败时产生的崩溃日志
一个记录关机情况的系统文件，其中可能保留感染前后的异常
信息附件的元数据和缓存痕迹

Amnesty International 的安全实验室正是根据这类材料还原了 Pegasus 的感染链，并于 2021 年 7 月作为 Pegasus 项目的一部分，公布了方法和工具。他们的开源工具 Mobile Verification Toolkit（通常称为 MVT）会将 iPhone 备份与入侵指标进行比对：与已知攻击活动相关的域名、进程名称和文件痕迹。

如果你熟悉终端，MVT 就是标准的参考实现，而且免费。你用 Python 安装它，为 iPhone 制作一份加密备份，下载最新的指标文件，然后运行分析。输出是一组 JSON 文件，接下来还需要你自己解读。

如果读到这句话你心里一沉，那正是真正的门槛所在。方法公开且可靠；阻碍大多数人的，是一个忧心忡忡的记者与一次完成的取证分析之间的实际距离。Haris Shield 就是为了缩短这段距离而存在的，但有一个你应该知道的局限。它会对照同样的公开指标检查崩溃日志，并以报告而不是 JSON 的形式呈现结果。当前版本不分析加密备份，所以仅靠它本身，读取的内容少于一次完整的 MVT 运行；导入 sysdiagnose 后，还会加入网络使用数据库和进程执行数据库。如果你有具体理由认为自己是 Pegasus 的目标，请用加密备份运行 MVT，或向 Amnesty 的安全实验室或 Access Now 的数字安全求助热线求助。

3. 理解干净的结果意味着什么

一次干净的分析，意味着在被检查的数据中没有发现已知指标。它并不意味着你的手机从未被入侵过。如果曾经存在一个只驻留在内存中的变种，而手机此后重启过，那可能已经没有任何东西可以发现了。如果针对你的攻击活动使用的工具还没有任何研究人员公布过指标，那就没有任何东西可以比对。

任何告诉你他能证明一部 iPhone 是干净的人，都是在夸大其词。取证能找到证据，却无法证明“不存在”。

如果发现了什么，该怎么办

不要马上重启或恢复出厂设置。 你的本能会是清空手机。但如果你希望这一发现日后能派上用场——无论是给律师、新闻编辑部、法院，还是给追踪这场攻击活动的研究人员——那么设备及其数据就是证据，而重置会毁掉它们。

假定被入侵的是账号，而不只是手机。 用另一台你信任的设备修改 Apple ID 密码和其他所有重要密码。查看哪些设备登录了你的 Apple ID，移除你不认识的设备。

寻求专家帮助。 有好几个机构专门为处于风险中的人做这件事，而且通常免费。Access Now 为公民社会运营着一条数字安全求助热线；Amnesty 的安全实验室调查涉及人权捍卫者的案件。如果你是因为工作而陷入这种处境，你正是他们要服务的对象。

考虑人的因素。 如果你是记者，曾经联系过你的消息来源也可能已经暴露。这往往才是真正的目的。

今后如何降低风险

锁定模式 是 iOS 上最有力的单项措施。它会禁用大多数信息附件类型、部分网页技术和一些连接功能。Apple 已表示，它尚未发现任何针对开启了锁定模式的设备的雇佣型间谍软件攻击取得成功。它位于“设置”中的“隐私与安全性”。它确实会让手机用起来没那么方便，这就是代价。
立即更新。 这些攻击链依赖未修补的漏洞；拖延本身就是漏洞。
定期重启。 对于驻留在内存中的变种，重启会清除感染。但它也会清除证据，所以如果你怀疑正处于被入侵状态，重启之前请先寻求建议。
减少攻击面。 少用几个聊天应用，少开几个陌生人能联系到你的账号。
分开使用。 对于真正高风险的工作，用一台单独的设备联系敏感人士，可以限制一次入侵给你造成的损失。

常见问题，简要回答

有能检测 Pegasus 的应用吗？ 在 iOS 上没有。应用运行在沙盒中，无法检查系统，这就是为什么所有可信的检测方法都是在电脑上针对备份进行的。

恢复出厂设置能清除它吗？ 很可能可以，但它也会清除证据，而且解决不了让你被盯上的那些暴露途径。它是一个步骤，而不是解决方案。

我什么都没点也会被感染吗？ 会。这正是这类攻击活动的决定性特征。

我该担心吗？ 如果你是记者、活动人士、律师或政治人物，尤其是从事政府不喜欢的议题，这个问题合情合理，值得认真解决。如果你不是，而且也没有什么具体的事促使你搜索这个问题，那么答案几乎可以肯定是不用，普通的跟踪软件才是可能性大得多的担忧。我们的检测 iPhone 上的间谍软件指南讲的就是这种情况。

资料来源

Amnesty International 安全实验室，取证方法报告：如何抓住 NSO Group 的 Pegasus：amnesty.org
Mobile Verification Toolkit：mvt.re 和 github.com/mvt-project/mvt
Apple，关于 Apple 威胁通知以及防范雇佣型间谍软件：support.apple.com/en-us/102174
Access Now 数字安全求助热线：accessnow.org/help

Pegasus 间谍软件检测：如何查明你的 iPhone 是否已被感染