Как да използвате MVT, за да разберете дали телефонът ви е бил хакнат

Android, както всяка друга операционна система, е изправен пред рискове като злонамерен софтуер и най-вече усъвършенстван шпионски софтуер, способен да шпионира комуникации, местоположения и файлове, без да буди подозрение. През последните години имена като Pegasus разкриха обезпокоителен сценарий: телефони, принадлежащи на журналисти, активисти и публични личности, са компрометирани с помощта на сложни техники, които на практика не оставят следи.

Проверката дали даден мобилен телефон е бил компрометиран вече не е единствената прерогатива на криминалистичните екипи . Инструментариумът за проверка на мобилни устройства (MVT), публикуван от Лабораторията за сигурност на Amnesty International, предоставя този анализ на потребители с известен технически опит. Това не е антивирусна програма, а по-скоро криминалистичен инструментариум, предназначен да открива много специфични индикатори за компрометиране. По-долу обясняваме какво открива, как да го инсталирате, как да го използвате на Linux и Windows с WSL, как да интерпретирате резултатите му и какво да очаквате от откритията му.

Какво е MVT и какво точно открива?

Инструментариумът за мобилна проверка (MVT) е колекция от криминалистични инструменти с отворен код, създадени от Лабораторията за сигурност на Amnesty International . Целта му не е да открива често срещани вируси или банкови троянски коне, а по-скоро да търси специфични индикатори за заплаха (IoC), свързани със сложен шпионски софтуер за Android и iOS.

Тези IoC функционират като цифрови пръстови отпечатъци : пътища, домейни, системни артефакти, записи в лог файлове или модели, които разкриват известна дейност по наблюдение. MVT сравнява това, което извлича от устройството, със списъци с индикатори във формат STIX2, поддържани от изследователската общност.

Основни MVT възможности в зависимост от платформата и наличните артефакти:

• IOSДекриптирайте криптирани резервни копия, обработвайте и анализирайте системни лог файлове и данни от приложения, генерирайте времеви линии и отделяйте подозрителни следи.
• AndroidИзвличане на списък с приложения и APK файлове, извличане на диагностична информация чрез ADB, анализ на SMS и други налични артефакти, сравняване на всички тях с известни IoC.
• Структуриран изходГенериране на JSON лог файлове, унифицирано отчитане по времева линия и филтриран списък с потенциално злонамерени артефакти.
• База данни на IoCs може да се изтегля и актуализира, за да се получат контрастни резултати.

Важно : MVT не е заместител на антивирусния софтуер и не открива често срещани заплахи за Android, като например рекламен софтуер, фишинг или финансови троянски коне. Той е предназначен за напреднал шпионски софтуер и покритието му е ограничено до известни индикатори.

Признаци, ограничения и реалистични очаквания

Мощността на MVT варира в зависимост от платформата . На iOS има много повече достъпни криминалистични следи, отколкото на Android, така че ефективността му като цяло е по-голяма на iPhone. На Android MVT се фокусира върху това, което може да извлече без root достъп: APK файлове, SMS съобщения и системни свойства, наред с други неща.

Присъдата на MVT използва цветови кодове , които трябва да се тълкуват внимателно:

• Зелен:: Напредък и нормални операции. Анализът протича без никакви съществени инциденти.
• Amarillo (предупреждение): Находка, която изисква интерпретация. Може да е странен SMS линк или аномалия в процеса; сама по себе си тя не потвърждава инфекцията.
• RojoТехническа грешка в инструмента или извличането (напр. повреден резервен файл). Това не означава непременно компрометиране.

Какво може и не може да ви каже MVT : Чист резултат означава, че в базата му данни не са открити индикатори за компрометиране (IoC); той не удостоверява пълната липса на заплахи . Не открива често срещан зловреден софтуер, нито обхваща всички възможни варианти . Могат да се появят и фалшиви положителни резултати, които изискват преценка и понякога професионален съвет.

Правни и етични съображения : Съгласно лиценза си, MVT трябва да се използва със съгласието на собственика на устройството. Инструментът е създаден за защита на гражданското общество и подкрепа на разследвания , а не за неблагоприятен криминалистичен анализ.

Изисквания и подготовка на средата

Преди да започнете , уверете се, че имате най-важното:

• Устройство с Android и USB кабел за данни (USB-C или приложим).
• Компютър с Linux (препоръчително) или Windows 10/11В Windows ще използваме WSL, за да стартираме MVT в Linux среда.

Инсталиране на MVT от PyPI или изходния код. Най-прекият път е PyPI:

pip3 install mvt

Инсталирайте от хранилището, ако предпочитате да компилирате:

git clone https://github.com/mvt-project/mvt.git
cd mvt
pip3 install .

Практическа препоръка : Създаването на виртуална среда на Python избягва конфликти на зависимости. В дистрибуция като Ubuntu:

sudo apt update && sudo apt upgrade -y
sudo apt install python3 python3-pip python3-venv -y
mkdir mvt-project && cd mvt-project
python3 -m venv mvt-env
source mvt-env/bin/activate
pip install mvt
mvt-android download-iocs

Командата за изтегляне на IoC зарежда базата данни с индикатори, която MVT ще използва за сравняване на резултатите от вашия анализ.

Подгответе телефона си с Android

Активирайте опциите за разработчици и USB debugging , за да може ADB да комуникира с телефона:

• Отворете Настройки > Относно телефона > Информация за софтуера и докоснете „Номер на сборка“ 7 пъти.
• Върнете се в „Настройки“, отидете на „Опции за разработчици“ и активирайте „USB отстраняване на грешки“.

Свържете мобилния си телефон с компютъра и приемете предупреждението за пръстов отпечатък на ADB ключа, като изберете „Винаги разрешавай“, ако искате да повторите сканирането без допълнителни потвърждения.

Анализ от Linux: най-прекият път

В Linux процесът е по-лесен, защото няма нужда да се създава допълнителен USB мост, както в Windows.

• Инсталиране на ADB ако го нямате: sudo apt инсталирайте android-tools-adb -y
• Свържете телефона чрез USB и позволява отстраняване на грешки на екрана, когато е необходимо.
• Проверете връзката с: в рамките на дневния устройства (трябва да изброите вашето устройство със статус на устройството).
• Изпълнете анализа от вашата виртуална среда: mvt-android check-adb -o ./analysis_results/

MVT може да поиска вашата намеса на определени етапи (например, за генериране на резервно копие на SMS). Обърнете внимание на известията на терминала и на екрана на мобилното си устройство.

Сканиране от Windows с WSL

В Windows препоръката е да използвате WSL с дистрибуция на Ubuntu . Освен това трябва да се създаде USB мост от Windows към WSL.

• Инсталиране на ADB на WSL: sudo apt инсталирайте android-tools-adb -y
• Инсталирайте usbipd-win на Windows от PowerShell с администраторски права: инсталиране на winget –интерактивно –точно dorssel.usbipd-win

Конфигурирайте зависимостите в Ubuntu , за да активирате USB пренасочване:

sudo apt install linux-tools-generic hwdata
sudo update-alternatives --install /usr/local/bin/usbip usbip /usr/lib/linux-tools/*-generic/usbip 20

Управлявайте USB устройството от PowerShell (заменете идентификатора с този на мобилното си устройство):

usbipd list
usbipd bind --busid TU_ID --force
usbipd attach --wsl --busid TU_ID

Проверете връзката в Ubuntu и изпълнете сканирането:

adb devices
mvt-android check-adb -o ./resultados_analisis/

Ако всичко е наред, MVT ще започне да извлича артефакти и да ги сравнява с изтеглените IoC-та, запазвайки резултатите в посочената от вас папка.

Как да интерпретираме резултатите от MVT

Изходът на терминала смесва съобщения за напредъка с частични обобщения . Често се срещат модули, до които не може да се осъществи по-подробен достъп без root достъп (например историята на определени приложения), нещо, което самият инструмент съветва да не се прави на устройство, използвано ежедневно.

Пример за анализ от реалния свят : зареждане на база данни с 10 752 IoC, преглед на изпълняваните процеси (967) и системните свойства (1.553), правилно идентифициране на модела и мрежата и интерактивно искане за архивиране и четене на SMS съобщения. След това, последното съобщение може да бъде „ produced no detections!“ ( не са открити следи, свързани с известните IoC).

Запомнете семантиката на цветовете : зеленото е нормално; жълтото изисква човешки анализ; червеното обикновено е техническа повреда, а не потвърждение за инфекция.

Какво да направите, когато получите предупреждение : Прегледайте конкретните артефакти (URL адреси, процеси, пакети). Сравнете дати, контекст и дали съответства на обичайната ви употреба. Ако имате сериозни съмнения, потърсете експертна помощ.

Пегас: Какво е това, как работи и защо е толкова трудно да се види.

Pegasus е шпионски софтуер от правителствен клас, разработен от NSO Group и продаван на правителствени агенции за целите на сигурността . Неговата сложност е демонстрирана в множество разследвания и нашумели случаи.

Пътища на инфекция, известни или документирани от изследователите:

• Дистанционна инсталация по въздуха (нулево кликване): Целта не е необходимо да взаимодейства; push съобщение или zero-day експлойт задейства веригата на заразяване без видими предупреждения.
• Социално инженерствоSMS или имейл, съдържащ злонамерен линк, който предизвиква кликвания; след достъп до линка, полезният товар на Pegasus се изпълнява тихомълком.
• Физико инсталиранеС достъп до терминала, заразяването може да се извърши за минути и след това да се управлява дистанционно.

Какви данни може да събира, след като е вътре: SMS, имейли, чатове (дори криптирани приложения), записи в календара, история на сърфиране, геолокация, информация за устройството, екранни снимки, снимки, записи от микрофона и разговори, както и активиране и деактивиране на сензори по желание.

Pegasus минимизира своето място за съхранение : използва криптиран буфер, който не надвишава приблизително 5% от паметта и изтрива следи след извличане. Също така модулира активността, за да пести енергия от батерията и да намали подозрителните сигнали.

Случаи и контекст : Документирани са цели в множество страни и сред различни профили (журналисти, активисти, политици и ръководители). В Испания са потвърдени прониквания в мобилните телефони на министър-председателя и министъра на отбраната . Случаят с главния изпълнителен директор на голяма технологична компания също е разследван, след като е получил файл чрез съобщения. Имаше дори политика на ООН, съветваща висшите служители да не използват определени приложения за съобщения поради историята им на експлоатация в реални кампании.

Цена и бизнес модел : различни течове и доклади показват високи такси за монтаж и цени за пакет от обективи, като годишните такси за поддръжка представляват значителен процент от договора.

Други инструменти и ресурси за откриване

MVT не е единственият начин за проучване на улики , но е основната отворена и безплатна опция, насочена към изследователи и напреднали потребители.

• iVerify (iOS)Търговско решение с графичен интерфейс, периодични сканирания, ръководства за защита и предупреждения за признаци на джейлбрейк или инфекция. Предлага план с еднократно плащане и корпоративни опции. Днес не е налично за Android. и не може да гарантира пълна защита, точно както всеки друг инструмент в сектора.

Имайте предвид , че за разлика от MVT, тези приложения не винаги са предназначени за подробен криминалистичен анализ, а по-скоро за хигиена на сигурността и непрекъснато наблюдение на устройството.

Друг високо ниво на шпионски софтуер, който е излязъл наяве

Пазарът не е ограничен до една-единствена компания . Появиха се и други продуктови семейства с подобни възможности за наблюдение:

• ФинФишър / ФинШпи: Кросплатформено решение (Windows, macOS, Linux, iOS и Android), насочено към правоприлагащите органи. Може да прихваща криптирани съобщения и да записва VoIP разговори. В iOS обикновено изисква джейлбрейк или експлойт.
• Кандиру: свързано с операции срещу компютри, мобилни телефони и облачни услуги, с обширно събиране на данни и модули за прихващане на комуникации и поемане на контрол върху сензори.
• IntellexaЕкосистема от инструменти за киберразузнаване, която комбинира събиране на данни от крайни точки и облак, мрежово наблюдение и анализ на големи данни в пакет, предлаган на пазара на правителствени клиенти.

Тези пакети споделят общи черти : експлоатация на уязвимости, скрито измами и модули за сензорен контрол, което ги прави трудни за откриване без методичен анализ и подходящи криминалистични артефакти.

Добри практики за намаляване на риска и действие при подозрения

Превенцията и намаляването на повърхността за атака остават ключови за потребителите и организациите, дори когато се справят с толкова напреднали заплахи.

• Актуализирайте системата и приложенията веднага щом са налични корекции. Много кампании разчитат на новооткрити уязвимости.
• Валидира връзки и податели в SMS, съобщения и имейл. Избягвайте да отваряте съкратени URL адреси или неочаквани прикачени файлове, дори ако идват от познати контакти.
• Проверете сдвоените устройства във вашите акаунти за съобщения и облачни услуги и премахнете неизвестни данни за вход.
• Промяна на пароли и да активирате двуетапно удостоверяване, особено за критични акаунти.
• Периодично рестартиране в iOS може временно да спре активността на определени заплахи с ограничена постоянство.
• Фабрично нулиране Това може да е крайна мярка; не забравяйте, че тя изтрива данните ви и не гарантира елиминирането на силно устойчиви заплахи.
• Подсилете настройката сиИма радикални препоръки, като например деактивиране на iMessage и FaceTime, ако вашият рисков профил го налага; също така, помислете за надеждна VPN, ако основната ви заплаха е проследяването в опасни мрежи.

Ако забележите някакви сериозни признаци (постоянни сигнали, необичайна комуникация, аномално поведение), координирайте се със специалисти. Една грешна стъпка може да унищожи ценни доказателства за официално разследване.

MVT предлага сериозен криминалистичен анализ на технически настроените потребители и, когато се използва разумно, ви позволява да преглеждате SMS съобщения, приложения, процеси и системни свойства, за да търсите индикатори за компрометиране (IoC) от известни кампании. Ограниченията му са ясни (не открива често срещан зловреден софтуер, има по-силно покритие в iOS и предупрежденията му изискват тълкуване), но предлага солидна основа за събиране на улики и вземане на информирани решения. С най-добри практики, редовни актуализации и здрав разум ще намалите излагането си на риск, като същевременно разполагате с конкретен инструмент за разследване на подозрения на вашето устройство.