Pegasus? Bist Du da?

Um mal zu prüfen, ob jemand an meinen iPhone-Daten Interesse hatte, habe ich meinen Apple Silicon mal angeworfen, um das Mobile Verification Toolkit, kurz mvt zu installieren… Sollte pegasus mal hier gewesen sein, könnte es Spuren hinterlassen haben.

Nein, ich jailbreake mein iPhone nicht, sondern nutze ein lokales Backup. Das Sicherheitssystem von Apple finde ich per se besser als der Mist, der sonst so am Markt ist. Einer der Gründe, warum ich auch jedem rate keine Virenscanner auf macOS zu nutzen, sondern andere Abwehrmechanismen, die deutlich besser zum Betriebsystem passen.
Das ist aber ’ne andere Geschichte…

Hier die Schritte:

brew install python3 libusb
cd <entwicklungsprojekte>
git clone https://github.com/mvt-project/mvt.git
cd mvt
pip install --upgrade pip --user
pip install nose
pip install matplotlib
# Rust installieren
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
# immer noch in <entwicklungsprojekte>/mvt installiert man nun 
pip3 install .
# um sein Gerät am USB auszulesen
brew install --HEAD libimobiledevice
# test
ideviceinfo
# LOKALES Backup über den Finder anwerfen
# RTFM https://mvt.readthedocs.io/en/latest/ios/backup/itunes.html
mvt-ios decrypt-backup -p password -d /irgendwo/wo/platz/ist  
~/Library/Application Support/MobileSync/<Tolle-Nummernfolge>
# danach sieht man hübsche Kommandoantworten wie in 'tollen' Hacker-Filmen (siehe Beitragsbild)
# Analyse Files in STIX2-Format von Amnesty
git clone https://github.com/AmnestyTech/investigations.git
mvt-ios check-backup -i <entwicklungsprojekte>/investigations/2021-07-18_nso/pegasus.stix2 --output /output/wo/platz/ist /irgendwo/wo/platz/ist

Lt. HEISE muss man sich nur Sorgen machen, wenn ein WARNING mit Hinweisen auf Pegasus im letzten Schritt angezeigt werden würde. Die timeline.csv offenbart so manches altes Schätzchen… sehr spannend was man so die JAHRE über gemacht hat… und das das alles aufbewahrt wurde.