UNHACK

Instal·lació. Baixa el programa del teu sistema (Windows, Mac o Linux) i obre'l. Com que encara no està signat, el sistema i alguns antivirus t'avisaran. Comprova'n abans l'origen:

gh attestation verify <archivo> --repo interplains/Zero-Breach-Toolkit

Actualitza les llistes d'indicadors abans de llançar la comprovació. L'anàlisi no puja res a internet.

Ordinador. Tanca els navegadors i les apps de missatgeria, tria la comprovació "Standard" (15 o 20 minuts) i prem "Start check".

iPhone. S'analitza una còpia a l'ordinador, mai al mateix mòbil. Connecta'l, prem Confia i fes una còpia marcant "Encriptar copia local" (Finder al Mac, Apple Devices al Windows). Al programa tria "A phone" i arrossega la carpeta de la còpia, que és aquí:

Mac:     ~/Library/Application Support/MobileSync/Backup
Windows: %USERPROFILE%\Apple\MobileSync\Backup

Android. Activa les Opcions per a desenvolupadors (prem set vegades Número de compilació) i la Depuració per USB. Connecta'l amb un cable de dades i autoritza l'ordinador. Al programa, "A phone" i l'opció de recollir des d'Android per USB. Mantén el mòbil desbloquejat. Quan acabis, apaga la Depuració per USB.

Com llegir-ho

iPhone

Amb una còpia xifrada es veuen més registres, com l'historial de Safari. La pots fer des de Finder o Apple Devices, o per terminal:

sudo apt install usbmuxd
pipx install pymobiledevice3
pymobiledevice3 lockdown pair
pymobiledevice3 backup2 encryption on 'CONTRASENYA'
pymobiledevice3 backup2 backup --full ./copia/

Aquesta contrasenya es queda a l'historial de la shell: esborra-la després. Mantén el mòbil desbloquejat. La còpia apareix en una subcarpeta amb l'UDID del mòbil. Per desxifrar-la i analitzar-la:

read -rs MVT_IOS_BACKUP_PASSWORD; export MVT_IOS_BACKUP_PASSWORD
mvt-ios decrypt-backup -d ./descifrada ./copia/<UDID>
unset MVT_IOS_BACKUP_PASSWORD
mvt-ios check-backup --output ./salida ./descifrada

Android

MVT ja no analitza directament per ADB. La recollida es fa amb AndroidQF: activa la Depuració per USB, autoritza l'ordinador, executa el binari i respon al que pregunta. Després:

mvt-android check-androidqf ./salida-androidqf

L'opció --virustotal està desactivada per defecte. Deixa-la així tret que la persona accepti que es consultin les seves apps en un servei extern. Quan acabis, apaga la Depuració per USB.

Com s'interpreta

• Les coincidències surten ressaltades a la terminal i es guarden a la carpeta de sortida. Llegeix aquests resultats i col·loca'ls a la línia temporal.
• Amb cada coincidència, pregunta't: quin indicador és, de quina campanya i de quan? La data encaixa amb la història de la persona? Quin procés o domini apareix?
• Una coincidència no és un diagnòstic. Abans de dir res a ningú, que la revisi algú amb experiència. Donar per bo un fals positiu fa molt de mal.
• Sense coincidències tampoc no hi ha certesa. La mateixa documentació avisa que els indicadors públics no són suficients per dir que un mòbil està net.

Material: Raspberry Pi 3B, 3B+ o 4 (la 5 és experimental), font d'alimentació, microSD de 32 GB (64 GB per a captures llargues) i cable de xarxa. Millor amb més de 2,5 GB de RAM: per sota, Suricata es desactiva, i sense ell no hi ha alertes.

Instal·lació

Baixa la imatge de PiRogue OS des de la guia oficial, comprova el hash i grava-la amb Balena Etcher. Connecta la Pi per cable i entra-hi:

sha256sum PiRogue-OS-*.img.xz
ssh pi@pirogue.local       # contrasenya inicial: raspberry, canvia-la en entrar
sudo apt update
sudo apt dist-upgrade -y
sudo apt install pirogue-base -y
sudo reboot

Durant la instal·lació respon No a desar les regles de tallafocs IPv4 i IPv6, i Sí a la captura sense root. Després treu la clau de la wifi i la del tauler (a la versió 2.x són aleatòries; la 1.x és diferent, ho explica la guia):

pirogue-admin-client wifi get-configuration
pirogue-admin-client dashboard get-configuration

El tauler és a https://pirogue.local/dashboard, amb un certificat autosignat. La telemetria ve activada de sèrie: desactiva-la seguint la guia abans de posar-hi el mòbil de ningú.

Captura

Al mòbil, posa el mode avió, activa només la wifi i desconnecta la VPN, perquè tot passi per la PiRogue. Connecta'l a la seva wifi. Els fluxos apareixen al tauler als 4 minuts, més o menys. Deixa-ho funcionant uns quants dies amb un ús normal: l'spyware no sempre es comunica just quan el mires. El tauler guarda 5 dies.

Per capturar a un fitxer i obrir-lo després a Wireshark:

sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
scp pi@pirogue.local:~/*_captura.pcap .

Com s'interpreta

• Alertes de seguretat: mires l'hora, la gravetat, el tipus d'amenaça, el nom de la regla i les IP d'origen i destinació. Moltes són soroll, com publicitat o rastrejadors. Llegeix la regla abans de treure conclusions.
• Llista de fluxos i mapa: busca dominis estranys, enviaments grans de dades a hores mortes o connexions regulars amb el mòbil en repòs. Comprova de qui és cada destinació. La majoria seran Apple, Google i les apps de sempre.
• Límits: gairebé tot va xifrat, així que veus a qui es connecta i quant, no el contingut. Suricata només detecta el que ja es coneix. Sense alertes no hi ha garantia de res.
• Privacitat: la captura retrata la vida de la persona. Es tracta com qualsevol altra còpia: en local, xifrada i esborrada en acabar.

El mateix projecte recomana que, en situacions de risc, l'anàlisi la segueixin professionals. Guies de PTS