UNHACK

Installation. Télécharge le programme pour ton système (Windows, Mac ou Linux) et ouvre-le. Comme il n'est pas encore signé, le système et certains antivirus afficheront un avertissement. Vérifie d'abord son origine :

gh attestation verify <archivo> --repo interplains/Zero-Breach-Toolkit

Mets à jour les listes d'indicateurs avant de lancer la vérification. L'analyse n'envoie rien sur internet.

Ordinateur. Ferme les navigateurs et les applis de messagerie, choisis la vérification « Standard » (15 ou 20 minutes) et clique sur « Start check ».

iPhone. On analyse une sauvegarde sur l'ordinateur, jamais sur le téléphone lui-même. Branche-le, touche Se fier et fais une sauvegarde en cochant « Chiffrer la sauvegarde locale » (Finder sur Mac, Apple Devices sur Windows). Dans le programme, choisis « A phone » et fais glisser le dossier de la sauvegarde, qui se trouve ici :

Mac:     ~/Library/Application Support/MobileSync/Backup
Windows: %USERPROFILE%\Apple\MobileSync\Backup

Android. Active les Options pour les développeurs (touche sept fois Numéro de build) et le Débogage USB. Branche avec un câble de données et autorise l'ordinateur. Dans le programme, « A phone » et l'option de récupération depuis Android par USB. Garde le téléphone déverrouillé. À la fin, coupe le Débogage USB.

Comment le lire

iPhone

Avec une sauvegarde chiffrée, on voit plus de journaux, comme l'historique de Safari. Tu peux la faire depuis Finder ou Apple Devices, ou en terminal :

sudo apt install usbmuxd
pipx install pymobiledevice3
pymobiledevice3 lockdown pair
pymobiledevice3 backup2 encryption on 'MOTDEPASSE'
pymobiledevice3 backup2 backup --full ./copia/

Ce mot de passe reste dans l'historique du shell : efface-le ensuite. Garde le téléphone déverrouillé. La sauvegarde apparaît dans un sous-dossier portant l'UDID du téléphone. Pour la déchiffrer et l'analyser :

read -rs MVT_IOS_BACKUP_PASSWORD; export MVT_IOS_BACKUP_PASSWORD
mvt-ios decrypt-backup -d ./descifrada ./copia/<UDID>
unset MVT_IOS_BACKUP_PASSWORD
mvt-ios check-backup --output ./salida ./descifrada

Android

MVT n'analyse plus directement par ADB. La récupération se fait avec AndroidQF : active le Débogage USB, autorise l'ordinateur, exécute le binaire et réponds à ses questions. Ensuite :

mvt-android check-androidqf ./salida-androidqf

L'option --virustotal est désactivée par défaut. Laisse-la ainsi, sauf si la personne accepte que ses applis soient soumises à un service externe. À la fin, coupe le Débogage USB.

Comment lire le résultat

• Les correspondances sont surlignées dans le terminal et enregistrées dans le dossier de sortie. Lis ces résultats et place-les sur la chronologie.
• Pour chaque correspondance, demande-toi : quel indicateur, de quelle campagne et de quand ? La date colle-t-elle avec l'histoire de la personne ? Quel processus ou domaine apparaît ?
• Une correspondance n'est pas un diagnostic. Avant de dire quoi que ce soit à qui que ce soit, fais-la vérifier par quelqu'un d'expérimenté. Prendre un faux positif pour argent comptant fait beaucoup de dégâts.
• Sans correspondance, il n'y a pas de certitude non plus. La documentation elle-même prévient que les indicateurs publics ne suffisent pas pour dire qu'un téléphone est clean.

Matériel : Raspberry Pi 3B, 3B+ ou 4 (le 5 est expérimental), alimentation, microSD de 32 Go (64 Go pour les longues captures) et câble réseau. Mieux vaut plus de 2,5 Go de RAM : en dessous, Suricata se désactive, et sans lui il n'y a pas d'alertes.

Installation

Télécharge l'image de PiRogue OS depuis le guide officiel, vérifie le hash et grave-la avec Balena Etcher. Branche le Pi par câble et connecte-toi :

sha256sum PiRogue-OS-*.img.xz
ssh pi@pirogue.local       # mot de passe initial : raspberry, change-le à la connexion
sudo apt update
sudo apt dist-upgrade -y
sudo apt install pirogue-base -y
sudo reboot

Pendant l'installation, réponds Non à l'enregistrement des règles de pare-feu IPv4 et IPv6, et Oui à la capture sans root. Récupère ensuite la clé du wifi et celle du tableau de bord (en version 2.x, elles sont aléatoires ; la 1.x est différente, le guide l'explique) :

pirogue-admin-client wifi get-configuration
pirogue-admin-client dashboard get-configuration

Le tableau de bord est sur https://pirogue.local/dashboard, avec un certificat autosigné. La télémétrie est activée par défaut : désactive-la en suivant le guide avant d'y brancher le téléphone de qui que ce soit.

Capture

Sur le téléphone, mets le mode avion, active uniquement le wifi et déconnecte le VPN, pour que tout passe par la PiRogue. Connecte-le à son wifi. Les flux apparaissent dans le tableau de bord au bout de 4 minutes environ. Laisse tourner plusieurs jours avec un usage normal : le spyware ne communique pas toujours dès que tu regardes. Le tableau de bord conserve 5 jours.

Pour capturer dans un fichier et l'ouvrir ensuite dans Wireshark :

sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
scp pi@pirogue.local:~/*_captura.pcap .

Comment lire le résultat

• Alertes de sécurité : regarde l'heure, la gravité, le type de menace, le nom de la règle et les IP source et destination. Beaucoup sont du bruit, comme la publicité ou les traqueurs. Lis la règle avant de tirer des conclusions.
• Liste des flux et carte : cherche des domaines bizarres, de gros envois de données à des heures creuses ou des connexions régulières quand le téléphone est au repos. Vérifie à qui appartient chaque destination. La plupart seront Apple, Google et les applis habituelles.
• Limites : presque tout est chiffré, donc tu vois à qui il se connecte et combien, pas le contenu. Suricata ne détecte que ce qui est déjà connu. L'absence d'alertes ne garantit rien.
• Vie privée : la capture dresse le portrait de la vie de la personne. Elle se traite comme toute autre sauvegarde : en local, chiffrée et effacée à la fin.

Le projet lui-même recommande que, dans les situations à risque, l'analyse soit suivie par des professionnelles. Guides de PTS