UNHACK

Instalación. Baixa o programa do teu sistema (Windows, Mac ou Linux) e ábreo. Como aínda non está asinado, o sistema e algúns antivirus avisarán. Comproba antes a súa orixe:

gh attestation verify <archivo> --repo interplains/Zero-Breach-Toolkit

Actualiza as listas de indicadores antes de lanzar a comprobación. A análise non sobe nada a internet.

Ordenador. Pecha os navegadores e as apps de mensaxaría, elixe a comprobación "Standard" (15 ou 20 minutos) e preme "Start check".

iPhone. Analízase unha copia no ordenador, nunca no propio móbil. Conéctao, preme Confiar e fai unha copia marcando "Encriptar copia local" (Finder en Mac, Apple Devices en Windows). No programa elixe "A phone" e arrastra o cartafol da copia, que está aquí:

Mac:     ~/Library/Application Support/MobileSync/Backup
Windows: %USERPROFILE%\Apple\MobileSync\Backup

Android. Activa as Opciones de desarrollador (preme sete veces en Número de compilación) e a Depuración USB. Conecta cun cable de datos e autoriza o ordenador. No programa, "A phone" e a opción de recoller desde Android por USB. Mantén o móbil desbloqueado. Ao rematar, apaga a Depuración USB.

Como lelo

iPhone

Con copia cifrada vense máis rexistros, como o historial de Safari. Podes facela desde Finder ou Apple Devices, ou por terminal:

sudo apt install usbmuxd
pipx install pymobiledevice3
pymobiledevice3 lockdown pair
pymobiledevice3 backup2 encryption on 'CONTRASINAL'
pymobiledevice3 backup2 backup --full ./copia/

Ese contrasinal queda no historial da shell: bórrao despois. Mantén o móbil desbloqueado. A copia aparece nun subcartafol co UDID do móbil. Para descifrala e analizala:

read -rs MVT_IOS_BACKUP_PASSWORD; export MVT_IOS_BACKUP_PASSWORD
mvt-ios decrypt-backup -d ./descifrada ./copia/<UDID>
unset MVT_IOS_BACKUP_PASSWORD
mvt-ios check-backup --output ./salida ./descifrada

Android

MVT xa non analiza por ADB directamente. A recollida faise con AndroidQF: activa a Depuración USB, autoriza o ordenador, executa o binario e responde ao que pregunta. Logo:

mvt-android check-androidqf ./salida-androidqf

A opción --virustotal está apagada por defecto. Déixaa así agás que a persoa acepte que se consulten as súas apps nun servizo externo. Ao acabar, apaga a Depuración USB.

Como se interpreta

• As coincidencias saen resaltadas na terminal e gárdanse no cartafol de saída. Le eses resultados e sitúaos na liña temporal.
• Con cada coincidencia, pregúntate: que indicador é, de que campaña e de cando? A data encaixa coa historia da persoa? Que proceso ou dominio aparece?
• Unha coincidencia non é un diagnóstico. Antes de dicirlle nada a ninguén, que a revise alguén con experiencia. Dar por bo un falso positivo fai moito dano.
• Sen coincidencias tampouco hai certeza. A propia documentación avisa de que os indicadores públicos non abondan para dicir que un móbil está limpo.

Material: Raspberry Pi 3B, 3B+ ou 4 (a 5 é experimental), fonte de alimentación, microSD de 32 GB (64 GB para capturas longas) e cable de rede. Mellor con máis de 2,5 GB de RAM: por debaixo, Suricata desactívase, e sen el non hai alertas.

Instalación

Baixa a imaxe de PiRogue OS desde a guía oficial, comproba o hash e gravala con Balena Etcher. Conecta a Pi por cable e entra:

sha256sum PiRogue-OS-*.img.xz
ssh pi@pirogue.local       # contrasinal inicial: raspberry, cámbiao ao entrar
sudo apt update
sudo apt dist-upgrade -y
sudo apt install pirogue-base -y
sudo reboot

Durante a instalación responde Non a gardar as regras de devasa IPv4 e IPv6, e Si á captura sen root. Logo saca a clave da wifi e a do panel (na versión 2.x son aleatorias; a 1.x é distinta, explícao a guía):

pirogue-admin-client wifi get-configuration
pirogue-admin-client dashboard get-configuration

O panel está en https://pirogue.local/dashboard, con certificado autoasinado. A telemetría vén activada de serie: desactívaa seguindo a guía antes de meter o móbil de ninguén.

Captura

No móbil, pon modo avión, activa só a wifi e desconecta a VPN, para que todo pase pola PiRogue. Conéctao á súa wifi. Os fluxos aparecen no panel aos 4 minutos, máis ou menos. Déixao funcionando varios días con uso normal: o spyware non sempre se comunica en canto o miras. O panel garda 5 días.

Para capturar a ficheiro e abrilo logo en Wireshark:

sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
scp pi@pirogue.local:~/*_captura.pcap .

Como se interpreta

• Alertas de seguridade: miras a hora, a gravidade, o tipo de ameaza, o nome da regra e as IP de orixe e destino. Moitas son ruído, como publicidade ou rastrexadores. Le a regra antes de sacar conclusións.
• Lista de fluxos e mapa: busca dominios raros, envíos grandes de datos a horas mortas ou conexións regulares co móbil en repouso. Comproba de quen é cada destino. A maioría serán Apple, Google e as apps de sempre.
• Límites: case todo vai cifrado, así que ves a quen se conecta e canto, non o contido. Suricata só detecta o xa coñecido. Sen alertas non hai garantía de nada.
• Privacidade: a captura retrata a vida da persoa. Trátase coma calquera outra copia: en local, cifrada e borrada ao acabar.

O propio proxecto recomenda que, en situacións de risco, a análise a sigan profesionais. Guías de PTS