UNHACK

Instalación. Baja el programa de tu sistema (Windows, Mac o Linux) y ábrelo. Como aún no está firmado, el sistema y algunos antivirus avisarán. Comprueba antes su origen:

gh attestation verify <archivo> --repo interplains/Zero-Breach-Toolkit

Actualiza las listas de indicadores antes de lanzar la comprobación. El análisis no sube nada a internet.

Ordenador. Cierra los navegadores y las apps de mensajería, elige la comprobación "Standard" (15 o 20 minutos) y pulsa "Start check".

iPhone. Se analiza una copia en el ordenador, nunca en el propio móvil. Conéctalo, pulsa Confiar y haz una copia marcando "Encriptar copia local" (Finder en Mac, Apple Devices en Windows). En el programa elige "A phone" y arrastra la carpeta de la copia, que está aquí:

Mac:     ~/Library/Application Support/MobileSync/Backup
Windows: %USERPROFILE%\Apple\MobileSync\Backup

Android. Activa las Opciones de desarrollador (pulsa siete veces en Número de compilación) y la Depuración USB. Conecta con un cable de datos y autoriza el ordenador. En el programa, "A phone" y la opción de recoger desde Android por USB. Mantén el móvil desbloqueado. Al terminar, apaga la Depuración USB.

Cómo leerlo

iPhone

Con copia cifrada se ven más registros, como el historial de Safari. Puedes hacerla desde Finder o Apple Devices, o por terminal:

sudo apt install usbmuxd
pipx install pymobiledevice3
pymobiledevice3 lockdown pair
pymobiledevice3 backup2 encryption on 'CONTRASEÑA'
pymobiledevice3 backup2 backup --full ./copia/

Esa contraseña se queda en el historial de la shell: bórrala después. Mantén el móvil desbloqueado. La copia aparece en una subcarpeta con el UDID del móvil. Para descifrarla y analizarla:

read -rs MVT_IOS_BACKUP_PASSWORD; export MVT_IOS_BACKUP_PASSWORD
mvt-ios decrypt-backup -d ./descifrada ./copia/<UDID>
unset MVT_IOS_BACKUP_PASSWORD
mvt-ios check-backup --output ./salida ./descifrada

Android

MVT ya no analiza por ADB directamente. La recogida se hace con AndroidQF: activa la Depuración USB, autoriza el ordenador, ejecuta el binario y responde a lo que pregunta. Luego:

mvt-android check-androidqf ./salida-androidqf

La opción --virustotal está apagada por defecto. Déjala así salvo que la persona acepte que se consulten sus apps en un servicio externo. Al acabar, apaga la Depuración USB.

Cómo se interpreta

• Las coincidencias salen resaltadas en la terminal y se guardan en la carpeta de salida. Lee esos resultados y colócalos en la línea temporal.
• Con cada coincidencia, pregúntate: ¿qué indicador es, de qué campaña y de cuándo? ¿La fecha encaja con la historia de la persona? ¿Qué proceso o dominio aparece?
• Una coincidencia no es un diagnóstico. Antes de decirle nada a nadie, que la revise alguien con experiencia. Dar por bueno un falso positivo hace mucho daño.
• Sin coincidencias tampoco hay certeza. La propia documentación avisa de que los indicadores públicos no bastan para decir que un móvil está limpio.

Material: Raspberry Pi 3B, 3B+ o 4 (la 5 es experimental), fuente de alimentación, microSD de 32 GB (64 GB para capturas largas) y cable de red. Mejor con más de 2,5 GB de RAM: por debajo, Suricata se desactiva, y sin él no hay alertas.

Instalación

Baja la imagen de PiRogue OS desde la guía oficial, comprueba el hash y grábala con Balena Etcher. Conecta la Pi por cable y entra:

sha256sum PiRogue-OS-*.img.xz
ssh pi@pirogue.local       # contraseña inicial: raspberry, cámbiala al entrar
sudo apt update
sudo apt dist-upgrade -y
sudo apt install pirogue-base -y
sudo reboot

Durante la instalación responde No a guardar las reglas de cortafuegos IPv4 e IPv6, y Sí a la captura sin root. Luego saca la clave de la wifi y la del panel (en la versión 2.x son aleatorias; la 1.x es distinta, lo explica la guía):

pirogue-admin-client wifi get-configuration
pirogue-admin-client dashboard get-configuration

El panel está en https://pirogue.local/dashboard, con certificado autofirmado. La telemetría viene activada de serie: desactívala siguiendo la guía antes de meter el móvil de nadie.

Captura

En el móvil, pon modo avión, activa solo la wifi y desconecta la VPN, para que todo pase por la PiRogue. Conéctalo a su wifi. Los flujos aparecen en el panel a los 4 minutos, más o menos. Déjalo funcionando varios días con uso normal: el spyware no siempre se comunica en cuanto lo miras. El panel guarda 5 días.

Para capturar a archivo y abrirlo luego en Wireshark:

sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
scp pi@pirogue.local:~/*_captura.pcap .

Cómo se interpreta

• Alertas de seguridad: miras la hora, la gravedad, el tipo de amenaza, el nombre de la regla y las IP de origen y destino. Muchas son ruido, como publicidad o rastreadores. Lee la regla antes de sacar conclusiones.
• Lista de flujos y mapa: busca dominios raros, envíos grandes de datos a horas muertas o conexiones regulares con el móvil en reposo. Comprueba de quién es cada destino. La mayoría serán Apple, Google y las apps de siempre.
• Límites: casi todo va cifrado, así que ves a quién se conecta y cuánto, no el contenido. Suricata solo detecta lo ya conocido. Sin alertas no hay garantía de nada.
• Privacidad: la captura retrata la vida de la persona. Se trata como cualquier otra copia: en local, cifrada y borrada al acabar.

El propio proyecto recomienda que, en situaciones de riesgo, el análisis lo sigan profesionales. Guías de PTS