UNHACK

╔═════════════════════╗                                           ╔═══════════════════════╗             ╔═══════════════╗      ╔══════════════════════╗
║       PERTSONA      ║             ╔════════════════╗            ║      ERAMANGARRIA     ║             ║  KOPIA LOKALA ║      ║      AMAITZEAN       ║
╟─────────────────────╢   baimena   ║ BERE MUGIKORRA ║   kablea   ╟───────────────────────╢   aztertu   ╟───────────────╢      ╟──────────────────────╢
║     aurrean dago    ║────────────▶╚════════════════╝───────────▶║     disko zifratua    ║────────────▶║    zifratua   ║─────▶║ txostena berarentzat ║
║ dena erabakitzen du ║                                           ║ adierazle eguneratuak ║             ║ hodeirik gabe ║      ║   kopia ezabatuta    ║
╚═════════════════════╝                                           ╚═══════════════════════╝             ╚═══════════════╝      ╚══════════════════════╝

 ╔═════════════════════╗
 ║       PERTSONA      ║
 ╟─────────────────────╢
 ║     aurrean dago    ║
 ║ dena erabakitzen du ║
 ╚═════════════════════╝
            │ baimena
            ▼
    ╔════════════════╗
    ║ BERE MUGIKORRA ║
    ╚════════════════╝
            │ kablea
            ▼
╔═══════════════════════╗
║      ERAMANGARRIA     ║
╟───────────────────────╢
║     disko zifratua    ║
║ adierazle eguneratuak ║
╚═══════════════════════╝
            │ aztertu
            ▼
    ╔═══════════════╗
    ║  KOPIA LOKALA ║
    ╟───────────────╢
    ║    zifratua   ║
    ║ hodeirik gabe ║
    ╚═══════════════╝
            │
            ▼
 ╔══════════════════════╗
 ║      AMAITZEAN       ║
 ╟──────────────────────╢
 ║ txostena berarentzat ║
 ║   kopia ezabatuta    ║
 ╚══════════════════════╝

• Konfiantzazko eramangarri bat, disko zifratuarekin, ahal bada horretarako soilik. Ordenagailua arriskuan badago, dena dago arriskuan.
• Kopietan pertsonaren bizitza osoa dago: mezuak, argazkiak, historia. Lokalean eta zifratuta geratzen dira, eta hark erabakitzen duenean ezabatzen dira.
• Ezer ez hodeira edo lineako analisi-zerbitzuetara, hark baimendu gabe.
• Eguneratu adierazleak egun berean. Zerrenda zaharrekin, emaitzak ez du balio.
• Positibo sinesgarri baten aurrean, utzi ukitzeari eta pasatu kasua Security Lab-i edo Access Now-i.

╔═════════════════════╗      ╔═════════╗               ╔═════════════════════╗      ╔═════════╗      ╔═════════════╗               ╔══════════════╗
║        KASUA        ║      ║   IOC   ║               ║       ESKURATU      ║      ║   HASH  ║      ║   AZTERTU   ║               ║   ESKALATU   ║
╟─────────────────────╢      ╟─────────╢   mugikorra   ╟─────────────────────╢      ╟─────────╢      ╟─────────────╢   zalantzan   ╟──────────────╢
║       baimena       ║─────▶║ egunean ║──────────────▶║ kopia edo AndroidQF ║─────▶║ zaintza ║─────▶║ 1 estaldura ║──────────────▶║  Access Now  ║
║ hipotesia eta datak ║      ╚═════════╝               ╚═════════════════════╝      ╚═════════╝      ║  2 alertak  ║               ║ Security Lab ║
╚═════════════════════╝                                                                              ╚═════════════╝               ╚══════════════╝

╔═════════════════════╗
║        KASUA        ║
╟─────────────────────╢
║       baimena       ║
║ hipotesia eta datak ║
╚═════════════════════╝
           │
           ▼
      ╔═════════╗
      ║   IOC   ║
      ╟─────────╢
      ║ egunean ║
      ╚═════════╝
           │ mugikorra
           ▼
╔═════════════════════╗
║       ESKURATU      ║
╟─────────────────────╢
║ kopia edo AndroidQF ║
╚═════════════════════╝
           │
           ▼
      ╔═════════╗
      ║   HASH  ║
      ╟─────────╢
      ║ zaintza ║
      ╚═════════╝
           │
           ▼
    ╔═════════════╗
    ║   AZTERTU   ║
    ╟─────────────╢
    ║ 1 estaldura ║
    ║  2 alertak  ║
    ╚═════════════╝
           │ zalantzan
           ▼
    ╔══════════════╗
    ║   ESKALATU   ║
    ╟──────────────╢
    ║  Access Now  ║
    ║ Security Lab ║
    ╚══════════════╝

Hacklab honek iturrietatik abiatuta proposatutako ordena. Iturri batek ere ez du ordena bakarra finkatzen.

• Ezer ukitu aurretik. Baimen esplizitua, nori dion beldur eta noiztik. Datak: Appleren abisua, mezu arraroa, atxiloketa, atxikitako mugikorra. Hipotesirik eta datarik gabe, denbora-lerroak ez du ezer esaten.
• Arrisku handia edo abisu ofiziala. Pasa zuzenean Access Now-era edo Security Lab-era. Laguntza eskatzeko ez da aurrez aztertu behar.
• Ez ukitu behar baino gehiago. Gure irizpidea: ez berrezarri, ez eguneratu, ez desinstalatu eskuratu aurretik. Safariren historiak hilabete gutxi irauten du, eta ezarpenak berrezartzeak aztarnak ezaba ditzake.
• Adierazleak egunean, zure makinan eta mugikorra konektatu aurretik.
• Eskuratu lehenik, aztertu gero. Eskuratutakoa berriro azter daiteke adierazle berriak ateratzen direnean. Mugikorra ez da berdin egongo.
• Kalkulatu hashak amaitu bezain laster.
• Aztertu eta begiratu lehenik estaldura: zer ezin izan den irakurri. Gero alertak.
• Sarea azkenik. PiRoguek wifi hutsarekin egun batzuetako erabilera eskatzen du. Oraingo jarduera susmatzen baduzu balio du, eta kaptura garbi batek ez du ezer esaten iraganaz.

iPhone

pymobiledevice3 usbmux list
pymobiledevice3 lockdown info
mkdir -p ./caso/copia
pymobiledevice3 backup2 backup --full ./caso/copia/

Beti zifratua: zifratu gabe falta dira Safariren historia eta egoera, eta deiak. Sarbide fisikoa susmatzen baduzu, kopia batek ez du balio, ez baititu erregistro horiek: sysdiagnose edo erauzketa behar da, hobe aditu baten eskuetan. mvt-ios check-sysdiagnose-k pluginik gabe gailuaren datuak bakarrik ateratzen ditu, eta ohartarazi egiten du.

Android

sha256sum -c --ignore-missing checksums.txt
chmod +x androidqf_linux_amd64_1.8.3
./androidqf_linux_amd64_1.8.3 -output ./caso

Erantzun zentzuzkoak. Backup: Only SMS. Apps: Only non-system packages. Konfiantzazko ziurtagiriz sinatutakoak kendu: No. Hasha mugikorrean: No, motela delako eta biltzailea gelditu dezakeelako. Intrusion Logs: Yes aktibatuta bazeuden bakarrik.

Intrusion Logs: DNS eta konexioak aplikazioz aplikazio, prozesuen abiarazteak, ADB komandoak. Android 16 edo berriagoa, oraingoz Pixeletan Security Lab-en arabera (2026ko maiatza), Babes Aurreratuarekin. Ez dira atzeraeragileak: aurretik aktibatu behar dira. Nabigazio-historia dute.

Iturriak: MVT iOS (beste fitxa batean irekitzen da), MVT Android (beste fitxa batean irekitzen da), AndroidQF (beste fitxa batean irekitzen da), Security Lab (beste fitxa batean irekitzen da), Zero Breach (beste fitxa batean irekitzen da).

Bi gauzatarako balio du: beste analista batek zure kopiaz fidatu ahal izateko eta, kasua epaitegi batean amaitzen bada, aldatu ez dela frogatzeko. Balio legalari buruz, galdetu abokatu bati hasi aurretik.

Erregistroa

kasua: 2026-001         pertsona: (ezizena; gakoa, aparte)
baimena: data, irismena, nork jasotzen duen
gailua: modeloa, SE, adabakia, berak desblokeatuta?
noiz       nork    rola       ekintza               hash
2026-11-06 ana     analista   jaso eta kopiatu      -
2026-11-06 ana     analista   kopiaren sha256       ab12...
2026-11-07 ana     analista   laguntza-lineari eman ab12...

Identifikatzaile bat gailu bakoitzeko, lerro bat maneiatzen duen pertsona bakoitzeko, zigilua zurekin geratzen bada. Ordua UTCn. Idatzi tresnen bertsioak ere.

iPhone

cd ./caso/copia/<UDID>
find . -type f -print0 | sort -z | xargs -0 sha256sum > ../copia.sha256
sha256sum -c --quiet ../copia.sha256

decrypt-backup eta check-backup komandoek --hashes onartzen dute: fitxategi bakoitzaren SHA-256a info.json-en gordetzen du eta info.json horren hasha inprimatzen du. Idatzi.

Android

AndroidQFk ZIParen barruan hashes.csv bat uzten du (sarrera eta edukiaren SHA-256a, goibururik gabe) eta acquisition.json modulu bakoitzaren egoerarekin.

sha256sum <UUID>.zip >> caso.sha256
unzip -q <UUID>.zip -d adq/ && cd adq/
python3 -c "
import csv,hashlib
for n,h in csv.reader(open('hashes.csv')):
    if hashlib.sha256(open(n,'rb').read()).hexdigest()!=h: print('MAL',n)"
jq -r '.module_results[]|select(.status!="completed")|[.name,.status,.error]|@tsv' acquisition.json

Egiaztapenak ezer inprimatzen ez badu, dena bat dator. hashes.csv artxiboaren beraren barruan doa eta ez du babesten ZIPa berregiten duenaren aurka: horregatik kanpoko hasha, beste toki batean gordeta. partial edo failed modulu batek eskuratze osatugabea esan nahi du, eta hori txostenean sartzen da.

Zifratu jatorritik

age-keygen -o privada.txt     # beste makina batean; ez doa zurekin
# gako publikoa (age1...) key.txt-era doa, bitarraren ondoan
./androidqf_linux_amd64_1.8.3 -output ./caso
age --decrypt -i privada.txt -o <UUID>.zip <UUID>.zip.age

key.txt badago, AndroidQFk <UUID>.zip.age idazten du eta ez du ZIP zifratu gaberik uzten. Eramangarria daramanak ezin du deszifratu, behartzen badute ere. Zifratzerik gabe, huts batek behin-behineko fitxategi zifratu gabeak utz ditzake.

Partekatu eta ezabatu

• Galdetu laguntza-lerroari nola jaso nahi duen.
• Markatu TLP-rekin noraino partekatzen den eta PAP-ekin zer egin daitekeen horrekin. PAP:RED: kanpotik ezer antzemangarririk ez.
• Sinadura bereizia jatorria frogatzeko: gpg --detach-sign caso.sha256.
• Ezabatzean, PTSk shred -u adierazten du. SSDan ez fidatu: babesten duena disko zifratua da.

Iturriak: PTS g6 (beste fitxa batean irekitzen da), PTS g4 (beste fitxa batean irekitzen da), Colander: zaintza (beste fitxa batean irekitzen da), AndroidQF: artxiboak (beste fitxa batean irekitzen da).

                          ╔══════════════════════╗      ╔══════════════════════════╗      ╔═════════════════════╗
╔══════════════════╗      ║       PROGRAMA       ║      ║         TXOSTENA         ║      ║    LAGUNTZA-LINEA   ║
║ MUGIKORRA EDO PC ║      ╟──────────────────────╢      ╟──────────────────────────╢      ╟─────────────────────╢
╚══════════════════╝─────▶║     Zero Breach      ║─────▶║ berdea: ezer ezagunik ez ║─────▶║ bat-etortzea badago ║
                          ║ zerrenda eguneratuak ║      ║ bat-etortzea: berrikusi  ║      ╚═════════════════════╝
                          ╚══════════════════════╝      ╚══════════════════════════╝

    ╔══════════════════╗
    ║ MUGIKORRA EDO PC ║
    ╚══════════════════╝
              │
              ▼
  ╔══════════════════════╗
  ║       PROGRAMA       ║
  ╟──────────────────────╢
  ║     Zero Breach      ║
  ║ zerrenda eguneratuak ║
  ╚══════════════════════╝
              │
              ▼
╔══════════════════════════╗
║         TXOSTENA         ║
╟──────────────────────────╢
║ berdea: ezer ezagunik ez ║
║ bat-etortzea: berrikusi  ║
╚══════════════════════════╝
              │
              ▼
  ╔═════════════════════╗
  ║    LAGUNTZA-LINEA   ║
  ╟─────────────────────╢
  ║ bat-etortzea badago ║
  ╚═════════════════════╝

gh attestation verify <fitxategia> --repo interplains/Zero-Breach-Toolkit
gpg --verify SHA256SUMS.txt.asc SHA256SUMS.txt
sha256sum -c SHA256SUMS.txt

Mac:     ~/Library/Application Support/MobileSync/Backup
Windows: %USERPROFILE%\Apple\MobileSync\Backup

                   ╔═════════════════╗      ╔════════════════╗      ╔═══════════════╗      ╔═══════════════╗
╔════════╗         ║  KOPIA ZIFRATUA ║      ║   DESZIFRATU   ║      ║    ALDERATU   ║      ║    EMAITZA    ║
║ IPHONE ║   USB   ╟─────────────────╢      ╟────────────────╢      ╟───────────────╢      ╟───────────────╢
╚════════╝────────▶║    Finder edo   ║─────▶║ decrypt-backup ║─────▶║  check-backup ║─────▶║ bat-etortzeak ║
                   ║ pymobiledevice3 ║      ╚════════════════╝      ║ + adierazleak ║      ║    irteeran   ║
                   ╚═════════════════╝                              ╚═══════════════╝      ╚═══════════════╝

     ╔════════╗
     ║ IPHONE ║
     ╚════════╝
         │ USB
         ▼
╔═════════════════╗
║  KOPIA ZIFRATUA ║
╟─────────────────╢
║    Finder edo   ║
║ pymobiledevice3 ║
╚═════════════════╝
         │
         ▼
 ╔════════════════╗
 ║   DESZIFRATU   ║
 ╟────────────────╢
 ║ decrypt-backup ║
 ╚════════════════╝
         │
         ▼
 ╔═══════════════╗
 ║    ALDERATU   ║
 ╟───────────────╢
 ║  check-backup ║
 ║ + adierazleak ║
 ╚═══════════════╝
         │
         ▼
 ╔═══════════════╗
 ║    EMAITZA    ║
 ╟───────────────╢
 ║ bat-etortzeak ║
 ║    irteeran   ║
 ╚═══════════════╝

                    ╔════════════════╗      ╔═════════════════╗      ╔═══════════════╗
╔═════════╗         ║   ANDROIDQF    ║      ║     ALDERATU    ║      ║    EMAITZA    ║
║ ANDROID ║   USB   ╟────────────────╢      ╟─────────────────╢      ╟───────────────╢
╚═════════╝────────▶║ USB bidez jaso ║─────▶║ check-androidqf ║─────▶║ bat-etortzeak ║
                    ║ .zip bat gorde ║      ║  + adierazleak  ║      ║    irteeran   ║
                    ╚════════════════╝      ╚═════════════════╝      ╚═══════════════╝

    ╔═════════╗
    ║ ANDROID ║
    ╚═════════╝
         │ USB
         ▼
 ╔════════════════╗
 ║   ANDROIDQF    ║
 ╟────────────────╢
 ║ USB bidez jaso ║
 ║ .zip bat gorde ║
 ╚════════════════╝
         │
         ▼
╔═════════════════╗
║     ALDERATU    ║
╟─────────────────╢
║ check-androidqf ║
║  + adierazleak  ║
╚═════════════════╝
         │
         ▼
 ╔═══════════════╗
 ║    EMAITZA    ║
 ╟───────────────╢
 ║ bat-etortzeak ║
 ║    irteeran   ║
 ╚═══════════════╝

Python 3.11 edo berriagoa eta Linux edo Mac behar ditu. Windows-en, WSL bidez. Lizentzia propioa du eta baimenik gabeko erabilera mugatzen du, beraz ez da software librea zentzu hertsian.

sudo apt install python3 python3-venv python3-pip sqlite3 libusb-1.0-0 pipx
pipx ensurepath
pipx install mvt
mvt download-iocs

pipx ensurepath egin ondoren, ireki beste terminal bat. MVTk Python 3.11 eskatzen du, beraz Ubuntu 22.04k ez du balio lehenetsita.

MVT lehenespenez sarera ateratzen da: esteka laburtuak jarraitzen ditu, eta horrek jasotako estekaren azpiegitura ukitu dezake. Itzali honela:

export MVT_NETWORK_ACCESS_ALLOWED=false

sudo apt install usbmuxd
pipx install pymobiledevice3
pymobiledevice3 lockdown pair
pymobiledevice3 backup2 encryption on 'PASAHITZA'
pymobiledevice3 backup2 backup --full ./copia/

read -rs MVT_IOS_BACKUP_PASSWORD; export MVT_IOS_BACKUP_PASSWORD
mvt-ios decrypt-backup -d ./descifrada ./copia/<UDID>
unset MVT_IOS_BACKUP_PASSWORD
mvt-ios check-backup --output ./salida ./descifrada

unzip <UUID>.zip -d adq/
mvt-android check-androidqf --output ./salida ./adq

MVTren dokumentazioa (beste fitxa batean irekitzen da)

                             ╔═══════════════════╗
                             ║      PIROGUE      ║
╔═══════════╗                ╟───────────────────╢            ╔══════════╗
║ MUGIKORRA ║   bere wifia   ║    Raspberry Pi   ║   kablea   ║ INTERNET ║
╚═══════════╝───────────────▶║ wlan0: bere wifia ║───────────▶╚══════════╝
                             ║  Suricata: arauak ║
                             ║   Fluxuen panela  ║
                             ╚═══════════════════╝

    ╔═══════════╗
    ║ MUGIKORRA ║
    ╚═══════════╝
          │ bere wifia
          ▼
╔═══════════════════╗
║      PIROGUE      ║
╟───────────────────╢
║    Raspberry Pi   ║
║ wlan0: bere wifia ║
║  Suricata: arauak ║
║   Fluxuen panela  ║
╚═══════════════════╝
          │ kablea
          ▼
     ╔══════════╗
     ║ INTERNET ║
     ╚══════════╝

                         ╔═══════════════════╗
╔═════════╗              ║ ZURE ERAMANGARRIA ║
║ PIROGUE ║   begiratu   ╟───────────────────╢
╚═════════╝─────────────▶║     Web panela    ║
                         ║ Wireshark (.pcap) ║
                         ╚═══════════════════╝

     ╔═════════╗
     ║ PIROGUE ║
     ╚═════════╝
          │ begiratu
          ▼
╔═══════════════════╗
║ ZURE ERAMANGARRIA ║
╟───────────────────╢
║     Web panela    ║
║ Wireshark (.pcap) ║
╚═══════════════════╝

Wifi bat sortzen duen Raspberry Pi bat da. Mugikorra hari konektatzen diozu eta Piak trafiko guztia zuzenean aztertzen du Suricatarekin, ProofPoint ET Open arauak eta Echap-en stalkerware-adierazleak erabiliz.

sha256sum PiRogue-OS-*.img.xz
# hasierako pasahitza: raspberry, aldatu sartzean
ssh pi@pirogue.local
sudo apt update
sudo apt dist-upgrade -y
sudo apt install pirogue-base -y
sudo reboot

pirogue-admin-client wifi get-configuration
pirogue-admin-client dashboard get-configuration

sudo pirogue-telemetry config disable

sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
scp pi@pirogue.local:~/*_captura.pcap .

╔══════════════════════════╗           ╔═════════════════╗
║        IKERKETAK         ║   STIX2   ║  mvt-indicators ║      ╔═══════════════════╗      ╔═════╗
╟──────────────────────────╢──────────▶╟─────────────────╢─────▶║ mvt download-iocs ║─────▶║ MVT ║
║ Amnistia, Echap, besteak ║           ║ indicators.yaml ║      ╚═══════════════════╝      ╚═════╝
╚══════════════════════════╝           ╚═════════════════╝

╔══════════════════════════╗
║        IKERKETAK         ║
╟──────────────────────────╢
║ Amnistia, Echap, besteak ║
╚══════════════════════════╝
              │ STIX2
              ▼
    ╔═════════════════╗
    ║  mvt-indicators ║
    ╟─────────────────╢
    ║ indicators.yaml ║
    ╚═════════════════╝
              │
              ▼
   ╔═══════════════════╗
   ║ mvt download-iocs ║
   ╚═══════════════════╝
              │
              ▼
          ╔═════╗
          ║ MVT ║
          ╚═════╝

╔═════════════════╗   egunero   ╔════════════════╗      ╔══════════╗
║ ET OPEN + ECHAP ║────────────▶║ suricata.rules ║─────▶║ SURICATA ║
╚═════════════════╝             ╚════════════════╝      ╚══════════╝

╔═════════════════╗
║ ET OPEN + ECHAP ║
╚═════════════════╝
         │ egunero
         ▼
 ╔════════════════╗
 ║ suricata.rules ║
 ╚════════════════╝
         │
         ▼
    ╔══════════╗
    ║ SURICATA ║
    ╚══════════╝

Adierazle bat ikerketa baten ondoren argitaratutako datu zehatz bat da: domeinua, prozesu-izena, hasha, aplikazioaren IDa. Ez agertzeak ez agertzea besterik ez du esan nahi.

• mvt-indicators (beste fitxa batean irekitzen da): MVTk deskargatzen duen zerrenda. Pegasus, Predator, RCS Lab, stalkerwarea eta beste batzuk.
• AmnestyTech/investigations (beste fitxa batean irekitzen da): Amnistia Internazionalaren ikerketetakoak.
• Echap (beste fitxa batean irekitzen da): stalkerwarea. PiRogueren arauak ere elikatzen ditu.

mvt download-iocs                  # Linuxen: ~/.local/share/mvt/indicators; berez kargatzen dira
mvt-ios check-backup --iocs caso.stix2 --output ./salida ./descifrada
export MVT_STIX2="/ruta/uno.stix2:/ruta/dos.stix2"
mvt-ios check-iocs --iocs nuevo.stix2 ./salida      # dagoeneko ateratako emaitzen gainean

Androiden, adierazle berriak aplikatzeko, errepikatu check-androidqf gordetako eskuratzearen gainean.

Sarerik gabe. MVTk esteka laburtuak HEAD eskaera batekin ebazten ditu eta bertsioa eta adierazleak egiaztatzen ditu:

export MVT_NETWORK_ACCESS_ALLOWED=false
mvt-ios --disable-update-check --disable-indicator-update-check check-backup ...

STIX2 propioa

MVTk azpimultzo bat inplementatzen du: balio bat eredu bakoitzeko, adierazpen boolearrik gabe. Motak: domain-name:value, url:value, process:name, email-addr:value, file:name, file:path, file:hashes.md5/.sha1/.sha256, app:id, configuration-profile:id, android-property:name. Modulu bakoitzak dagozkionak bakarrik erabiltzen ditu.

{"type":"bundle","id":"bundle--11111111-1111-4111-8111-111111111111","objects":[
 {"type":"malware","spec_version":"2.1","id":"malware--22222222-2222-4222-8222-222222222222",
  "created":"2026-11-06T00:00:00.000Z","modified":"2026-11-06T00:00:00.000Z",
  "name":"caso-prueba","is_family":false},
 {"type":"indicator","spec_version":"2.1","id":"indicator--33333333-3333-4333-8333-333333333333",
  "created":"2026-11-06T00:00:00.000Z","modified":"2026-11-06T00:00:00.000Z",
  "pattern":"[app:id='com.ejemplo.sospechosa']","pattern_type":"stix",
  "valid_from":"2026-11-06T00:00:00.000Z","indicator_types":["malicious-activity"]},
 {"type":"relationship","spec_version":"2.1","id":"relationship--44444444-4444-4444-8444-444444444444",
  "created":"2026-11-06T00:00:00.000Z","modified":"2026-11-06T00:00:00.000Z",
  "relationship_type":"indicates",
  "source_ref":"indicator--33333333-3333-4333-8333-333333333333",
  "target_ref":"malware--22222222-2222-4222-8222-222222222222"}
]}

Bildumak malware objektuaren izena hartzen du eta alertan agertzen da. Colanderrek STIX2 feed bat ere esporta dezake.

Iturriak: MVT: IOCak (beste fitxa batean irekitzen da), PTS g7 (Colander-en zatia bakarrik) (beste fitxa batean irekitzen da).

                                                                                          ╔═════════════════╗
                   ╔════════════════╗      ╔════════════════╗      ╔═══════════════╗      ║     IRTEERA     ║
╔════════╗         ║ KOPIA ZIFRATUA ║      ║   DESZIFRATU   ║      ║  CHECK-BACKUP ║      ╟─────────────────╢
║ IPHONE ║   USB   ╟────────────────╢      ╟────────────────╢      ╟───────────────╢      ║   alerts.json   ║
╚════════╝────────▶║    backup2     ║─────▶║ decrypt-backup ║─────▶║ + adierazleak ║─────▶║   timeline.csv  ║
                   ║    <UDID>/     ║      ╚════════════════╝      ╚═══════════════╝      ║ *_detected.json ║
                   ╚════════════════╝                                                     ║   command.log   ║
                                                                                          ╚═════════════════╝

     ╔════════╗
     ║ IPHONE ║
     ╚════════╝
         │ USB
         ▼
 ╔════════════════╗
 ║ KOPIA ZIFRATUA ║
 ╟────────────────╢
 ║    backup2     ║
 ║    <UDID>/     ║
 ╚════════════════╝
         │
         ▼
 ╔════════════════╗
 ║   DESZIFRATU   ║
 ╟────────────────╢
 ║ decrypt-backup ║
 ╚════════════════╝
         │
         ▼
 ╔═══════════════╗
 ║  CHECK-BACKUP ║
 ╟───────────────╢
 ║ + adierazleak ║
 ╚═══════════════╝
         │
         ▼
╔═════════════════╗
║     IRTEERA     ║
╟─────────────────╢
║   alerts.json   ║
║   timeline.csv  ║
║ *_detected.json ║
║   command.log   ║
╚═════════════════╝

╔══════════════╗         ╔═════════════╗      ╔══════════════════╗           ╔═══════════════════╗      ╔═════════════╗
║   ANDROID    ║         ║  ANDROIDQF  ║      ║ <UUID>.zip[.age] ║           ║  CHECK-ANDROIDQF  ║      ║   IRTEERA   ║
╟──────────────╢   adb   ╟─────────────╢      ╟──────────────────╢   atera   ╟───────────────────╢      ╟─────────────╢
║ USB bidezko arazketa ║────────▶║  biltzailea ║─────▶║    hashes.csv    ║──────────▶║ ateratako karpeta ║─────▶║ alerts.json ║
╚══════════════╝         ║ mugikorrean ║      ║ acquisition.json ║           ║   + adierazleak   ║      ║ command.log ║
                         ╚═════════════╝      ╚══════════════════╝           ╚═══════════════════╝      ╚═════════════╝

   ╔══════════════╗
   ║   ANDROID    ║
   ╟──────────────╢
   ║ USB bidezko arazketa ║
   ╚══════════════╝
          │ adb
          ▼
   ╔═════════════╗
   ║  ANDROIDQF  ║
   ╟─────────────╢
   ║  biltzailea ║
   ║ mugikorrean ║
   ╚═════════════╝
          │
          ▼
 ╔══════════════════╗
 ║ <UUID>.zip[.age] ║
 ╟──────────────────╢
 ║    hashes.csv    ║
 ║ acquisition.json ║
 ╚══════════════════╝
          │ atera
          ▼
╔═══════════════════╗
║  CHECK-ANDROIDQF  ║
╟───────────────────╢
║ ateratako karpeta ║
║   + adierazleak   ║
╚═══════════════════╝
          │
          ▼
   ╔═════════════╗
   ║   IRTEERA   ║
   ╟─────────────╢
   ║ alerts.json ║
   ║ command.log ║
   ╚═════════════╝

Lehenik: irakurri al du ezer?

grep -E 'not found|ERROR|WARNING' salida/command.log
jq -r '.[]|select(.missing==true)|.relative_path' salida/manifest.json | head

Bere fitxategia aurkitzen ez duen modulu bat no detections esanez amaitzen da, garbi dagoen bat bezala. iPhonen, "missing": true-k markatzen du kopiak eskuratu ez duena. AndroidQFrekin, atera ZIPa eta pasatu karpeta: ZIP sintetiko batekin egindako gure proban, zuzenean pasatzeak 0 alerta eman zituen.

Fitxategiak

• alerts.json: alerta guztiak. Hasi hemen. Alertaren bat izan bada bakarrik dago.
• alerts_timeline.csv: alertak dataren arabera. Lehengo timeline_detected.csv ordezkatzen du.
• timeline.csv: dena, dataren arabera. Hemen ulertzen da alerta bat: zer gertatu zen aurretik eta ondoren. iOS UTCn; Android, tokiko orduan.
• <módulo>.json eta <módulo>_detected.json: ateratakoa eta bat datorrena.
• urls.json: SMS, iMessage eta WhatsAppeko estekak, helmugarekin ebatzi bada.
• info.json: MVTren bertsioa, data, erabilitako adierazleak eta, --hashes-ekin, hashak.
• command.log: erregistro osoa. Txostenarekin doa.

Mailak

CRITICAL adierazle batekin bat-etortzea da, oro har: begiratu matched_indicator. HIGH: adibidez, VirusTotal. MEDIUM heuristika izan ohi da: ADB bidez instalatutako aplikazioa, birbideratze azkarra, ezarpen bat. INFO eta LOW testuingurua dira. MVTk berak dio irteeran: adituen berrikuspenak bakarrik baieztatzen du, eta alertarik ez egotea ez da osasun-ziurtagiri bat.

jq -r '.[]|[.level,.module,.event_time,.message]|@tsv' salida/alerts.json | sort
jq '.[]|select(.level=="CRITICAL")|.matched_indicator' salida/alerts.json

iPhone: axola duten moduluak

• datausage: sare-jarduera duten prozesuak, DataUsage.sqlite-n. Ez du wifi-trafikoa erregistratzen. Kopian dago. netusage fitxategi-sisteman bakarrik.
• os_analytics_ad_daily: prozesuen datu-erabilera, exekuzioak datatzeko beste iturri bat.
• safari_history, safari_browser_state: kopia zifratuarekin bakarrik. Segundo bat baino gutxiagoan beste domeinu batera egindako HTTP birbideratzeez ohartarazten du.
• webkit_session_resource_log, webkit_resource_load_statistics: kargatutako domeinuak, tartekoak barne.
• sms, sms_attachments, whatsapp: estekak eta eranskinak.
• id_status_cache: kontsultatutako iMessage eta FaceTime kontuak. Hutsik edo falta iOS 14.7tik aurrera.
• configuration_profiles, profile_events, applications, tcc: profilak, App Storetik kanpoko aplikazioak, baimenak.
• global_preferences: Isolamendu modua aktibo dagoen. backup_info: modeloa eta bertsioa.
• manifest: kopiaren aurkibidea, bideekin eta datekin.
• Fitxategi-sistemarekin bakarrik: shutdown_log, cache_files, analytics, safari_favicon, webkit_indexeddb, webkit_local_storage.

Android: axola duten moduluak

• aqf_packages: izena, hasha eta ziurtagiria alderatzen ditu. Nabigatzaile edo ADB bidez instalatutako aplikazioez, root paketeez eta desaktibatutako segurtasunaz ohartarazten du.
• aqf_settings: Play Protect itzalita, irisgarritasuna, txostenak desaktibatuta. Androidek erregistratzen duenean, ezarpen bakoitza nork aldatu duen esaten du.
• aqf_get_prop: segurtasun-adabakia. root_binaries, mounts: root aztarnak.
• aqf_processes: ps.txt irakurtzen du, baina AndroidQF 1.8.3k processes.json idazten du. Argitu arte, berrikusi fitxategi hori eskuz.
• dns_event, connect_event, security_event: Intrusion Logs, baldin badaude. DNSek eta konexioek package_name dute.

Iturriak: MVT: iOS erregistroak (beste fitxa batean irekitzen da), Intrusion Logs (beste fitxa batean irekitzen da), MVTren kodea (beste fitxa batean irekitzen da).

Prozesuak

iOSek sare-jarduera duten prozesuak DataUsage.sqlite-n (kopian dago) eta netusage.sqlite-n (ez dago) gordetzen ditu. Sarea erabili dutenak bakarrik agertzen dira. Amnistia Internazionalak bh prozesu bat aurkitu zuen Pegasus instalatzeko domeinuetara egindako bisiten ondoren berehala, eta egiaztatu zuen garai hartako iOS bertsio berrietan ez zegoela izen hori zuen bitar legitimorik.

Gehienek benetako zerbitzuak imitatzen dituzte: fmld, fmfd-ren ordez; aggregatenotd, aggregated-en ordez; launchafd, launchd-ren ordez; nehelprd, nehelper-en ordez; roleaccountd, xpcroleaccountd-ren ordez. Horregatik du garrantzia idazkera zehatzak.

jq -r '.[]|select(.bundle_id==null or .bundle_id=="")|[.first_isodate,.isodate,.proc_name]|@tsv' salida/datausage.json | sort -u

MVTren arabera, bundle_id baliodunik gabeko prozesuek arreta merezi dezakete. Gurutzatzeko zerrenda bat da, ez emaitza bat.

Erdizka ezabatutako erregistroak

Pegasusek izenak ezabatu zituen ZPROCESS-etik, ZLIVEUSAGE-ko lerroak ezabatu gabe: existitzen ez den prozesu batera seinalatzen duten erabilera-lerroak geratzen dira. Amnistia Internazionalak beti beste adierazle batzuekin batera ikusi zuen, eta inoiz ez aztertu zituen iPhone garbietan. Datatzeko balio du. Ez da froga bere kabuz.

jq -r '.[]|select(.proc_name==null or .proc_name=="")|[.live_isodate,.live_proc_id,.wwan_in,.wwan_out]|@tsv' salida/datausage.json

# zuzenean kopia deszifratuaren gainean; fitxategia 0d/0d609c54856a9bb2d56729df1d68f2958a88426b
SELECT l.Z_PK, l.ZHASPROCESS, datetime(l.ZTIMESTAMP+978307200,'unixepoch')
FROM ZLIVEUSAGE l LEFT JOIN ZPROCESS p ON l.ZHASPROCESS=p.Z_PK WHERE p.Z_PK IS NULL;

Safariren birbideratzeak

Sareko injekzioan, pertsonak web normal bat eskatzen zuen eta nabigatzailea beste batean amaitzen zen: Yahoo-ra egindako bisita batek hona egin zuen salto: bun54l2b67.get1tn0w.free247downloads[.]com:30495/szev4hz. Arreta ematen zuen laugarren mailako azpidomeinuagatik, portu altuagatik eta ausazko bideagatik.

• Safariren historiak hilabete gutxi irauten du eta garbituta egon daiteke. Amnistia Internazionalak domeinu berak aurkitu zituen Favicon.db-n, MVTk fitxategi-sisteman bakarrik irakurtzen duena.
• Badirudi Safarik ez duela kate osoa gordetzen: tarteko domeinuak Session Resource log-etan agertzen dira (webkit_session_resource_log).
• Nabigatzailetik kanpo ere gertatzen da: kasu bat Twitter aplikazioaren barruan esteka bat aurrebistan ikustean gertatu zen.

Txostenaren beste arrasto batzuk

• Library/Preferences/com.apple.CrashReporter.plist RootDomain-en: infekzioekin batera agertzen da, Amnistia Internazionalaren arabera ziurrenik Applerako akats-txostenak eteteko. Arrastoa, ez adierazlea.
• Ezezagunak diren iMessage kontuei egindako kontsultak, idstatuscache-n, prozesuak baino pixka bat lehenago. Hutsik edo falta iOS 14.7tik aurrera.
• Amnistia Internazionalaren arabera, badirudi Pegasus iraunkorra izateari utzia ziola: bitarra ezin da diskotik berreskuratu.

jq -r '.[]|select(.relative_path|test("CrashReporter"))|[.domain,.relative_path,.modified]|@tsv' salida/manifest.json

Android: Amnistia Internazionalak dio iOSen baino aztarna eskuragarri dezente gutxiago daudela, beraz aztarnarik ez egoteak are gutxiago balio du.

Iturria: Amnistia Internazionala: Forensic Methodology Report (beste fitxa batean irekitzen da).

╔══════════╗      ╔═══════════════╗      ╔══════════╗      ╔═════════╗
║ TRAFIKOA ║      ║    NFSTREAM   ║      ║ INFLUXDB ║      ║ GRAFANA ║
╟──────────╢─────▶╟───────────────╢─────▶╟──────────╢─────▶╟─────────╢
║  wlan0   ║      ║ fluxuak, nDPI ║      ║  5 egun  ║      ║  panela ║
╚══════════╝      ╚═══════════════╝      ╚══════════╝      ╚═════════╝

   ╔══════════╗
   ║ TRAFIKOA ║
   ╟──────────╢
   ║  wlan0   ║
   ╚══════════╝
        │
        ▼
╔═══════════════╗
║    NFSTREAM   ║
╟───────────────╢
║ fluxuak, nDPI ║
╚═══════════════╝
        │
        ▼
   ╔══════════╗
   ║ INFLUXDB ║
   ╟──────────╢
   ║  5 egun  ║
   ╚══════════╝
        │
        ▼
   ╔═════════╗
   ║ GRAFANA ║
   ╟─────────╢
   ║  panela ║
   ╚═════════╝

╔══════════╗      ╔════════════════╗      ╔══════════╗      ╔═════════╗
║ TRAFIKOA ║      ║    SURICATA    ║      ║ INFLUXDB ║      ║ GRAFANA ║
╟──────────╢─────▶╟────────────────╢─────▶╟──────────╢─────▶╟─────────╢
║  wlan0   ║      ║ ET Open, Echap ║      ║  5 egun  ║      ║  panela ║
╚══════════╝      ╚════════════════╝      ╚══════════╝      ╚═════════╝

   ╔══════════╗
   ║ TRAFIKOA ║
   ╟──────────╢
   ║  wlan0   ║
   ╚══════════╝
         │
         ▼
╔════════════════╗
║    SURICATA    ║
╟────────────────╢
║ ET Open, Echap ║
╚════════════════╝
         │
         ▼
   ╔══════════╗
   ║ INFLUXDB ║
   ╟──────────╢
   ║  5 egun  ║
   ╚══════════╝
         │
         ▼
   ╔═════════╗
   ║ GRAFANA ║
   ╟─────────╢
   ║  panela ║
   ╚═════════╝

╔══════════╗                       ╔════════╗
║ TRAFIKOA ║      ╔═════════╗      ║ .pcap  ║
╟──────────╢─────▶║ TCPDUMP ║─────▶╟────────╢
║  wlan0   ║      ╚═════════╝      ║ aparte ║
╚══════════╝                       ╚════════╝

╔══════════╗
║ TRAFIKOA ║
╟──────────╢
║  wlan0   ║
╚══════════╝
      │
      ▼
╔═════════╗
║ TCPDUMP ║
╚═════════╝
      │
      ▼
 ╔════════╗
 ║ .pcap  ║
 ╟────────╢
 ║ aparte ║
 ╚════════╝

NFStream-ek paketeak fluxuetan biltzen ditu eta nDPIrekin sailkatzen ditu. Suricatak arauekin ematen ditu alertak. Biek InfluxDBn idazten dute eta Grafanak erakusten du. Panelak 5 egunera ezabatzen du: esportatu lehenago.

Kaptura

tmux                                                    # SSHarekin batera hil ez dadin
sudo tcpdump -i wlan0 -w $(date +%Y%m%d%H%M)_captura.pcap
# orain, mugikorraren wifia. 3 egun inguru erabilera normalarekin. Ctrl+C gelditzeko.
sha256sum *_captura.pcap

Esportatu alertak eta fluxuak

influx -database 'suricata' -execute 'SELECT * FROM "suricata"."suricata_5d"."alert"' -format 'csv' > alertas.csv
influx -database 'flows' -execute 'SELECT * FROM "flows"."flows_5d"."flow"' -format 'csv' > flujos.csv

Fluxuak: requested_server_name, dst_ip, application_name, src2dst_bytes, dst2src_bytes, community_id. Alertak: alert_signature, alert_signature_id, alert_severity, community_id. Bi tauletan dago community_id: erabili alerta bat bere fluxuarekin gurutzatzeko.

pcap-a begiratu paketez pakete ibili gabe

tshark -r c.pcap -Y 'dns.flags.response==0' -T fields -e frame.time_epoch -e dns.qry.name
tshark -r c.pcap -Y 'tls.handshake.type==1' -T fields -e frame.time_epoch -e ip.dst -e tls.handshake.extensions_server_name
tshark -r c.pcap -q -z conv,ip

• Atera domeinu bakarrak eta kendu ezagutzen duzuna: Apple, Google, pertsonaren aplikazioak. Begiratu geratzen dena.
• Bilatu erregulartasuna mugikorra geldi dagoenean eta neurriz kanpoko bidalketak: src2dst_bytes altua.
• Zerbitzariaren herrialdeak ez du ezer erabakitzen bere kabuz. PTSk pertsonarekin eta haren mehatxu-ereduarekin lotuta planteatzen du.
• DNS zifratuarekin izen gutxiago ikusiko dituzu. Hodeiko IP batek ere ez du esaten norena den.

Arauak

/var/lib/suricata/rules/suricata.rules fitxategian daude eta egunero eguneratzen dira: ET Open eta PTS (beste fitxa batean irekitzen da)renak, Echapen oinarrituta. Suricata IDS moduan dabil: ohartarazi egiten du, ez du blokeatzen. Alerta baten aurrean, bilatu haren araua eta irakurri:

grep -F 'sid:1000001;' /var/lib/suricata/rules/suricata.rules

alert dns $HOME_NET any -> any any (msg:"PTS STALKERWARE TheTruthSpy (copy9[.]com)";
  metadata: type stalkerware; dns.query; content:"copy9.com"; depth:9; nocase; endswith;
  fast_pattern; reference:url,github.com/AssoEchap/stalkerware-indicators;
  classtype:targeted-activity; sid:1000001; rev:1;)

Izen-bat-etortze bat da DNS kontsulta batean, eta hori bakarrik. reference-k dio nondik datorren eta classtype-k nola sailkatzen den.

Arauak gehitzeko, ez editatu fitxategia, gainidatzi egiten baita. Argitaratu URL batean:

sudo suricata-update add-source MIAS https://ejemplo.org/mias.rules
sudo suricata-update
sudo suricatasc -c reload-rules

pcap bat egungo arauekin berriro aztertzeko:

mkdir -p suri/
sudo suricata -r c.pcap -S /var/lib/suricata/rules/suricata.rules -l suri/

Iturriak: arkitektura (beste fitxa batean irekitzen da), trafikoaren analisia (beste fitxa batean irekitzen da), esportatu (beste fitxa batean irekitzen da), arau propioak (beste fitxa batean irekitzen da), g2 (beste fitxa batean irekitzen da).

╔═══════════════════╗                   ╔═════════════════════════╗      ╔════════════════╗
║ ANDROID ROOTEATUA ║                   ║         PIROGUE         ║      ║ .pcap + GAKOAK ║
╟───────────────────╢   USB eta wifia   ╟─────────────────────────╢      ╟────────────────╢
║       Frida       ║──────────────────▶║ pirogue-intercept-gated ║─────▶║  traffic.pcap  ║
║   laborategirako  ║                   ╚═════════════════════════╝      ║ sslkeylog.txt  ║
╚═══════════════════╝                                                    ╚════════════════╝

   ╔═══════════════════╗
   ║ ANDROID ROOTEATUA ║
   ╟───────────────────╢
   ║       Frida       ║
   ║   laborategirako  ║
   ╚═══════════════════╝
             │ USB eta wifia
             ▼
╔═════════════════════════╗
║         PIROGUE         ║
╟─────────────────────────╢
║ pirogue-intercept-gated ║
╚═════════════════════════╝
             │
             ▼
     ╔════════════════╗
     ║ .pcap + GAKOAK ║
     ╟────────────────╢
     ║  traffic.pcap  ║
     ║ sslkeylog.txt  ║
     ╚════════════════╝

╔══════════════════╗   tshark   ╔══════════════╗      ╔══════════════════╗
║ decrypted.pcapng ║───────────▶║ traffic.json ║─────▶║ pirogue-view-tls ║
╚══════════════════╝            ╚══════════════╝      ╚══════════════════╝

╔══════════════════╗
║ decrypted.pcapng ║
╚══════════════════╝
          │ tshark
          ▼
  ╔══════════════╗
  ║ traffic.json ║
  ╚══════════════╝
          │
          ▼
╔══════════════════╗
║ pirogue-view-tls ║
╚══════════════════╝

PiRoguek Frida instalatzen du probetako mugikorrean eta TLS gakoak memoriatik ateratzen ditu trafikoa kapturatzen duen bitartean. TLS liburutegi guztiak ez daude onartuta, beraz trafikoren bat deszifratu gabe gera daiteke. Konektatu mugikorra PiRoguera USB bidez eta haren wifi bidez, instalatu aplikazioa eta ez ireki.

adb devices
pirogue-intercept-gated -o $(date +%Y%m%d%H%M)_salida
# "Waiting for data": ireki aplikazioa, erabili. Ctrl+C gelditzeko.
cd <salida>
editcap --inject-secrets tls,sslkeylog.txt traffic.pcap decrypted.pcapng
tshark -2 -T ek --enable-protocol communityid -Ndmn -r decrypted.pcapng > traffic.json
pirogue-view-tls -i traffic.json -t socket_trace.json

sudo-rekin abiarazi baduzu, lehenago: sudo chown -R pi:pi <salida>. pcap-a Wiresharken ere ireki dezakezu eta sslkeylog.txt adierazi Settings, Protocols, TLS atalean.

• traffic.pcap: kaptura. sslkeylog.txt: gakoak NSS formatuan.
• socket_trace.json: socket eragiketa bakoitzaren dei-pila.
• aes_info.json: AES eta RSA eragiketak, testu argiarekin eta zifratuarekin.
• device.json, ad_ids.txt, experiment.json, screen.mp4: gailua, publizitate-IDak, denborak, bideoa.

Iturria: PTS g8 (beste fitxa batean irekitzen da).

Zarata izan ohi dena

• Zure eskuratzea bera: USB bidezko arazketaren eta ADB shellaren aztarna uzten du. Kokatu zure jarduera denbora-lerroan irakurri aurretik.
• Play Storetik kanpoko aplikazioak: denda alternatibo bat INFO da; nabigatzaile edo ADB bidez, MEDIUM. MVTk ez daki hori normala den harentzat.
• Profilak eta MDM: normalak laneko edo ikastetxeko mugikor batean, edo berak jarritako DNS iragazki bat.
• Ezarpenak: irisgarritasuna aktibatuta edo txostenak desaktibatuta haren erabakia izan daiteke. Begiratu nork eta noiz.
• Adabaki zaharra: arriskuaz ari da, ez infekzioaz.
• Birbideratze azkarra (MEDIUM): HTTPtik beste domeinu batera segundo bat baino gutxiagoan. Gure irizpidea: publizitateak eta laburtzaileek ere egiten dute.
• Helbidea aipatzen duen gordetako orri bat spywareari buruzko albiste bat izan ohi da. Domeinu partekatu batek ere bat-etortze kaltegabeak eman ditzake.
• bundle_id gabeko prozesuak: beren kabuz ez dute ezer frogatzen.
• Suricata arauak: asko zarata dira, publizitatea edo jarraitzaileak adibidez. Irakurri araua.
• Rayhunter: alarma faltsuak hegazkin bat lurreratzean, zifratze nulua sarearen konfigurazio txarragatik eta AEB eta Europaren artean aldatzen diren heuristikak.

Hari ezer esan aurretik

Gure irizpidea. Bat-etortze bakoitzerako:

• Zein adierazle zehatz, zein bildumatakoa, eta mugikorreko zein balio etorri da bat? Irakurri adierazlearen iturria.
• Data bat dator haren historiarekin eta kanpainarekin?
• Zer dago aurretik eta ondoren timeline.csv-n? Ba al dago bigarren aztarna independente bat?
• Berrikus dezala beste pertsona batek. Jakinarazi "berrikusi beharreko zerbait dago", ez "kutsatuta zaude", eta ez erabili mugikor hori kasuaz hitz egiteko.

Noiz eskalatu

• Aurrekoari eusten dion edozein CRITICAL bat-etortze.
• Appleren edo beste plataforma baten abisu ofiziala, ezer ateratzen ez bada ere.
• Arriskuan dauden kazetariak, aktibistak edo defendatzaileak, garbi ateratzen bada ere: adierazle publikoak ez dira nahikoa, eta laguntza fidagarri batek adierazle ez-publikoak behar ditu.
• Sarbide fisikoaren susmoa: mugikor atxikia edo erauzketa-tresnak.
• Ulertzen ez duzun aztarna bat. Horrek ere balio du.

Gelditu. Ez berrinstalatu, ez berrezarri, ez ezabatu ezer eta ez bisitatu helbideak. Gorde eskuratzea, hashak eta command.log, eta galdetu nola jaso nahi dituzten. Ez igo inora.

• Access Now Digital Security Helpline (beste fitxa batean irekitzen da): gizarte zibila, aktibistak, hedabideak, defendatzaileak. Doakoa, 24/7, 10 hizkuntza, gaztelania barne. Bi ordutan erantzuten dutela diote. Kasua beren mandatuan sartzen den egiaztatzen dute. help@accessnow.org, PGP (beste fitxa batean irekitzen da)-rekin.
• Amnesty Security Lab (beste fitxa batean irekitzen da): eraso zuzenduen arriskuan dauden kazetariak, aktibistak eta erakundeak.

Iturriak: MVT (beste fitxa batean irekitzen da), PTS g2 (beste fitxa batean irekitzen da), Rayhunter (beste fitxa batean irekitzen da), Zero Breach (beste fitxa batean irekitzen da).

╔═════════════════════════╗             ╔═══════════════════════╗      ╔════════════════╗
║         ANTENAK         ║             ║       RAYHUNTER       ║      ║     ABISUA     ║
╟─────────────────────────╢   irratia   ╟───────────────────────╢      ╟────────────────╢
║ benetakoak edo faltsuak ║────────────▶║     bideratzailea + SIM    ║─────▶║ bere pantailan ║
╚═════════════════════════╝             ║ seinalea aztertzen du ║      ║  ez da froga   ║
                                        ╚═══════════════════════╝      ╚════════════════╝

╔═════════════════════════╗
║         ANTENAK         ║
╟─────────────────────────╢
║ benetakoak edo faltsuak ║
╚═════════════════════════╝
             │ irratia
             ▼
 ╔═══════════════════════╗
 ║       RAYHUNTER       ║
 ╟───────────────────────╢
 ║     bideratzailea + SIM    ║
 ║ seinalea aztertzen du ║
 ╚═══════════════════════╝
             │
             ▼
     ╔════════════════╗
     ║     ABISUA     ║
     ╟────────────────╢
     ║ bere pantailan ║
     ║  ez da froga   ║
     ╚════════════════╝

IMSI catcher bat inguruko mugikorrak identifikatzen dituen antena faltsua da. Spywarea ez bezala, ez du telefonoa ukitzen, eta inguruan egon behar da.

• Itzali 2G: Androiden Babes Aurreratuak (beste fitxa batean irekitzen da) saihesten du mugikor bateragarrietan, eta iPhonen Isolamendu moduak (beste fitxa batean irekitzen da) 2G eta 3G desaktibatzen ditu. Sarerik gabe gera zaitezke horiek bakarrik dauden tokietan.
• Rayhunter (beste fitxa batean irekitzen da) (EFF) antena faltsuen seinaleak bilatzen ditu router mugikor merke batekin. Europan TP-Link M7350 gomendatzen dute (beste fitxa batean irekitzen da), baina ez erosi 10.0 hardware-bertsioa (beste fitxa batean irekitzen da): berria saltzen dena hori da eta ez du funtzionatzen. Bilatu bigarren eskukoa eta baieztatu bertsioa ordaindu aurretik. Sartu tokiko operadore baten SIMa, plan aktiborik ez badu ere, eta SD txartela FAT formatuan.

  ./installer tplink                # panela: http://192.168.0.1:8080
  rayhunter-check -p captura.qmdl   # berriro aztertu ordenagailuan

  Desaktibatu energia-aurrezpena TP-Linken panelean, bestela grabatzeari utziko dio. Heuristikek (beste fitxa batean irekitzen da) hauek begiratzen dituzte: autentifikaziorik gabeko IMSI eskaerak, 2Gra jaitsierak, zifratze nulua eta SIB osatugabeak. Alerta batek ez du frogatzen antena faltsu bat dagoenik. Kapturak zure IMSIa eta inguruko antenak izan ditzake, eta horrek non egon zinen ager dezake. EFFk AEBetatik kanpo abokatu bati galdetzea gomendatzen du.