كيف تكتشف برنامج التجسس بيغاسوس الإسرائيلي و إزالته من هاتفك

سامي التواتي

0 3٬789 3 دقائق

من الصعب جداً للمستخدمين الذين يمتلكون هواتف أيفون اكتشاف الإصابة أو الإختراق ببرنامج التجسس بيغاسوس الإسرائيلي Pegasus. و ذلك لقدراته الفائقة في التخفي و برمجته المعقدة جداً.

طور باحثون أمنيون في كاسبرسكي “Kaspersky ” أداة يمكن استخدامها للكشف عن الإصابات المحتملة على أجهزة iOS باستخدام برنامج التجسس Pegasus ، الذي طورته شركة NSO الإسرائيلية وتستخدمه بعض الوكالات الحكومية كحصان طروادة للتجسس على الأفراد و الصحافيين. أصبح هذا التطور ممكنا بفضل الخبرة المكتسبة مع أجهزة الأيفون المصابة في السنوات الأخيرة، كما أوضح الباحثون في تقريرهم.

وجد فريق البحث أن بيغاسوس “Pegasus” يترك آثارا في سجل نظام تم إنشاؤه على كل جهاز iOS يسمى Shutdown.log. يتم ملء هذا الملف عند إعادة تشغيل الجهاز المعني. واحتوت بعض المدخلات على بيانات تعود إلى عدة سنوات ووفرت ثروة من المعلومات، على سبيل المثال عن العمليات المنجزة والطابع الزمني المرتبط بها.

يحتوي سجل النظام على مسارات مشبوهة:

أحد الأشياء التي لاحظها الباحثون أثناء التحليل هو أن المسار الذي تعمل منه برامج التجسس عادة يظهر بشكل متكرر في سجل النظام. وقال الباحثون: “يبدو أن تشغيل البرامج الضارة من” /private/var /db/” هو نفسه في جميع الإصابات التي رأيناها ، حتى لو كانت أسماء العمليات مختلفة”.

هذا مشابه لبرنامج التجسس Predator الذي توزعه Intellexa ، والذي يعمل غالبا من المسار /private/var/tmp/. من وجهة نظر باحثي كاسبرسكي ، يعد Shutdown .log مفيدا للكشف عن الإصابات مع عائلتي البرامج الضارة.

ومع ذلك، لكي يعمل الاكتشاف بشكل موثوق ، من الضروري إعادة التشغيل المتكرر لأجهزة أيفون التي يحتمل أن تكون مصابة. ومع ذلك ، فإن عدد المرات التي يجب أن تحدث فيها هذه الأشياء بالضبط يعتمد على ملف تعريف المخاطر للمستخدم المعني. “كل بضع ساعات ، كل يوم ، أو ربما خلال الأحداث الهامة. نترك هذا السؤال مفتوحا “، يشرح الباحثون.

ثلاثة Scripts لتحليل السجل:

يقدم باحثو كاسبرسكي أداة الكشف الخاصة بهم في شكل ثلاثة نصوص ” Python Scripts ” عبر Github. يسمى البرنامج النصي الأول أو سكريبت الأول iShutdown_detect وهو يستخدم لتحليل ملف Shutdown.log. يكتشف الحالات الشاذة فيه ويشير إليها للمستخدم.

أطلق الباحثون على النص الثاني iShutdown_parse. يتلقى أرشيف sysdiag كوسيطة ويستخرج منه ملف سجل Shutdown.log . الإخراج عبارة عن ملف CSV يحتوي على إدخالات السجل بما في ذلك التجزئة والطوابع الزمنية بتنسيق قابل للقراءة ، وفقا ل Github.

البرنامج النصي Script Python الأخير هو الملف iShutdown_stats.py. يقوم باستخراج بيانات مختلفة من ملف Shutdown.log لتحديد عدد المرات أو متى قام المستخدمون بإعادة تشغيل هواتفهم.