Pregunta de lego (que no de Lego
): si se hace un backup previo a la restauración ¿el Pegasus de turno se autodestruye? Porque si no, igual podrían detectarlo sabiendo lo que buscan
Un backup y una imagen forense no son lo mismo.
El backup existe para recuperar tu vida si pierdes el móvil: fotos, mensajes, ajustes. Lo genera iOS y Apple decide qué entra. La imagen forense existe para reconstruir qué pasó en el aparato, incluido todo lo que al usuario no le sirve de nada. El backup guarda contenido; la imagen forense guarda evidencia.
Lo que se queda fuera de un backup es justo lo interesante: shutdown.log, buena parte de /private/var/db/, los logs del sistema, lo ya borrado. Y si la copia no va cifrada, encima pierdes el llavero y varios artefactos que el MVT (Mobile Verification Toolkit, la herramienta forense de Amnesty International Security Lab) necesita. Un backup en claro te deja a medias.
En la práctica hay una escalera. Backup sin cifrar no vale para casi nada. Backup cifrado ya sirve para MVT, y con eso se han hecho la mayoría de las atribuciones públicas de Pegasus. Un sysdiagnose, que son dos minutos con una combinación de botones, añade shutdown.log y los logs del sistema, y es el mejor coste/beneficio. Por encima está el full file system, que requiere Cellebrite, GrayKey o un exploit. Y la imagen física bit a bit, que en un iPhone moderno con Secure Enclave y cifrado por fichero es inviable.
Técnicamente un implante con privilegios de kernel (el máximo privilegio en el sistema podría enterarse de que lo estás copiando, pero no hay evidencia pública de que lo haga, y tiene su lógica porque reaccionar es delatarse. Si borrase artefactos justo al conectar el móvil a un ordenador, estaría generando una anomalía detectable.
Su juego es parecer un proceso normal del sistema, camuflarse. Lo que sí hace, y está documentado, es borrar crash logs, vivir en memoria para desaparecer al reiniciar y autodestruirse si pierde contacto con el C2 o si el operador se lo ordena.
Si el implante está activo con privilegios de kernel, cualquier cosa que le preguntes/pidas al sistema operativo te la puede contestar mintiendo. Y el backup lo genera iOS. Por eso los procedimientos serios apagan primero, para que el implante en memoria deje de correr y nadie pueda tocar lo que queda en disco.
www.diariodeleon.es
