Thread by @SoyMmadrigal

Cómo el CNI detecta Pegasus ahora?
Al parecer utilizó la herramienta Mobile Verification Toolkit (MVT) desarrollado por @amnistia
Esto es lo que testea
Mini hilo

Decir que la instalación de la herramienta requiere de conocimientos que no están al alcance de todos los públicos
En todo caso el enlace de descarga es este
github.com/mvt-project/mvt

Esta herramienta testea en una copia de seguridad de un Iphone buscando trazas de unos dominios, procesos y direcciones Ips que Amnistía declaró relacionados con NSO Group y Pegasus
Es lo que llamamos IOCs o indicadores de compromiso

Los IOCs que usa la herramienta los pueden ver aquí
github.com/AmnestyTech/in…

Para ello la búsqueda se realiza en los Smss recibidos intentando encontrar algunos con enlaces maliciosos correspondientes a estos IOCs

El siguiente paso es el examen del historial de navegación de Safari . Este historial está cifrado en los backups de los Iphones

El tercer paso es el examen de "cuentas de Icloud" asociadas a Pegasus que hayan interactuado con el dispositivo. De hecho algunas de estas cuentas se utilizaron contra varias víctimas a la vez. Esta información se guardaba también cifrada en los backups hasta IOS 14.7

Se examina luego dos archivos :
Datausage y Netusage que contienen un registro con nombres de procesos y la información que enviaron o recibieron de la red. Se buscan nombres de procesos comunes en otras infecciones y asociados a Pegasus

Con esta información la herramienta confecciona una línea temporal de lo encontrado y más significativo , para analizarlo relacionándolo con las fechas en que ocurrió lo que va encontrando

Espero haberme explicado y hacer entendible todo el proceso
Ya saben que mi intención es compartir conocimiento