MVT (Mobile Verification Toolkit): форензика мобильных устройств от Amnesty International

Что такое MVT и для кого он предназначен

Mobile Verification Toolkit (MVT) — это набор утилит, разработанных Amnesty International Security Lab для проведения согласованного криминалистического анализа Android- и iOS-устройств. Инструмент был выпущен в июле 2021 года в рамках Pegasus Project и помогает выявлять следы компрометации, оставленные продвинутыми мобильными шпионскими программами.

Инструмент продолжает поддерживаться Amnesty International совместно с другими контрибьюторами.

Целевая аудитория:

• Специалисты по информационной безопасности и digital-форензике
• Журналисты и правозащитники, находящиеся под угрозой слежки
• Сотрудники Amnesty International Security Lab, оказывающие поддержку правозащитникам, активистам, журналистам и другим представителям гражданского общества.
• ИБ-исследователи и пентестеры

Ключевые возможности

MVT — мощный консенсуальный forensic-инструмент, поддерживающий оба типа устройств (iOS и Android), выполняющий автоматизированный поиск следов шпионского и вредоносного ПО на основе IoC-индикаторов, поддерживаемых сообществом, и выводящий данные в JSON для ручного анализа угроз.

Возможности для iOS

Среди ключевых функций MVT: расшифровка зашифрованных iOS-бэкапов и обработка записей из многочисленных системных баз данных iOS, логов и системной аналитики.

Возможности для Android

MVT умеет извлекать список установленных приложений с Android-устройств и получать диагностическую информацию через протокол ADB.

Работа с IoC и отчётность

MVT сравнивает извлечённые записи со списком вредоносных индикаторов в формате STIX2, генерирует JSON-логи всех извлечённых записей и отдельные логи обнаруженных вредоносных следов, а также формирует единую хронологическую временну́ю шкалу.

MVT поддерживает использование публичных индикаторов компрометации (IoC) для сканирования мобильных устройств — включая IoC, опубликованные Amnesty International и другими исследовательскими группами.

Архитектура работы MVT

graph TD
    A[📱 Мобильное устройство] --> B{Тип платформы}
    B -->|iOS| C[Резервная копия iTunes / FS-дамп]
    B -->|Android| D[ADB-извлечение / AndroidQF]
    C --> E[mvt-ios]
    D --> F[mvt-android]
    E --> G[Парсинг баз данных, логов, аналитики]
    F --> H[Список приложений, диагностика]
    G --> I[Сравнение с IoC / STIX2]
    H --> I
    I --> J[JSON-отчёт + хронологическая шкала]
    J --> K{Обнаружены следы?}
    K -->|Да| L[🚨 Алерт о компрометации]
    K -->|Нет| M[✅ Следов не найдено]

Установка и быстрый старт

Для запуска MVT на macOS требуется предварительная установка Xcode и Homebrew. MVT официально не поддерживает нативный запуск на Windows: большинство функций должно работать, но есть известные проблемы, особенно с mvt-android.

Установка через pipx

# Установка через pipx (рекомендуется)
pipx install mvt

# Или последняя dev-версия из git
pipx install --force git+https://github.com/mvt-project/mvt.git

Основные команды

MVT предоставляет три основные команды: mvt-ios и mvt-android анализируют данные с устройств соответствующей платформы, а mvt объединяет всё остальное: управление версиями, автодополнение, плагины и загрузку IoC.

# iOS: расшифровать бэкап и проверить его
mvt-ios decrypt-backup -d ./decrypted_backup ./backup_dir
mvt-ios check-backup -o ./output ./decrypted_backup

# Android: проверить устройство через ADB
mvt-android check-adb -o ./output

# Загрузить актуальные IoC от Amnesty International
mvt download-iocs

Цены и лицензия

MVT — полностью бесплатный инструмент, доступный организациям любого размера — от стартапов до крупных предприятий. Проект распространяется с открытым исходным кодом на GitHub под специальной лицензией MVT, запрещающей использование инструмента в недобросовестных целях.

Плюсы и минусы

Сравнение с альтернативами

iMazing предоставляет бесплатный анализатор шпионского ПО для iOS, выступающий GUI-обёрткой над MVT, — что значительно проще в использовании, чем сам MVT как инструмент командной строки. iMazing автоматизирует и интерактивно проводит пользователя через процесс сканирования устройства на публично доступные IoC от различных исследователей угроз.

Cellebrite UFED — широко используемый инструмент мобильной форензики, поддерживающий извлечение данных из широкого спектра мобильных устройств. Он известен мощными возможностями извлечения данных и интуитивным пользовательским интерфейсом.

«MVT — это наиболее близкий к общепризнанному полевому стандарту инструмент для обнаружения продвинутого мобильного шпионского ПО.» — PrivacyTools.io

Вердикт

MVT был выпущен Amnesty International вместе с расследованием Pegasus Project, сопоставляет артефакты устройств с опубликованными IoC и используется журналистами, организациями гражданского общества и исследователями безопасности по всему миру. Честное ограничение: он требует технической грамотности — Mac или Linux, умения извлечь полный бэкап устройства и достаточного forensic-бэкграунда для интерпретации результатов.

MVT подойдёт:

• ИБ-специалистам и форензикам, расследующим атаки шпионского ПО
• Организациям, защищающим журналистов и правозащитников
• Исследователям, изучающим мобильные угрозы (Pegasus, Predator и др.)
• Командам SOC, выстраивающим процессы mobile threat intelligence

Не подойдёт:

• Обычным пользователям без навыков CLI
• Тем, кто ищет автоматическое «нажми кнопку — получи ответ» решение
• Командам, работающим исключительно на Windows

Рейтинг: 8/10