卡巴斯基GReAT发布新工具，用于识别Pegasus和其他iOS间谍软件
内容提要
卡巴斯基发布了一种新的方法，用于检测复杂的iOS间谍软件。研究人员发现了一个被忽视的取证工件，可以用于识别与恶意软件组织相关的感染。卡巴斯基还开发了一个自检实用工具，并分享了该工具的Python3脚本。建议用户采取一些措施来保护设备安全。
延伸解读
被忽视的取证工件：Shutdown.log 的价值
卡巴斯基的研究指出，iOS 设备 sysdiagnose 归档中的 Shutdown.log 此前未受重视，但它记录了每次重启会话的信息。在重启过程中，与 Pegasus 相关的“粘滞”进程会阻碍系统重启，形成可观察的异常。该日志因此能作为识别 Pegasus、Reign 和 Predator 等间谍软件感染的线索，并已被网络安全社区证实。这为 iOS 恶意软件取证提供了一个轻量级的新入口。
感染路径的共性：/private/var/db/
对 Shutdown.log 中 Pegasus 感染的进一步分析揭示了一个常见路径“/private/var/db/”，该路径与 Reign 和 Predator 感染中所见的路径相似。研究人员据此认为，该日志可用于识别与这些恶意软件组织相关的感染。这一共性意味着，同一取证工件可能对多种复杂 iOS 间谍软件的调查都有参考价值，而不仅限于 Pegasus。
自检工具与使用门槛
卡巴斯基 GReAT 开发了自检实用工具，并在 GitHub 上分享了 Python3 脚本，适用于 macOS、Windows 和 Linux 用户，方便提取、分析和解析 Shutdown.log 工件。不过，该工具依赖 sysdiagnose 归档作为输入，普通用户需要先获取该归档。研究人员强调，该日志需结合移动验证工具包（MVT）等其他 iOS 证据处理，才能确认感染情况，因此它更适合作为综合调查的一部分。
面向用户的防护建议
鉴于 iOS 间谍软件日益复杂，卡巴斯基建议用户采取多项措施：每天重新启动设备以打断潜在感染，使用苹果的锁定模式并禁用 iMessage 和 FaceTime 功能，及时更新 iOS 安装最新补丁，谨慎点击链接，并定期检查备份和系统诊断存档。这些建议侧重于降低攻击面和提高发现异常的机会，但文章并未声称这些措施能完全阻止所有间谍软件感染。
Q&A
卡巴斯基新发布的iOS间谍软件检测方法是什么？
卡巴斯基GReAT发布了一种轻量级方法，通过分析iOS设备sysdiagnose归档中的Shutdown.log文件来检测复杂的iOS间谍软件，如Pegasus、Reign和Predator。
Shutdown.log文件在检测iOS间谍软件中起什么作用？
Shutdown.log记录了每个重启会话的信息，能显示与Pegasus等间谍软件相关的异常，如阻碍系统重启的“粘滞”进程，并揭示常见感染路径'/private/var/db/'，从而帮助识别感染。
卡巴斯基提供的自检工具支持哪些操作系统？
该自检工具是一个Python3脚本，适用于macOS、Windows和Linux用户，可在GitHub上获取，用于提取、分析和解析Shutdown.log工件。
Pegasus间谍软件感染通常出现在哪个路径？
Pegasus感染的常见路径是'/private/var/db/'，与Reign和Predator引起的感染路径相似。
普通用户如何防范iOS间谍软件攻击？
卡巴斯基建议：每天重新启动设备以打断潜在感染；使用苹果的锁定模式并禁用iMessage和FaceTime；及时更新iOS；谨慎点击链接；定期检查备份和系统诊断存档。
Shutdown.log作为取证工件的可靠性如何？
卡巴斯基GReAT首席安全研究员Maher Yamout表示，该日志中的感染指示器已通过移动验证工具包（MVT）确认，且行为与其他Pegasus感染一致，因此可作为可靠的取证工件支持感染分析。
