Citat:
Ja, precis. Även om vi inte kan se själva innehållet i trafiken så kan vi ju fortfarande se vart anslutningarna går, när de sker och hur mycket data som skickas fram och tillbaka.
Men det finns en viktig teknisk skillnad. Wireshark via en hotspot kan visa nätverksanslutningar och viss metadata, men inte automatiskt innehållet i krypterad trafik. Dessutom måste trafiken faktiskt passera den dator där den fångas upp. Att upptäcka okända IP-adresser eller domäner är därför inte i sig bevis för spyware.
Jag skulle prioritera följande:
Frånvaro av fynd utesluter inte alla tänkbara intrång, men det är inte heller belägg för att mer avancerad spyware måste finnas.
Det intressanta är att om man faktiskt kan belägga kompromettering av en mobil blir nästa fråga hur informationen används, om den lämnar enheten och om det finns dokumenterade kopplingar till andra aktörer.
Jag skulle prioritera följande:
- Mobilforensik: Undersök enheten med MVT, iVerify och vid behov professionell forensisk analys.
- Nätverkstrafik: Dokumentera misstänkta anslutningar och kontrollera om de har legitima förklaringar.
- Kontosäkerhet: Granska inloggningshistorik, aktiva sessioner och säkerhetsvarningar.
- Bevisbevarande: Spara originalfiler, tidsstämplar, loggar och säkerhetskopior utan att förändra materialet.
- Oberoende verifiering: Låt någon med dokumenterad kompetens undersöka resultaten utan att på förhand utgå från en viss förklaring.
Frånvaro av fynd utesluter inte alla tänkbara intrång, men det är inte heller belägg för att mer avancerad spyware måste finnas.
Det intressanta är att om man faktiskt kan belägga kompromettering av en mobil blir nästa fråga hur informationen används, om den lämnar enheten och om det finns dokumenterade kopplingar till andra aktörer.
Om man samlar in sånt under en längre period från flera olika mobiler kanske man kan börja se något gemensamt. Till exempel om samma servrar återkommer, om det sker anslutningar vid liknande tidpunkter eller om det finns trafikmönster som sticker ut.
En eventuell C2-server behöver ju inte heller vara någon suspekt server. I teorin skulle någon kunna använda helt legitima tjänster för att förmedla data, exempelvis genom en så kallad dead drop. Då blir det svårare att upptäcka, men det kanske fortfarande går att hitta mönster i trafiken.
Jag tänker att det vore intressant att samla in data från flera enheter och jämföra resultaten. Hittar man något som faktiskt sticker ut kan man undersöka det närmare. En enskild IP-adress bevisar ju ingenting, men återkommande avvikelser kanske kan leda någonstans.
/A