Можно ли самостоятельно проверить телефон на Pegasus, Predator или другое шпионское ПО, которым пользуются спецслужбы и коммерческие компании по слежке? Обычный антивирус здесь мало поможет. Современные шпионские комплексы умеют скрывать присутствие, удалять следы и заражать устройства без каких-либо действий владельца.
На GitHub появился Zero Breach Toolkit, бесплатный инструмент с открытым исходным кодом для поиска следов известных шпионских кампаний. Программа работает с Windows, macOS и Linux, умеет анализировать данные Android и резервные копии iPhone. Разработчик обещает локальное сканирование без отправки личных данных на внешние серверы.
Звучит заманчиво, но есть принципиальная разница между поиском следов заражения и доказательством безопасности устройства. Zero Breach Toolkit занимается первым. Даже успешная проверка не гарантирует, что на компьютере или смартфоне нет шпионской программы.
Разберём, как устроен сканер, что именно проверяет, как запустить анализ и почему некоторые результаты могут напугать владельца совершенно чистого устройства.
Как работает Zero Breach Toolkit и что умеет находить
Zero Breach Toolkit представляет собой набор анализаторов на Python, которые ищут известные индикаторы компрометации (IOC). К индикаторам относятся IP-адреса, домены управляющих серверов, контрольные суммы вредоносных файлов и другие цифровые следы, связанные с расследованными атаками.
Вместо попыток обнаружить работающий шпионский процесс программа изучает доступные системные артефакты. Например, если исследователи связали определённый домен с инфраструктурой Pegasus, сканер может проверить, встречался ли адрес в истории браузера, сетевых записях или диагностических журналах.
Разработчик заявляет поддержку примерно 12 400 опубликованных индикаторов из 29 источников. Используются исследования Amnesty International Security Lab, Citizen Lab, проекта Mobile Verification Toolkit (MVT) и организации Echap. Часть правил включена в поставку, остальные загружаются отдельно. Указанное количество отражает заявленный объём базы, а не число вредоносных программ или гарантированно распознаваемых атак.
Среди упомянутых семейств находятся Pegasus от NSO Group, Predator, Graphite компании Paragon и Candiru, известный также под названием DevilsTongue. Программа охватывает и некоторые другие шпионские кампании, включая коммерческие средства скрытого наблюдения.
При этом наличие индикатора ещё не говорит о заражении. Домен мог попасть в историю браузера через журналистское расследование, рекламу или ссылку в переписке. IP-адрес мог сменить владельца после завершения шпионской кампании. Поэтому Zero Breach Toolkit учитывает происхождение совпадения и пытается различать прямые следы, косвенные признаки и простые упоминания.
Что сканируется на разных устройствах
| Платформа | Что проверяет программа | Главные ограничения |
|---|---|---|
| Windows | Браузеры, PowerShell, Microsoft Defender, DNS, автозагрузка, Prefetch, Amcache, отдельные файлы и системные записи | Часть журналов требует повышенных прав, а удалённые следы могут отсутствовать |
| macOS | Safari, другие браузеры, журналы командной оболочки, LaunchAgents, LaunchDaemons и файлы | Без Full Disk Access часть данных останется недоступной |
| Linux | Браузеры, shell history, systemd, cron, автозагрузка, конфигурации и файлы | Нет полноценного анализа памяти и всех системных событий |
| Android | Данные AndroidQF, установленные приложения, сертификаты, SMS, диагностические и доступные сетевые журналы | Полнота зависит от версии Android, производителя и собранных данных |
| iPhone | Локальные резервные копии, поддерживаемые базы сообщений, браузеров, приложений и диагностические записи | Нет прямого сканирования телефона и доступа ко всем его файлам |
На Windows сканер поддерживает Chrome, Edge, Brave, Firefox, Opera, Vivaldi, Яндекс Браузер, Tor Browser и ряд других программ. Проверяются также доступные веб-записи приложений со встроенным Chromium. В системных данных программа ищет не только сетевые индикаторы, но и признаки запуска подозрительных команд, изменения параметров защиты и известные контрольные суммы файлов.
Отдельный интерес представляют Prefetch и Amcache. Windows сохраняет в таких артефактах сведения о программах и файлах, которые система обрабатывала. Но назначение записей различается. Prefetch может свидетельствовать о запуске программы, тогда как наличие файла в Amcache само по себе не доказывает его выполнение. Разработчик учитывает различие при формировании отчёта.
На macOS сканер читает доступную историю Safari, включая отдельные записи браузерных профилей, cookie, HSTS и сведения об открытых вкладках. Linux-версия дополнительно проверяет распространённые расположения профилей Snap и Flatpak, задания cron, конфигурации systemd и историю командных оболочек.
Проверка файлов работает по ограниченному набору каталогов и форматов. В обычном режиме предельный размер кандидата составляет 120 МиБ. Режим полного сканирования расширяет охват, но не превращает программу в анализатор каждого файла на всех дисках.
Установка Zero Breach Toolkit и первая проверка
Для анализа компьютера нужен Python 3.8 или новее. Администраторские права для стандартного запуска не требуются, обязательных сторонних библиотек тоже нет. Исходный код распространяется под лицензией Apache 2.0.
На Windows можно скачать архив через кнопку «Code» и пункт «Download ZIP» на странице проекта. После распаковки откройте PowerShell в каталоге программы. На Linux и macOS удобнее скачать репозиторий через Git.
git clone https://github.com/interplains/Zero-Breach-Toolkit.git cd Zero-Breach-Toolkit
Сначала обновим индикаторы компрометации.
python3 -X utf8 scan/zero-breach-toolkit.py --update
На Windows вместо python3 используйте python. При обычном обновлении программа скачивает версии списков, закреплённые за текущим выпуском. Такой подход защищает от незаметной подмены исходных данных, но не гарантирует получение самых свежих индикаторов.
Для загрузки текущих списков из разрешённых источников предусмотрен отдельный вариант.
python3 -X utf8 scan/zero-breach-toolkit.py --update --latest
При последующем сканировании с такими списками также понадобится параметр --latest. Для первого знакомства разумнее использовать обычное обновление, чтобы работать с проверенными разработчиком версиями наборов.
Перед запуском можно посмотреть, какие данные программа собирается проверять.
python3 -X utf8 scan/zero-breach-toolkit.py --preview
Стандартный запуск открывает текстовое меню. Перед проверкой лучше закрыть браузеры и мессенджеры, поскольку открытые базы SQLite иногда блокируются работающими приложениями.
python3 -X utf8 scan/zero-breach-toolkit.py
Для автоматического запуска без меню и сохранения результатов доступны отдельные параметры.
python3 -X utf8 scan/zero-breach-toolkit.py --no-menu --report report.txt --json report.json
Быстрый режим пропускает вычисление контрольных сумм некоторых файлов. Пропуск фиксируется в отчёте как неполный охват проверки.
python3 -X utf8 scan/zero-breach-toolkit.py --quick --no-menu
Если требуется анализ только выбранной папки, можно использовать адресную проверку.
python3 -X utf8 scan/zero-breach-toolkit.py --scan-type targeted --target /path/to/folder --no-menu
В Windows вместо Unix-пути укажите каталог в формате C:\Users\.... Если сканер не смог открыть системный журнал, не следует считать пропущенную проверку успешной. Для расширенного анализа Windows существует параметр --extended-windows, использующий доступные журналы Security и Sysmon, но программа не включает такое журналирование самостоятельно.
Как проверить Android
Zero Breach Toolkit не выполняет обычную проверку Android напрямую, как мобильный антивирус. Сначала нужно получить доступные криминалистические данные с помощью AndroidQF, проекта, который поддерживает Amnesty International Security Lab.
Владелец телефона включает режим разработчика и отладку по USB, подключает устройство к компьютеру и разрешает соединение. AndroidQF собирает доступные сведения об установленных программах, приложениях, системных параметрах, журналах и других артефактах. Некоторые возможности зависят от версии Android и прав доступа.
После извлечения полученного архива Zero Breach Toolkit анализирует каталог с данными.
python3 -X utf8 scan/zero-breach-toolkit.py --phone "/path/to/androidqf-output"
Есть экспериментальный режим, который автоматически загружает закреплённую версию AndroidQF 1.8.3, проверяет контрольную сумму и запускает сбор данных после согласия владельца.
python3 -X utf8 scan/zero-breach-toolkit.py --collect-android ./android-evidence
Автоматический сбор данных уже нельзя считать полностью пассивной операцией. AndroidQF взаимодействует с подключённым телефоном, использует ADB и сохраняет чувствительные записи. Отладку по USB после завершения работы следует отключить.
Полнота анализа на Android остаётся ограниченной даже при исправной работе инструментов. У разных производителей отличаются журналы, механизмы резервного копирования и доступные системные сведения. Отсутствие следов Pegasus в собранном архиве не доказывает, что телефон никогда не подвергался атаке.
Как проверить iPhone
С iPhone процедура несколько иная. Сначала создайте локальную резервную копию через Finder на macOS либо Apple Devices или iTunes на Windows. Желательно включить шифрование резервной копии, поскольку такой архив содержит больше категорий данных, полезных для анализа.
Для работы с зашифрованными копиями дополнительно нужна библиотека cryptography и Python не старше версии 3.9. Зависимости устанавливаются с закреплёнными версиями и контрольными суммами.
python3 -m pip install --require-hashes -r requirements-backups.txt
Затем укажите каталог конкретной резервной копии и параметр запроса пароля.
python3 -X utf8 scan/zero-breach-toolkit.py --phone "/path/to/iphone-backup" --backup-password
Пароль вводится в терминале, а не через аргумент командной строки. В зависимости от содержимого архива программа проверяет поддерживаемые записи SMS, iMessage, WhatsApp, Safari, конфигурационные профили, отдельные журналы процессов, сбоев и другие артефакты.
Помимо резервных копий поддерживается анализ подготовленных каталогов файловой системы и архивов sysdiagnose. Но Zero Breach Toolkit не снимает блокировку iPhone, не извлекает данные непосредственно из защищённой памяти и не получает резервные копии из iCloud.
Разработчик проверял поддержку ряда структур баз данных iOS 15, 16, 17 и 18. Утверждать совместимость со всеми версиями iOS, приложениями и форматами журналов на основании таких тестов нельзя.
Как читать результаты и почему совпадение ещё не означает взлом
Самая полезная часть Zero Breach Toolkit заключается не в большом количестве индикаторов, а в попытке объяснить смысл каждого совпадения.
Представим три ситуации.
Первая. Сканер обнаружил известный домен Pegasus среди сохранённых ссылок браузера. Владелец компьютера мог открыть статью, где исследователи перечисляли управляющие серверы шпионской программы. Наличие адреса в браузерной базе ещё не доказывает, что компьютер связывался с сервером.
Вторая. Тот же домен обнаружился в журнале реального сетевого соединения. Признак интереснее, но остаются вопросы. Когда произошёл контакт, кому тогда принадлежал домен, какой процесс отправил запрос и завершилось ли соединение успешно?
Третья. На диске обнаружен файл, контрольная сумма которого совпадает с опубликованным образцом вредоносной программы. Такой результат заслуживает более серьёзного расследования, хотя обнаружение файла не всегда означает его запуск.
Zero Breach Toolkit присваивает находкам категории доказательности и отделяет подозрительные события от справочных совпадений. В отчёте также перечисляются участки, которые программа не сумела проверить.
| Код завершения | Значение |
|---|---|
| 0 | Нет значимых совпадений и зарегистрированных пробелов проверки |
| 1 | Ошибка аргументов, настройки или вывода результата |
| 2 | Найдено совпадение, требующее расследования |
| 3 | Нет значимых совпадений, но часть проверок не состоялась |
| 4 | Пользователь закрыл меню, не запустив сканирование |
Даже код 0 не означает гарантированно чистую систему. Программа сообщает лишь об отсутствии известных индикаторов в проверенных источниках данных.
Для автоматизации предусмотрен JSON-отчёт. Отдельный параметр формирует сокращённую сводку без исходных значений индикаторов, путей, имён профилей и подробностей артефактов.
python3 -X utf8 scan/zero-breach-toolkit.py --no-menu --share-json summary.json
Сокращённый отчёт удобен для первичной передачи специалисту. При серьёзной находке лучше сохранить и полный результат, не изменять подозрительные файлы и не переходить по обнаруженным адресам.
Насколько безопасен сам Zero Breach Toolkit
Главное достоинство архитектуры заключается в разделении получения индикаторов и непосредственно сканирования. При обычной проверке программа не должна устанавливать сетевые соединения и обращаться к обнаруженным подозрительным доменам.
В исходном коде предусмотрен механизм no_network(), который временно блокирует распространённые операции Python для DNS-разрешения и отправки данных через сокеты. Такой подход снижает риск случайного контакта с инфраструктурой злоумышленника.
Но у механизма есть принципиальный недостаток. Запрет сетевых вызовов внутри Python не равнозначен сетевой изоляции на уровне операционной системы. Он не способен гарантированно контролировать все внешние процессы и способы обращения к сети.
Кроме того, предусмотрены исключения. Команда --update подключается к GitHub для загрузки индикаторов, а --collect-android загружает внешний сборщик AndroidQF. В интерактивном меню также присутствует отдельная проверка блокировки рекламы, которая после согласия открывает сайт ArchiveGenocide в браузере. Следовательно, обещание полностью автономной работы относится именно к локальному анализу, а не ко всем возможностям программы.
Для проверки в условиях повышенного риска разумно отключить сеть средствами ОС или использовать изолированную среду, предварительно подготовив необходимые индикаторы.
Проверяйте только собственные устройства и данные, полученные с согласия владельца. Архивы Android, резервные копии iPhone и полные отчёты могут содержать личную переписку, историю посещений и другие конфиденциальные сведения. При подозрении на целевую слежку лучше сначала обратиться к специалистам, чтобы не уничтожить возможные доказательства.
Можно ли доверять разработчику
Здесь возникает закономерный вопрос. Почему человек, опасающийся профессионального шпионского ПО, должен запускать почти мегабайтный Python-скрипт от малоизвестного автора?
По состоянию на 29 октября 2026 года актуальный опубликованный выпуск проекта имеет номер 0.1.11, а первая версия Zero Breach Toolkit вышла 27 октября. Иными словами, проект ещё очень молодой. Короткая история разработки не позволяет судить о долгосрочной надёжности.
Автор использует псевдоним archivegenocide и не раскрывает проверяемую профессиональную биографию. Открытый код облегчает аудит, но сам по себе не доказывает отсутствие ошибок или скрытых функций.
Разработчик предусмотрел воспроизводимую сборку единого Python-файла, GPG-подписи выпусков и публикацию SHA-256. Воспроизвести сборку версии 0.1.11 можно следующими командами.
git checkout v0.1.11 python3 build/bundle.py sha256sum dist/zero-breach-toolkit.py
Для указанного выпуска опубликована контрольная сумма.
91254ab664f343f66a5116074f766ed48db732e7ebbcbeab082e41a60a46912d
Сверка хеша и проверка GPG-подписи помогают убедиться, что полученный файл соответствует определённому выпуску проекта. Но подпись анонимного автора не подтверждает безопасность алгоритмов и не заменяет независимый аудит.
Есть и положительные признаки инженерной дисциплины. В репозитории присутствуют автоматизированные тесты, ограничения на размеры обрабатываемых файлов, проверки источников индикаторов и отдельные описания неполного охвата. История версий показывает, что разработчик исправлял ошибки чтения баз данных и ложные срабатывания.
В частности, версия 0.1.7 устранила ложные совпадения приложений наблюдения на некоторых смартфонах Pixel. Версия 0.1.9 уточнила обработку заблокированных баз браузеров, сетевых индикаторов и результатов анализа. Подобные исправления показывают активную разработку, но одновременно напоминают, что ранние версии работали неидеально.
Публичных результатов независимого сравнительного испытания Zero Breach Toolkit на репрезентативном наборе заражённых и чистых устройств найти не удалось. Поэтому нельзя достоверно назвать процент обнаружения Pegasus, частоту ложных срабатываний или превосходство над существующими криминалистическими инструментами.
Zero Breach Toolkit против MVT
Сравнение с Mobile Verification Toolkit помогает понять место нового проекта. MVT разработали в Amnesty International для анализа возможных следов заражения мобильных устройств. Инструмент используется в криминалистических исследованиях и ориентирован прежде всего на специалистов.
Zero Breach Toolkit использует опубликованные индикаторы из той же исследовательской экосистемы, но предлагает более простой сценарий для обычного пользователя и дополнительно проверяет настольные операционные системы.
| Критерий | Zero Breach Toolkit | MVT |
|---|---|---|
| Основное назначение | Первичная самостоятельная проверка следов известных кампаний | Криминалистический анализ мобильных устройств |
| Windows, Linux, macOS как объекты проверки | Да | Нет, основной объект анализа Android и iOS |
| Android и iPhone | Анализ подготовленных данных | Специализированные средства анализа мобильных артефактов |
| Подготовка пользователя | Базовые навыки работы с компьютером | Навыки командной строки и цифровой криминалистики |
| Доказательство отсутствия заражения | Нет | Нет |
| Независимая подтверждённая эффективность нового проекта | Пока недостаточно данных | Есть многолетняя история исследовательского применения, но нет гарантии обнаружения всех атак |
Критический недостаток обоих подходов связан с природой профессионального шпионского ПО. Современная атака может не оставлять известных публичных индикаторов, использовать инфраструктуру с коротким сроком жизни и очищать следы после выполнения задачи.
Даже разработчики MVT предупреждают, что общедоступных индикаторов недостаточно для заключения о безопасности устройства. В профессиональном расследовании специалисты используют дополнительные источники, собственные правила обнаружения, закрытые данные об угрозах и анализ поведения системы.
Для пользователей с высоким риском целевого наблюдения Zero Breach Toolkit может оказаться полезным начальным этапом. Но подменять полноценное криминалистическое исследование автоматическим отчётом нельзя.
Частые вопросы
Может ли Zero Breach Toolkit обнаружить Pegasus на iPhone?
Программа способна обнаружить некоторые известные следы Pegasus в поддерживаемых данных резервной копии или диагностических журналах. Отсутствие совпадений не исключает заражение неизвестной либо более новой версией шпионской программы.
Нужны ли права администратора или root?
Обычная проверка компьютера не требует прав администратора. Часть защищённых журналов при таком запуске будет недоступна. Для Android root не обязателен, но расширенный доступ может увеличить объём извлечённых артефактов. Для iPhone анализ локальной резервной копии не требует взлома устройства.
Можно ли использовать программу без интернета?
Да. Обычное сканирование работает локально с уже доступными индикаторами. Однако для обновления списков требуется интернет. Автоматическое получение AndroidQF и отдельная проверка блокировки рекламы также используют сетевое подключение.
Чем Zero Breach Toolkit отличается от обычного антивируса?
Антивирус обычно обеспечивает постоянную или периодическую защиту от широкого круга вредоносных программ. Zero Breach Toolkit выполняет ретроспективный поиск опубликованных признаков шпионских кампаний. Программа не заменяет защиту в реальном времени и не блокирует новые заражения.
Почему сканер может найти подозрительный домен на чистом компьютере?
Известный домен может встретиться в статье, рекламном объявлении, сохранённой ссылке или сообщении. Некоторые адреса со временем меняют владельцев. Поэтому при расследовании учитывают дату, источник совпадения и реальный характер сетевого контакта.
Поможет ли проверка после сброса телефона до заводских настроек?
Сброс может уничтожить журналы и другие следы, полезные для расследования. Если сохранилась резервная копия, сделанная до сброса, её можно попытаться проанализировать. Но отсутствие данных после сброса не подтверждает, что заражения раньше не было.
Что делать, если программа обнаружила серьёзное совпадение?
Сохраните исходные данные и отчёт. Не открывайте найденные подозрительные адреса и не удаляйте файлы без понимания последствий. При риске целевой слежки обратитесь к специалисту по мобильной или компьютерной криминалистике. Если необходима срочная безопасная связь, используйте другое доверенное устройство.
Можно ли проверить телефон другого человека?
Технически анализ возможен при наличии подходящих данных, но получать и изучать чужие резервные копии без согласия владельца нельзя. Архивы могут содержать личную переписку и другие сведения, защищённые законом. Для законной проверки следует получить согласие владельца устройства.
Вывод
Zero Breach Toolkit заслуживает внимания как бесплатный инструмент первичной проверки на следы известных шпионских кампаний. Особенно интересна возможность работать не только с мобильными резервными копиями, но и с журналами, браузерами и файловыми артефактами обычного компьютера.
К достоинствам проекта относятся открытый исходный код, локальный анализ, воспроизводимая сборка, проверка целостности индикаторов и попытка объяснять степень достоверности результатов. Сканер не ограничивается бинарным ответом «заражён» или «чист», а показывает доступные доказательства и пробелы проверки.
Главная слабость заключается в отсутствии независимой оценки эффективности. Проект появился совсем недавно, а обширная база известных индикаторов сама по себе ничего не говорит о способности находить современные целевые атаки. Списки исследователей полезны лишь до тех пор, пока злоумышленники продолжают оставлять распознаваемые следы.
Для самостоятельной проверки я бы начал с запуска из исходного кода, обновления закреплённых индикаторов и изучения отчёта, особенно раздела о недоступных данных. При серьёзных подозрениях результат стоит передать криминалисту и дополнить анализом MVT.
Zero Breach Toolkit может помочь найти следы шпионажа. Но отсутствие найденных следов не означает отсутствие шпиона. Именно с таким ожиданием программу и стоит использовать.
