Antivirusbedrijf Kaspersky heeft verschillende scripts gemaakt om de aanwezigheid van iOS-spyware Pegasus, Reign en Predator op iPhones te detecteren. Hiervoor zoeken de scripts in het bestand Shutdown.log naar een bepaald forensisch artifact. Onderzoekers van de virusbestrijder ontdekten dat de Pegasus-spyware infectiesporen achterlaat in Shutdown.log, dat wordt opgeslagen in het sysdiagnose-archief van elke iPhone.

Dit archief bewaart informatie van elke herstartsessie, wat betekent dat afwijkingen die verband houden met de Pegasus-malware zichtbaar worden in het logbestand als een geïnfecteerde gebruiker zijn telefoon opnieuw opstart. Onder de geïdentificeerde processen waren gevallen van "sticky" processen die het opnieuw opstarten belemmerden, met name diegene welke waren gekoppeld aan de Pegasus-spyware.

Bij het analyseren van Shutdown.log bij Pegasus-infecties zagen de onderzoekers een gemeenschappelijk infectiepad, met name "/private/var/db/". Dit werd ook gezien bij andere spyware-infecties zoals Reign en Predator. De onderzoekers stellen dat dit logbestand potentieel heeft voor het identificeren van infecties die gerelateerd zijn aan deze malwarefamilies.

Om het zoeken naar spyware-infecties te vereenvoudigen ontwikkelde Kaspersky scripts waarmee gebruikers hun iPhone kunnen controleren. De Python3-scripts zorgen voor de extractie, analyse en parsing van het Shutdown.log-bestand. De scripts zijn te downloaden via GitHub en zijn beschikbaar voor macOS, Windows en Linux.