概要
- iOS 26 で shutdown.log の管理方法が変更され、スパイウェア感染の証拠が消去される問題
- Pegasus や Predator などの高度なスパイウェア検出が困難化
- shutdown.log は従来、感染の重要な指標として活用
- iOS 26以降、再起動ごとにshutdown.logが上書きされ、過去の証拠が消失
- アップデート前の sysdiagnose保存 が推奨
iOS 26でのshutdown.log消去問題とフォレンジックへの影響
- iOS 26 のリリースにより shutdown.log の扱いが大幅に変更
- 再起動のたびに shutdown.log が完全に上書きされる仕様
- これにより、 Pegasus や Predator 感染の痕跡が消去されるリスク
- フォレンジック調査や感染判定の難易度が大幅に上昇
- スパイウェア攻撃が増加傾向にある中での重大な課題
shutdown.logの重要性と従来の検出手法
- shutdown.log はiOSデバイスのシャットダウン時の挙動を記録する重要ログ
- Sysdiagnose 内の Unified Logs に格納されている
- 2021年には Pegasus の痕跡がshutdown.log内で確認可能
- 2022年以降、Pegasus開発者はログを消去する手法に進化
- ログ消去自体や痕跡の残存が感染の指標(IOC)として利用
PegasusとPredatorの回避手法の進化
- Pegasus は2022年以降、shutdown.logの完全消去を実施
- それでも微細な痕跡や消去パターンが感染判定のヒューリスティックに
- Predator もshutdown.logを監視し、類似の痕跡を残す傾向
- ログの消去や異常な挙動がIOCとして注目
iOS 26での新たな課題
- iOS 26ではshutdown.logが 毎回上書き される仕様に変更
- 過去のログが保持されず、感染の証拠が自動的に消去
- システム衛生やパフォーマンス向上が目的と推測されるが、 フォレンジック上は大きな損失
- スパイウェア標的が著名人や経営者にも拡大する中で、時期的にも深刻
旧バージョンでのIOCと検出ポイント
- iOS 26未満では /private/var/db/com.apple.xpc.roleaccountd.staging/com.apple.WebKit.Networking のshutdown.log内出現がPegasus 2022のIOC
- NSO Groupは検出を難しくするため、通常のプロセス名を悪用
- iOS 18以前では containermanagerd ログとshutdown.logの突合で詳細な検出が可能
- ブートイベントとシャットダウンログの不一致が隠蔽活動のシグナル
アップデート前の推奨対応
- iOS 26へのアップデート前に sysdiagnose を取得・保存
- 現在のshutdown.logと感染証拠を保全
- Appleがshutdown.log上書き問題を修正するまでアップデートを控える選択肢
- フォレンジック観点からの証拠保全が重要
まとめ:今後のリスクと注意点
- iOS 26の仕様変更は 高度なスパイウェア検出の障壁
- shutdown.logの証拠消失は個人・組織のセキュリティに直結
- Appleの対応やアップデート内容に注視しつつ、 証拠保全 を最優先
- スパイウェア攻撃増加の現状を踏まえた慎重な運用が求められる