MVT 是由 Amnesty International 安全实验室开发并维护的开源移动取证工具包，用于对 Android 与 iOS 设备进行取证分析，借助公开威胁指标查找潜在入侵痕迹。
项目做什么
该工具的核心目标是简化并自动化移动设备取证痕迹的收集流程，帮助技术人员与调查人员识别 Android 和 iOS 设备是否可能被已知间谍软件或定向攻击入侵。它诞生于 Pegasus 项目背景下，配套公开了一套技术取证方法论，并持续由 Amnesty International 及其他贡献者维护。其定位是取证研究工具，面向具备数字取证知识并熟悉命令行操作的技术人员，而非面向普通终端用户的自检产品。
与同类方案相比
MVT 支持使用公开的威胁指标对移动设备进行扫描，可结合 Amnesty International 及其他研究团队发布的 IOC 使用。它同时覆盖 Android 和 iOS 两大平台，提供 mvt-ios、mvt-android 以及公共的 mvt 三个命令，分别处理对应平台的采集数据与通用功能。工具可通过 PyPI 安装，也可用 uv 作为命令行工具安装，并支持 Bash、Zsh、Fish 的 shell 补全。此外它提供插件机制，允许通过插件包扩展取证模块和自定义命令。
设计与创新
README 显示，MVT 在 Pegasus 项目背景下随一套公开的技术取证方法论一同发布，将移动设备取证痕迹的收集流程工具化。它采用按平台拆分的命令结构，并引入插件包机制，使第三方可以在 check-* 命令中运行额外取证模块，并在顶层注册自定义命令。近期合并的 v3 分支带来破坏性变更，可能影响依赖其输出的其他脚本。但 README 未与其他同类工具进行直接比较，因此其相对创新程度无法从现有材料中验证。
适用场景
MVT 适用于对 Android 或 iOS 设备进行自愿、经同意的取证分析，例如民间社会组织、记者或调查人员怀疑设备可能被复杂移动间谍软件针对时，可由技术人员使用公开威胁指标扫描采集数据。它也可配合 Amnesty International 安全实验室或 Access Now 数字安全求助热线提供的支持使用。README 明确指出它不适合终端用户自行评估设备安全，相关担忧应寻求可靠专家协助。此外，开发者可借助插件机制扩展取证模块与自定义命令。
谁会受益
对于具备数字取证背景并熟悉命令行的调查人员，MVT 提供了自动化和简化取证痕迹收集的具体途径，并支持使用公开威胁指标进行扫描，有助于发现与已知间谍软件活动相关的潜在痕迹。它覆盖两大移动平台，安装方式灵活，并有文档、shell 补全和插件扩展支持，便于集成到取证工作流中。但其价值受限于公开指标本身的覆盖范围，README 强调可靠且全面的取证支持需要非公开指标、研究与威胁情报。
使用前需要注意
README 明确警告，公开威胁指标不足以判定设备“干净”或未被特定间谍软件针对，仅依赖公开指标可能遗漏近期取证痕迹并带来虚假安全感。MVT 面向技术人员和调查人员，需要数字取证知识与命令行操作能力，不适用于终端用户自评。它强调仅用于经同意的取证分析，采用自有许可证，具体条款需查阅文档，不能简单按常见开源许可证理解。近期 v3 分支的破坏性变更可能影响依赖其输出的脚本，且 README 未提供性能、竞品对比等可验证数据。
本文基于抓取时的项目 README 和仓库简介整理；功能、限制与文档可能随项目更新而变化。