ANDROID
FORENSICS
Introduzione
Obiettivi dell'analisi forense:
• Non modificare i dati presenti
• Acquisizione dei dati sensibili
Android
Sistema operativo Open Source
Basato sul kernel Linux 2.6
Linux vede solo dispositivi a blocchi o a
caratteri
MTD (Memory Technology Device) offre
un’interfaccia tra Linux e le flash
Android Runtime System utilizza la DVM
(Dalvik Virtual Machine) per eseguire le
applicazioni
Durante l’esaminazione ci si occupa delle
Librerie e della SQLite
Sicurezza basata su autorizzazioni e
assegnazione di idenificatori di utente
Le applicazioni non comunicano tra loro
Strategie Forensi su Android
•
•
•
•
•
Analisi SD Card
Acquisizione Logica
Acquisizione Fisica
Analisi Chip-off
Analisi con il CellBrite
Analisi SD Card
Si utilizzano i metodi classici di analisi
forense per drive fisici
Utilizzo di software come AccessData's FTK
Imager
Acquisizione Logica
Tecnica primaria
Consiste nel copiare una piccola
applicazione sul dispositivo, avviarla e
quindi rimuoverla
I dati sono copiati in un'SD Card e scritti in
un file CSV
Può fornire le seguenti informazioni
Cronologia del browser
Registri di chiamata
Metodi di contatto
Metadati sui dati nella memoria esterna
Contenuto multimediale
SMS, MMS
Agenda
Lista delle applicazioni installate
Estensioni dei Contatti
Gruppi dei Contatti
Impostazioni dei Contatti
Acquisizione Fisica
Acquisizione dd image
Richiede privilegi di root
Fornisce un'immagine bit per bit delle
partizioni
Le partizioni utilizzano il File System
YAFFS2
Analisi Chip-off
Consiste in una letterale dissaldatura del
dispositivo
Viene effettuato un processo di reballing
Infine si collega ad un lettore di memorie
chip
C’è il rischio di danneggiare il chip e, di
conseguenza, i dati.
Analisi con il CellBrite
CellBrite Universal Forensics Extraction
Device (UFED)
Dispositivo hardware indipendente
Permette di acquisire i dati fisicamente o
logicamente
Funziona da write blocker
Fine