A análise forense é uma vertente da informática que se dedica à recolha e análise de evidências digitais. No caso de dispositivos móveis com o sistema operativo Android, o processo é idêntico a outros dispositivos, mas há alguns mecanismos que é importante conhecer.
A análise forense digital é um conjunto de procedimentos utilizados para identificar, preservar, analisar e apresentar dados digitais com valor probatório. No Pplware temos dado destaque a este tema, podendo ser seguido aqui.
Em dispositivos Android a análise forense é um processo técnico complexo que combina metodologias estruturadas, ferramentas especializadas e conhecimento técnico para extrair e interpretar dados digitais. A imagem seguinte apresenta a estrutura do sistema operativo móvel da Google.
Desafios na Análise Forense Android
- Criptografia avançada
- Dispositivos modernos como Google Pixel 8 e Samsung Galaxy S23 Ultra usam criptografia ao nível do hardware (ex: ARM TrustZone) e software (ex: File-Based Encryption), dificultando o acesso direto aos dados.
- Diversidade de fabricantes
- Modificações no Android por marcas como Xiaomi e OnePlus criam variações no sistema de ficheiros e políticas de segurança.
- Fragmentação de dados
- Informações distribuídas entre armazenamento interno, cartões SD e backups na nuvem (ex: Google Drive)
Metodologia de Análise
- Preservação do Dispositivo
- Isolamento colocando em modo avião ou bloqueadores de sinal para evitar alterações remotas.
- Uso de write blockers para garantir integridade durante a extração.
-
Aquisição de Dados
-
Extração lógica
- Recolha de dados acessíveis (ex: contatos, mensagens) via ADB ou ferramentas como Cellebrite UFED e Oxygen Forensics.
- Extração física
- Cópia bit-a-bit da memória NAND usando técnicas como JTAG ou Chip-off (para dispositivos danificados).
- Backups na cloud
- Recuperação de dados via sincronização com contas Google (ex: fotos excluídas).
-
- Análise de Dados
- Análise de logs do sistema
- Identificação de atividades suspeitas em ficheiros como `/proc/kmsg` e `/system/logs`.
- Recuperação de dados excluídos
- Uso de ferramentas como Magnet AXIOM para análise de setores não alocados.
- Análise de Apps
- Extração de base de dados SQLite (ex: WhatsApp) via técnicas de downgrade de APK (ex: Avilla Forensics).
- Análise de logs do sistema
De referir que o Autopsy também tem suporte para Android, instalando os respetivos plugins.
Não se esqueça de fazer o respetivo relatório forense. Um relatório forense deve ser claro, objetivo, e bem estruturado, contendo todas as informações relevantes para documentar uma análise forense. Na prática, este documento é um relato, fundamentado, das várias ações realizadas durante o processo de investigação, desde a fase inicial até às conclusões.