A extração de dados de dispositivos Android está se tornando a cada dia mais complicada — às vezes até , do que de iPhone. Igor Mikhailov, especialista do Laboratório de Criminalística Digital da Group-IB, explica o que fazer se você não consegue extrair dados de um smartphone Android pelos métodos padrão.
Alguns anos atrás, discutíamos com colegas as tendências no desenvolvimento de mecanismos de segurança em dispositivos Android e chegamos à conclusão de que chegaria o tempo em que sua investigação forense seria mais complicada do que para dispositivos iOS. E hoje, podemos afirmar com certeza que esse tempo chegou.
Recentemente, investiguei um Huawei Honor 20 Pro. O que você acha que consegui extrair de seu backup obtido com a ferramenta ADB? Nada! O dispositivo está cheio de dados: informações de chamadas, agenda de contatos, SMS, conversas em mensageiros, e-mails, arquivos multimídia, etc. E você não consegue extrair nada disso. Uma sensação horrível!
E o que fazer em uma situação assim? Uma boa saída é o uso de ferramentas de backup proprietárias (Mi PC Suite para smartphones Xiaomi, Samsung Smart Switch para Samsung, HiSuite para Huawei).
Neste artigo, vamos explorar a criação e extração de dados de smartphones Huawei usando a ferramenta HiSuite e sua análise posterior com o Belkasoft Evidence Center.
Quais tipos de dados são incluídos nos backups do HiSuite?
Os backups do HiSuite contêm os seguintes tipos de dados:
- dados de contas e senhas (ou tokens)
- contatos
- chamadas
- mensagens SMS e MMS
- e-mails
- arquivos multimídia
- bancos de dados
- documentos
- arquivos comprimidos
- arquivos de aplicativos (arquivos com as extensões.odex, .so, .apk)
- informações de aplicativos (como Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, etc.)
Vamos detalhar como esse backup é criado e como analisá-lo com o Belkasoft Evidence Center.
Criação de backup de um smartphone Huawei usando a ferramenta HiSuite
Para criar um backup com a ferramenta proprietária, você deve baixá-la do site e instalá-la.
Página de download do programa HiSuite no site da Huawei:
Para conectar o dispositivo ao computador, utiliza-se o modo HDB (Huawei Debug Bridge). No site da Huawei ou no próprio programa HiSuite, há um guia detalhado sobre como ativar o modo HDB no dispositivo móvel. Após ativar o modo HDB, inicie o aplicativo HiSuite no dispositivo móvel e insira o código exibido nesse aplicativo na janela do programa HiSuite em execução no computador.
Janela de entrada de código na versão desktop do HiSuite:
Durante o processo de criação do backup, será necessário inserir uma senha que será usada para proteger os dados extraídos da memória do dispositivo. O backup criado será armazenado no caminho C:/Users/%User profile%/Documents/HiSuite/backup/.
Backup do smartphone Huawei Honor 20 Pro:
Análise do backup do HiSuite com o Belkasoft Evidence Center
Para analisar o backup obtido com crie um novo caso. Em seguida, como fonte de dados, selecione a opção Mobile Image. No menu aberto, especifique o caminho para o diretório onde o backup do smartphone está armazenado e selecione o arquivo info.xml.
Indicação do caminho para o backup:
Na próxima janela, o programa solicitará que você selecione os tipos de artefatos que precisam ser encontrados. Após iniciar a varredura, vá para a aba Task Manager e clique no botão Configure task, pois o programa aguarda a entrada da senha para descriptografar o backup criptografado.
Botão Configure task:
Após a descriptografia do backup, o Belkasoft Evidence Center solicitará que você indique novamente os tipos de artefatos que devem ser extraídos. Após a análise, as informações sobre os artefatos extraídos podem ser visualizadas nas abas Case Explorer e Visão Geral .
Resultados da análise do backup do Huawei Honor 20 Pro:
Análise do backup do HiSuite com o programa ‘Móvel Criminalista Expert’
Outro programa forense que pode ser utilizado para extrair dados do backup do HiSuite é .
Para processar os dados contidos no backup do HiSuite, clique na opção Importar backups na janela principal do programa.
Trecho da janela principal do programa ‘Móvel Criminalista Expert’:
Ou na seção Importar selecione o tipo de dados a serem importados Backup Huawei:
Na janela aberta, especifique o caminho para o arquivo info.xmlAo iniciar o procedimento de extração, aparecerá uma janela onde será sugerido inserir uma senha conhecida para decifrar o backup do HiSuite ou usar a ferramenta da Passware para tentar descobrir essa senha, caso não seja conhecida:
O resultado da análise do backup será uma janela do programa "Mobile Forensic Expert", na qual são mostrados os tipos de artefatos extraídos: chamadas, contatos, mensagens, arquivos, linha do tempo, dados de aplicativos. Observe a quantidade de dados extraídos de vários aplicativos por este programa forense. É simplesmente enorme!
Lista de tipos de dados extraídos do backup do HiSuite no programa "Mobile Forensic Expert":
Decodificação de backups do HiSuite
O que fazer se você não tiver esses ótimos programas? Nesse caso, você pode usar um script em Python, desenvolvido e mantido por Francesco Picasso, colaborador da Reality Net System Solutions. Você pode encontrar esse script em , e a descrição mais detalhada dele está em "Huawei backup decryptor".
No futuro, o backup decifrado do HiSuite pode ser importado e analisado usando ferramentas forenses clássicas (por exemplo, ) ou manualmente.
Como resultado, obtemos um serviço de "monitoramento como serviço", automatizado na linha de produção de integração contínua. O desenvolvedor ou testador precisa apenas definir a lista de métricas em um arquivo JSON, e tudo o mais acontece automaticamente. Obtemos um controle de qualidade transparente dos lançamentos: todas as notificações sobre desempenho, consumo de recursos ou regressões arquitetônicas.
Assim, ao utilizar a ferramenta de backup do HiSuite, é possível extrair muito mais dados dos smartphones Huawei do que com a extração desses mesmos dados usando a ferramenta ADB. Apesar da grande quantidade de ferramentas para trabalhar com telefones móveis, Belkasoft Evidence Center e "Mobile Forensic Expert" são alguns dos poucos programas forenses que suportam a extração e análise de backups do HiSuite.
Fontes
Fonte: habr.com
