LABORATORIO FORENSE DE ANDROID

LABORATORIO FORENSE DE ANDROID

1. LABORATORIO DE ADQUISICIÓN DE DATOS

   • Adquisición de una imagen forense de un dispositivo Android
     • Conexión del dispositivo
       • Disponer de un dispositivo rooteado
       • Mediante conexión USB
       • Procedemos desde Santoku
     • Preparación de la adquisición
       • Una vez conectado a Santoku
         • Abrimos shell y cambiamos al usuario root
           • mount para averiguar el dispositivo que le corresponde
           • Averiguamos el tamaño del bloque
     • Adquisición de la imagen
       • Tarjeta SD vacía en el dispositivo
       • Ejecutamos dd
         • adb pull obtenemos la imagen de la partición del usuario
   • Adquisición de una imagen de una tarjeta SD
     • Instalación de BUSYBOX
       • Necesitamos otro dispoditivo
         • Almacenar la imagen capturada
       • Podemos redirigir los datos generados por dd
         • Directamente a un puerto
       • Una vez instalado lo ejecutamos
     • Obtención de la imagen
       • Averiguamos el dispositivo correspondiente
       • Transmitir a la máquina de análisis a través de un socket
         • Ejecutamos
   • Adquisición lógica de un dispositivo Android
     • Instalación de AFLOGICAL
       • Extraer información
         • Historial de llamadas
         • Contactos
         • Mensajes SMS, MMS
     • Ejecución de AFLOGICAL
       • Marcar información que queremos extraer en el dispositivo
       • Continuamos en la consola para transferir los datos a nuestro dispositivo
     • Resultados
       • Los resultados pueden ser inspeccionados
         • Utilizando el navegador de archivos de Santoku Linux
   • Adquisición de la memoria de un dispositivo Android
     • Instalación y ejecución de LIME
       • Es necesario contar con un dispositivo rooteado
       • Descargar y compilar LiME
         • Copiar el módulo al dispositivo
       • Modificamos los puertos para redirigir la salida del LiME
         • Abrimos una shell
           • Accedemos a root y ejecutamos el módulo de kernel
     • Transmisión de la imagen
       • La imagen se crea en formato lime en la sdcard del sistema
         • Para obtener en la máquina
           • Puede ser analizada con volatility

2. LABORATORIO DE ANÁLISIS DE DATOS

   • Presentación del caso
     • Escenario
       • En un escenario de robo
         • Se recupera un dispositivo Android
           • El que el sospechoso estaba utilizando
     • Estado del dispositivo
       • El dispositivo no tiene sistema de bloqueo
         • Y estaba rooteado
           • El experto lleva acabo unas tareas
     • Enunciado
       • La imagen debe incluir
         • Localizaciones de posibles futuros objetivos del grupo criminal
           • Nombres de posibles cómplices del sospechoso
             • Información adicional
   • Introducción al laboratorio
     • Análisis de una imagen de un dispositivo Android
       • Se basa en una simulación en la que se debe asumir el papel de perito forense en un caso ficticio
         • El objetivo es redactar una imagen forense
     • Preparación de AUTOPSY
       • Herramientas a utilizar
         • Autopsy
         • Sqliteman
         • Exiftool
   • Creación del caso
     • Carga de AUTOPSY
       • Ejecutamos como administrador
     • Abriendo un nuevo caso
       • En navegador presionamos New Case
         • Rellenamos los datos del caso
     • Añadiendo dispositivos
       • Vamos a analizar un dispositivo
         • Presionamos en Add Host
     • Detalles del dispositivo
       • Añadimos los detalles del dispositivo
     • Añadiendo la imagen
       • Add Image
         • Add Image File
           • Symlink
     • Integridad de la imagen
       • Asegurar que la imagen corresponde
         • Con hash MD5
           • Obtener un resultado
             • Imagen cargada dentro del caso
     • Análisis inicial
       • Analizar el espacio del dispositivo
       • Generar un índice de strings
       • Abrimos detalles de la imagen
         • Extract Strings
         • Extract Unallocated
   • Extracción de información
     • Determinando los elementos iniciales a examinar
       • Decidir que información contenida en la imagen
         • Elaborar una lista con los elementos de información de interés
       • Recabar elementos
         • Posible localización de nuevos objetivos
         • Las conexiones personales
           • Del sospechoso con otros cómplices
         • Información adicional
           • Puntos wifi
             • Nombres de usuario
     • Lista de elementos a examinar
       • Apps que tengan relación con
         • Localización
         • Mensajería
         • Servicios en la red
       • Agenda del teléfono
       • Historial de llamadas
     • Extracción de elementos de información
       • Se deberá extraer la información relativa
     • Extracción del listado de aplicaciones
       • Indentificar las apps instaladas
         • Elaborar una lista
           • Comprobamos una que ha sido borrada
     • Extracción de datos de interés
       • Analizamos en busca de datos que puedan ser relevantes para la investigación
         • Es conveniente documentar y etiquetar
     • Historial de llamadas y contactos
       • Localizar y extraer la información relativa al historial de llamadas y contactos del teléfono
     • Mensajes de texto
       • Localizar y extraer la información relativa a los mensajes de texto existentes en el dispositivo
         • Extraemos el fichero y tomamos notas de todo el proceso
           • Para su documentación de cara al informe
     • Redes wifi
       • Localizar y extraer la información de aquellas redes Wifi
         • A las que se ha conectado el dispositivo
     • Localización en las aplicación de mapas
       • El fichero identifica las localizaciones existentes en la app de mapas
         • Accedemos a la carpeta de la app de mapas
           • Podemos encontrar un listado de apps con la que se han compartido ubicaciones
             • Gmail
             • Snapchat
     • Fotografías
       • Se localizan y extraen las fotografías existentes en la imagen del dispositivo
         • Accedemos al directorio donde se guardarán por defecto las fotografías
     • Correos electrónicos
       • Localizar y extraer correos electrónicos en la imagen del dispositivo
         • Existen ficheros de BD que hacen referencia a una cuenta de Gmail
     • Datos de navegación web
       • Localizar y extraer los datos de navegación web existentes
         • Inspeccionamos el contenido y lo anotamos
     • Información relativa a las redes sociales
       • Extraer información relacionada a las redes sociales
         • Ficheros de bases de datos
         • Fotografías
         • Ficheros existentes en las cachés de las apps
   • Análisis
     • Tarea de análisis
       • El objetivo es la obtención de la información que necesitamos
         • Datos que necesitamos
           • Información sobre posibles cómplices
           • Localizaciones de los posibles futuros objetivos
           • Información sobre las cuentas existentes en el propio dispositivo
     • Información sobre los cómplices
       • Se tiene que analizar los datos obtenidos
         • Analizando la tabla call de la BD de llamadas contacts2.db
         • Inspección de la BD de datos de mensajes mmssms.db
     • Información sobre los cómplices y otros teléfonos
       • Con la información concluimos que se han realizado
         • Llamadas a 4 números diferentes
           • Y también información complementaria a partir de redes sociales
     • Información sobre las localizaciones
       • Analizar la información
         • Sobre las posibles localizaciones en las que haya podido estar el dispositivo
     • Informe sobre las cuentas existentes
       • Se analizan los datos en cada una de las apps de interés encontradas en el dispositivo
         • Para establecer una lista de contactos frecuentes
           • Y el tipo de información que han enviado
     • Informe sobre las cuentas existentes
       • Spotify
       • Gmail
       • Whatsapp
       • Snapchat

3. EL INFORME FORENSE

   • Introducción
     • Realizar un informe con las evidencias encontradas
   • Resumen del caso
     • Se debe incluir
       • Una portada con nombre y apellidos del perito
         • Antecedentes
           • Estado de evidencias
       • Las limitaciones del análisis
         • Quién ha solicitado el informe forense
           • Las fechas más importantes
   • Herramientas utilizadas
     • Se deberán incluir las herramientas utilizadas
       • Y especificar
         • Versión de la herramienta
         • Fabricante
         • La tarea para la que ha sido utilizada
   • Adquisición de evidencias
     • Se deberá incluir el proceso que se ha llevado
       • Para añadir la imagen obtenida a Autopsy
   • Procesado de evidencias
     • Se debe describir como se han extraído los ficheros
   • Análisis y conclusiones
     • Se debe razonar los diferentes hechos

Imágenes y archivos del mapa