Analise Forense em dispositivos móveis com Android

A análise forense é uma vertente da informática que se dedica à recolha e análise de evidências digitais. No caso de dispositivos móveis com o sistema operativo Android, o processo é idêntico a outros dispositivos, mas há alguns mecanismos que é importante conhecer.

A análise forense digital é um conjunto de procedimentos utilizados para identificar, preservar, analisar e apresentar dados digitais com valor probatório. No Pplware temos dado destaque a este tema, podendo ser seguido aqui.

Em dispositivos Android a análise forense é um processo técnico complexo que combina metodologias estruturadas, ferramentas especializadas e conhecimento técnico para extrair e interpretar dados digitais. A imagem seguinte apresenta a estrutura do sistema operativo móvel da Google.

Desafios na Análise Forense Android

• Criptografia avançada
  • Dispositivos modernos como Google Pixel 8 e Samsung Galaxy S23 Ultra usam criptografia ao nível do hardware (ex: ARM TrustZone) e software (ex: File-Based Encryption), dificultando o acesso direto aos dados.
• Diversidade de fabricantes
  • Modificações no Android por marcas como Xiaomi e OnePlus criam variações no sistema de ficheiros e políticas de segurança.
• Fragmentação de dados
  • Informações distribuídas entre armazenamento interno, cartões SD e backups na nuvem (ex: Google Drive)

Metodologia de Análise

• Preservação do Dispositivo
  1. Isolamento colocando em modo avião ou bloqueadores de sinal para evitar alterações remotas.
  2. Uso de write blockers para garantir integridade durante a extração.
• Aquisição de Dados
  • Extração lógica
    • Recolha de dados acessíveis (ex: contatos, mensagens) via ADB ou ferramentas como Cellebrite UFED e Oxygen Forensics.
  • Extração física
    • Cópia bit-a-bit da memória NAND usando técnicas como JTAG ou Chip-off (para dispositivos danificados).
  • Backups na cloud
    • Recuperação de dados via sincronização com contas Google (ex: fotos excluídas).
• Análise de Dados
  • Análise de logs do sistema
    • Identificação de atividades suspeitas em ficheiros como `/proc/kmsg` e `/system/logs`.
  • Recuperação de dados excluídos
    • Uso de ferramentas como Magnet AXIOM para análise de setores não alocados.
  • Análise de Apps
    • Extração de base de dados SQLite (ex: WhatsApp) via técnicas de downgrade de APK (ex: Avilla Forensics).

De referir que o Autopsy também tem suporte para Android, instalando os respetivos plugins.

Não se esqueça de fazer o respetivo relatório forense. Um relatório forense deve ser claro, objetivo, e bem estruturado, contendo todas as informações relevantes para documentar uma análise forense. Na prática, este documento é um relato, fundamentado, das várias ações realizadas durante o processo de investigação, desde a fase inicial até às conclusões.