Análisis Forense de Dispositivos Móviles

Análisis Forense de Dispositivos Móviles

• El análisis forense de dispositivos móviles es relevante debido al extendido uso de estos dispositivos.
• En telefonía forense, a diferencia de la informática forense, es imposible realizar la adquisición de un dispositivo móvil sin alterar su contenido.
• Las limitaciones de seguridad y el sistema de bloqueo del terminal son problemas comunes.
• Si no se conoce el patrón de desbloqueo, generalmente no se puede realizar la adquisición.

Adquisición de Dispositivos Móviles

• El procedimiento de adquisición comprende adquirir la tarjeta del operador (SIM), la tarjeta de memoria y la memoria del terminal.
• Si se conoce el patrón, se usan herramientas de adquisición como Magnet Acquire.
• Si no se conoce el patrón, se intenta explotar alguna vulnerabilidad.

La Tarjeta del Operador (SIM)

• Tiene poca capacidad de almacenamiento.
• Puede contener contactos, registro de llamadas o SMS.
• No contiene datos multimedia.
• Permite obtener los códigos ICCID e IMSI.
• A nivel lógico, se estructura de manera similar a un dispositivo de almacenamiento.
• Para adquirir una tarjeta SIM, se necesita un lector, un software de adquisición y el PIN/PUK.
• Interpretar la información de las antenas de telefonía es complejo, por lo que es recomendable solicitarla a la operadora a través de la autoridad judicial.
• Una eSIM integra el chip de la SIM en el hardware del dispositivo.

Tarjeta de Memoria

• No todos los dispositivos móviles hacen uso de tarjetas de memoria.
• Las tarjetas de memoria externas suelen contener archivos multimedia, APKs, descargas, bases de datos, cachés o registros de aplicaciones.
• Para adquirir la tarjeta, se necesita un lector y un software de adquisición.

Dispositivo Móvil

• La adquisición del terminal consiste en adquirir su memoria interna.
• Debido a las limitaciones de seguridad, a veces solo se puede adquirir la parte de la memoria disponible para el usuario.

Métodos de Adquisición de la Memoria Interna del Terminal

• Utilizar la propia suite de backup del fabricante.
• Adquisición mediante Magnet Acquire.
• Adquisición lógica de un dispositivo iOS, utilizando herramientas específicas de forense.
• Adquisición mediante ADB (Android únicamente), si se consigue acceso privilegiado.
• Adquisición mediante Custom Recovery (Android únicamente), si se consigue acceso privilegiado.
• Métodos avanzados de adquisición: Jtag, Direct eMMC y ChipOff.
• Con las adquisiciones mediante ADB o Custom Recovery, en Android, se obtendría más información con acceso privilegiado al terminal.
• Las adquisiciones Jtag, Direct eMMC o ChipOff requieren amplios conocimientos técnicos especializados.

Adquisición con Suite de Backup del Fabricante

• Es el tipo de adquisición más sencillo para acceder a información básica como archivos multimedia o registros de llamadas.

Adquisición con Magnet ACQUIRE

• Requiere que el teléfono esté desbloqueado y con la depuración por USB activada.
• Permite realizar adquisiciones rápidas y completas.

Adquisición Lógica de Dispositivos iOS

• Se realiza con la herramienta de backup de iTunes, Magnet ACQUIRE o Dr. Fone.

• Dr. Fone se centra en la información más necesaria y simplifica el proceso. Es importante tener en cuenta que cada suite de backup almacena la copia de respaldo en una ubicación distinta. Para realizar la adquisición lógica se debe:

• Extraer la tarjeta de almacenamiento y la SIM.

• Poner el teléfono en modo avión.

• No bloquear la escritura de los puertos USB.

• Encender y desbloquear el teléfono.

• Activar el modo de transferencia MTP.

Adquisición Mediante ADB

• Requiere drivers ADB, Android SDK Platform Tools, depuración USB habilitada, ser root y busybox instalado.
• Es muy importante solicitar permiso al juez.

Adquisición con Custom Recovery

• Se basa en modificar la partición de recuperación del dispositivo.
• Es necesario que el bootloader esté desbloqueado.

Métodos Avanzados de Adquisición

• Permiten el acceso a bajo nivel a la información en los chips de memoria.
• Jtag, Direct eMMC y Chip Off son técnicas invasivas que pueden inutilizar el dispositivo.
• Se requiere autorización judicial.

JTAG

• Es un estándar usado para comprobar el funcionamiento de placas de circuito impreso.
• Permite acceder a la memoria pero tiene una velocidad limitada.

Direct eMMC

• Permite la adquisición de memorias sin necesidad de extraerlas.
• Ofrece mayor velocidad que JTAG, pero requiere grandes habilidades de soldadura.

Chip Off

• Es la técnica más destructiva, extrayendo físicamente el chip de memoria.

Análisis Forense de Dispositivos Android

• Android se basa en Linux, por lo que su análisis es similar, pero con aplicaciones y bases de datos específicas.
• Las particiones más relevantes son boot, system, recovery, cache y data/userdata.

Análisis de Imagen Forense con Autopsy

• La imagen forense generada con Magnet Acquire se analiza fácilmente con Autopsy, añadiendo la carpeta "Agent Data". Plugin "Android Analyzer"

Análisis de las Bases de Datos

• Se pueden obtener principalmente los de:
• agent_accounts.db: cuentas del usuario
• agent_mmssms.db: mensajes de texto y mensajes multimedia
• agent_sim.db: SIM (IMEI, IMSI, ICCD, etc.).
• bluetooth.db: dispositivos bluetooth enlazados
• contactsX.db: contactos, teléfonos, etc.
• downloads.db: rutas de descargas.
• wifi.db: redes Wifi.

Análisis Forense de Dispositivos iOS

• Internamente las particiones son diferentes a Android.
• Existen dos particiones cifradas: de usuario y de sistema.
• Las aplicaciones de usuario se ejecutan dentro de una Sandbox.
• La forma más viable de análisis es mediante una copia de seguridad del usuario.
• Las herramientas para analizar un volcado son Dr. Fone y iBackup Viewer.
• Las bases de datos SQLite son muy comunes tanto en Android como en iOS.
• iOS utiliza archivos Plist (de clave - valor), y podemos encontrar información relevante como tokens o contraseñas.
• Para visualizar estos archivos podemos usar: Plist Explorer, PlistEdit Pro o Plist Pad.