trabalho de graduação análise forense em dispositivos com sistema operacional android

124 Pages·2016·4.33 MB·Portuguese

TRABALHO DE GRADUAÇÃO
ANÁLISE FORENSE EM DISPOSITIVOS
COM SISTEMA OPERACIONAL ANDROID
Raquel Beatriz Silva do Nascimento
Brasília, Dezembro de 2016
UNIVERSIDADE DE BRASÍLIA
FACULDADE DE TECNOLOGIA
UNIVERSIDADE DE BRASÍLIA
Faculdade de Tecnologia
TRABALHO DE GRADUAÇÃO
ANÁLISE FORENSE EM DISPOSITIVOS
COM SISTEMA OPERACIONAL ANDROID
Raquel Beatriz Silva do Nascimento
Relatório submetido ao Departamento de Engenharia
Elétrica, como requisito parcial para obtenção
do grau de Engenheiro de Redes de Comunicação
Banca Examinadora
Prof. Flávio Elias Gomes de Deus, ENE/UnB
Orientador
Prof. Robson de Oliveira Albuquerque,
ENE/UnB
Co-Orientador
Fábio Lúcio Lopes de Mendonça, LabRe-
des/UnB
Examinador Interno
Dedicatória
Dedico este trabalho a todos os entusiastas do estudo de forense computacional e desejo
que os mesmos possam, através deste, aumentar seu conhecimento a respeito do assunto.
Raquel Beatriz Silva do Nascimento
Agradecimentos
Agradeço primeiramente a Deus, por todas as bênçãos que Ele tem me dado. Agradeço à
toda a minha família, por todo apoio dado nesses anos de graduação que não foram fá-
ceis, principalmente meus pais, Leandro e Josélia, que sempre lutaram para que eu tivesse
acesso à melhor educação possível. Agradeço também aos meus tios, Gilson e Josilene,
que tiveram papel fundamental nesta jornada de graduação. Aos meus irmãos, Marcos
Vinícius e Artur Vinícius que, em meio à turbulência de estudos, eram meu ponto de
escape da realidade. Agradeço aos meus amigos que estão ao meu lado por tanto tempo,
que sempre me deram palavras de força e estiveram presentes nos momentos alegres e
tristes. A todos os professores da graduação, especialmente meus orientadores Flávio
Elias e Robson Albuquerque, que souberam transmitir seus conhecimentos com dedica-
ção e clareza. E também ao Laboratório de Forense de Dispositivos Computacionais,
que proporcionou a mim o ambiente, ferramentas e tempo necessário para dedicar-me
exclusivamente à realização desta pesquisa.
Raquel Beatriz Silva do Nascimento
RESUMO
Este trabalho faz a análise do desempenho de determinadas ferramentas para a forense de
dispositivos móveis. A análise pericial de smartphones evoluiu nos últimos anos juntamente com
progressos dos próprios aparelhos, cujo desempenho é aprimorado e adicionado continuamente de
modo a atender as demandas dos usuários. Estes se utilizam de aparelhos celulares para diversos
fins, gerando cargas de armazenamento de informações pessoais.
ForamexaminadasferramentasquepossuemsuporteaosistemaoperacionalLinuxparaque,ao
final do trabalho, fosse criado um Live CD com roteiros e relatórios que tornam possíveis análises
periciais. Paraumaabordagemmaiscompletaeabrangente, cenáriosvariadosforamconsiderados,
bem como a observação de memórias voláteis e persistentes. Os resultados foram apresentados em
figuras e tabelas que comparam as análises a respeito das partições examinadas dos dispositivos.
Por fim, é apresentado um comparativo entre as ferramentas escolhidas e seus desempenhos.
ABSTRACT
The purpose of this project is to analyze the performances of selected open source software
and applications that aim at improvements in fields of study focusing on forensic data analyzes of
portable devices. Forensic science has evolved significantly over the last decades, along with the
evolutionofthesmartphonesthemselves,whosefeaturesandinnovationsareenhancedcontinuously
in a way to achieve the users requests and needs. The clients of so abundant technology use the
devices for various purposes, which creates a demand of personal data storage and it is truly a
challenge to preserve them.
Tools that provide support for Linux Operational System have been evaluated to generate a
Live CD which contains templates, scripts and reports that enables possible forensic analyzes. For
the sake of a more concise and embracing in-depth study, distinct scenarios have been taken into
consideration,aswellasresearchesaboutvolatileandnon-volatilememories. Resultsarepresented
as figures and tables comparing the conclusions obtained from smartphones analyzed partitions.
Ultimately, comparisons among all tools contemplated in this project are introduced, as well as
the benefits they can grant.
SUMÁRIO
1 Introdução........................................................... 1
1.1 Definição do Problema.............................................................. 2
1.2 Objetivos................................................................................. 2
1.3 Justificativa............................................................................. 2
1.4 Estrutura do Trabalho............................................................. 5
2 Fundamentação Teórica.............................................. 6
2.1 Forense em Dispositivos Móveis .................................................. 6
2.1.1 Procedimentos e Cuidados ......................................................... 6
2.1.2 Tipos de extração de dados ....................................................... 9
2.2 O Sistema Operacional Android.................................................. 10
2.2.1 A Arquitetura da Plataforma Android ....................................... 11
2.2.2 Permissões de Aplicativos na Plataforma Android........................ 13
2.2.3 A Plataforma Android e sua Análise Forense............................... 16
3 Métodos Propostos e Ferramentas Utilizadas....................... 18
3.1 Descrição dos Métodos ............................................................. 18
3.2 LiME - Linux Memory Extractor ................................................ 19
3.3 Volatility Framework...................................................................... 22
3.4 The Sleuth Kit (TSK).................................................................... 24
3.5 Autopsy..................................................................................... 25
3.6 Captura de imagem com o dd ...................................................... 27
3.7 Scalpel ...................................................................................... 28
3.8 Foremost ................................................................................... 30
3.9 AFLogical OSE ............................................................................ 31
4 Análises e Resultados................................................ 33
4.1 Cenários Analisados.................................................................. 33
4.2 Primeiro cenário - Emulador Nexus 5, Versão do Android 4.0.3...... 34
4.2.1 Análise de permissões em aplicativos instalados no dispositivo....... 40
4.2.2 Análise de diretórios e arquivos temporários .............................. 43
4.2.3 Análise de divulgação de informações de usuários por aplicativos . 45
4.2.4 AFLogical OSE......................................................................... 47
iii
4.3 Segundo cenário - Emulador Nexus 5, Versão do Android 6.0......... 50
4.3.1 Análise da partição /data ........................................................... 56
4.3.2 Análise da partição do cartão de memória ................................... 59
4.4 Terceiro cenário - Samsumg, modelo Galaxy S4, GT - I9515L, Ver-
são do Android 5.0.1.................................................................. 61
4.4.1 Caso 1 - Dispositivo ligado, sem bloqueio de tela, sem acesso ADB
e sem permissões de root.............................................................. 61
4.4.2 Caso 2 - Dispositivo ligado, com bloqueio de tela, sem acesso ADB
e sem permissões de root.............................................................. 79
4.4.3 Caso 3 - Dispositivo ligado, com bloqueio de tela, com acesso ADB
e com permissões de root ............................................................. 80
4.5 Análise de Arquivos Deletados com o Scalpel e Foremost.................. 81
4.6 Comparações de Resultados ....................................................... 83
4.7 Criação do Live CD.................................................................... 84
5 Conclusão............................................................ 87
REFERÊNCIAS BIBLIOGRÁFICAS..................................... 89
Anexos................................................................... 93
I Pré-requisitos para as análises...................................... 94
I.1 Instalação Python 2.7 ............................................................... 94
I.2 Instalação Java 8...................................................................... 94
I.3 Para compactar/descompactar arquivos ...................................... 95
I.3.1 Se o arquivo for .zip.................................................................. 95
I.3.2 Se o arquivo for tar.gz .............................................................. 95
I.4 Instalação Android Studio......................................................... 96
I.5 Instalação The Sleuth Kit e Autopsy................................................ 96
I.6 Instalação LiME, Volatility, Scalpel, Foremost e Heimdall...................... 97
I.7 Instalação do Dwarfdump ............................................................ 98
I.8 Instalação do netcat e Busybox ..................................................... 98
I.9 Instalação DB Browser for SQLite, Bless Hex Editor e Systemback............ 99
II Instruções sobre o uso do AVD e ADB .............................. 100
II.1 Android Debug Bridge - ABD ..................................................... 100
II.2 Android Virtual Device - AVD.................................................... 100
IIIExemplo de simulações em emuladores...............................101
III.1 Simular SMS’s e ligações telefônicas.......................................... 101
III.2 Criar contatos na agenda.......................................................... 102
IVArquivos Utilizados na Compilação de Ferramentas................ 103
IV.1 Arquivo main.c do LiME ............................................................. 103
IV.2 Makefile da Ferramenta LiME ................................................... 107
IV.3 Makefile da Ferramenta Volatility................................................ 108
LISTA DE FIGURAS
1.1 Usuários de smartphones e sua penetração a nível mundial, 2014-2020 [eMarketer] ... 1
1.2 Distribuição de versões do Android em dispositivos móveis [Versions]..................... 4
1.3 Aplicativos mais utilizados pelos brasileiros em 2015 [IBOPE].............................. 5
2.1 Modelo de formulário de cadeia de custódia [Neukamp]....................................... 7
2.2 Etapas da análise forense de um dispositivo móvel [Santos].................................. 9
2.3 Sistema de classificação de ferramentas de dispositivos móveis [Murphy]................. 9
2.4 Arquitetura do Android até a versão 4.4 - Kit Kat............................................. 11
2.5 Arquitetura do Android a partir da versão 5.0 - Lollipop ..................................... 11
2.6 Diferença entre os tipos de concessão de permissões aos aplicativos [Chirgwin] [Eason] 14
3.1 Estabelecimento da conexão TCP entre o dispositivo e o host .............................. 21
3.2 Netcat para se obter a saída da memória a ser coletada diretamente para o host ...... 21
3.3 Comandos para se obter a memória e salvá-la diretamente no cartão de memória do
dispositivo................................................................................................. 21
3.4 Uso do Volatility em uma captura de memória de um dispositivo Android .............. 23
3.5 Exemplo de uso da ferramenta dd em dispositivo Android................................... 28
3.6 Uso da ferramenta Scalpel............................................................................. 29
3.7 Arquivos que foram recuperados pela ferramenta Scalpel ..................................... 29
3.8 Pasta em que foram salvas informações são divididas de acordo com o formato dos
arquivos recuperados.................................................................................... 30
3.9 Comando para identificar os parâmetros que podem ser utilizados pela ferramenta
Foremost................................................................................................... 30
3.10 Instrução de como se utiliza a ferramenta......................................................... 31
3.11 Quantidade de arquivos recuperados pela ferramenta.......................................... 31
4.1 Configuração do primeiro emulador a ser analisado ............................................ 34
4.2 Obtenção da versão do kernel do dispositivo..................................................... 35
4.3 Download do kernel Goldfish para o emulador................................................... 35
4.4 Criaçao do arquivo .config............................................................................. 36
4.5 Parte do arquivo em que a opção CONFIG_MODULE deve ser modificada............ 36
4.6 Modificação da opção CONFIG_MODULE...................................................... 36
4.7 Parte do arquivo timeconst.pl a ser modificada.................................................. 37
4.8 Modificação finalizada no arquivo timeconst.pl .................................................. 37
vi