Aquisição e análise de Android

Para extrair dados do Android com eficiência, você precisa saber onde eles ficam.

• /data/data/<package>/ — área isolada de cada aplicativo: bancos de dados, preferências compartilhadas, arquivos e cache.
• /data/media/0/ — armazenamento do usuário (fotos, downloads).
• /data/system/ — contas, configurações de bloqueio e estatísticas de uso.

A maior parte das evidências dos aplicativos fica em bancos de dados SQLite e arquivos XML de preferências dentro da área isolada de cada aplicativo, que não pode ser lida sem acesso de superusuário ou um mecanismo de cópia de segurança.

A Ponte de depuração do Android (ADB) é o principal canal de aquisição lógica. Ela exige que a depuração USB esteja habilitada e que a chave do computador anfitrião esteja autorizada.

• Sem a depuração habilitada e a tela desbloqueada, o acesso por ADB é bloqueado.
• O próprio aviso de autorização altera o estado do dispositivo — documente-o.

Verifique a conectividade e capture primeiro as propriedades do dispositivo:

adb backup produz um arquivo .ab com dados de aplicativos que permite criar uma cópia de segurança. Ele não exige acesso de superusuário e está amplamente disponível, mas é limitado: muitos aplicativos definem allowBackup=false.

• Captura dados de aplicativos, APKs (com -apk) e armazenamento compartilhado.
• Não inclui aplicativos que optam por não participar nem registros excluídos.

Crie e converta uma cópia de segurança para análise:

Uma extração do sistema de arquivos copia a árvore de diretórios, incluindo áreas isoladas dos aplicativos e arquivos de diário WAL/SHM do SQLite que contêm registros não sincronizados.

• Exige acesso de superusuário, um agente forense ou um método de exploração/carregador de inicialização.
• Preserva os arquivos -wal e -shm — isso é essencial, pois as linhas recentes podem existir apenas neles.

Ao copiar bancos de dados SQLite, sempre obtenha também os arquivos de diário correspondentes:

Uma imagem física é uma cópia bit a bit da NAND, incluindo o espaço não alocado onde dados excluídos podem persistir. No Android moderno, é o método mais difícil de obter.

• A criptografia FBE significa que um despejo bruto da NAND é texto cifrado sem a chave do usuário.
• Os métodos incluem explorações do fabricante, modos EDL/carregador de inicialização ou remoção do chip (último recurso, destrutiva).
• Na prática, a extração do sistema de arquivos no estado AFU costuma produzir mais dados utilizáveis do que um despejo físico criptografado.

Escolha a aquisição física somente quando houver justificativa e a descriptografia for viável.

A maioria dos vestígios do Android está em bancos de dados SQLite. Os analistas fazem consultas diretamente neles para recuperar mensagens, registros de chamadas e marcas de data e hora.

• Abra-os em modo somente leitura para evitar modificar o arquivo de evidência.
• As marcas de data e hora geralmente são milissegundos desde a época Unix.

Examine o banco de dados de contatos de uma extração:

Excluir uma linha no SQLite geralmente apenas marca como livre o espaço ocupado por sua página. Os vestígios recuperáveis ficam em:

• Páginas da lista de espaço livre e áreas não alocadas do arquivo .db.
• O -wal, registro de gravação antecipada que mantém versões das linhas anteriores ao ponto de verificação.

Ferramentas de extração por fragmentos reconstroem esses registros. Execute uma etapa de recuperação em um banco de dados:

Construir uma linha do tempo correlaciona eventos entre aplicativos. O desafio são os muitos formatos de marcas de data e hora usados pelo Android.

• Época Unix (ms) — a maioria dos bancos de dados de mensagens.
• Época Unix (s) — muitos registros do sistema.
• Horário do WebKit/Chrome — microssegundos desde 1601 (histórico do navegador).

Normalize sempre para UTC e anote o fuso horário do dispositivo. Exemplo de conversão no SQLite:

Além dos dados dos aplicativos, os artefatos do sistema Android revelam o comportamento do usuário e o uso do dispositivo.

• usagestats — quais aplicativos foram executados e quando.
• accounts.db / accounts_ce.db — contas do Google e de aplicativos vinculadas.
• net stats / netpolicy — uso de dados por aplicativo.
• Configuração de Wi-Fi (WifiConfigStore.xml) — redes conhecidas, úteis para contextualizar a geolocalização.

Esses dados corroboram ou contradizem alegações sobre quem usou o dispositivo e quando.

A análise manual não é escalável. O ALEAPP (Analisador de registros, eventos e Protobuf do Android) ingere uma extração do sistema de arquivos e gera um relatório estruturado em HTML/CSV.

• Analisa usagestats, atividades recentes, notificações, permissões de aplicativos e muito mais.
• Use-o para fazer a triagem e, em seguida, verifique manualmente as descobertas principais nos bancos de dados brutos.

Execute o ALEAPP em um diretório de extração:

Nunca confie em uma única ferramenta. Valide a saída automatizada em relação aos dados de origem e entre diferentes ferramentas.

• Execute novamente as consultas principais manualmente no sqlite3 para confirmar os resultados do analisador.
• Procure indícios de antiforense: registros apagados, marcas de data e hora modificadas, aplicativos de exclusão segura ou aplicativos de conversa com configurações de mensagens que desaparecem.
• Confirme se o resumo criptográfico da imagem ainda corresponde antes e depois da análise.

A reprodutibilidade e a validação cruzada são o que tornam as descobertas defensáveis.

Você está coletando o banco de dados SQLite de um aplicativo de conversa. Quais arquivos complementares também devem ser coletados para evitar a perda de mensagens enviadas recentemente?

Agora você pode coletar e analisar evidências do Android de ponta a ponta.

• Os dados dos aplicativos ficam em ambientes isolados por aplicativo, como bancos de dados SQLite e preferências XML.
• Backup do ADB = coleta lógica simples; a extração do sistema de arquivos (com acesso root) preserva o WAL; a extração física é a mais difícil sob FBE.
• Recupere registros excluídos das páginas de lista livre e do WAL.
• Padronize as marcas de data e hora para UTC; decodifique os formatos de época e WebKit.
• Use o ALEAPP para fazer a triagem e depois valide manualmente com o sqlite3.
• Fique atento à adulteração antiforense e verifique novamente o resumo criptográfico da imagem.

Próximo: o universo do iOS.