Aplicações, artefatos e relatórios

Aplicativos de terceiros geram as evidências mais ricas na maioria dos casos. Cada aplicativo armazena os dados à sua maneira, mas alguns padrões se repetem.

• Bancos de dados SQLite para mensagens, histórico e metadados.
• Listas de propriedades (plist) no iOS e preferências compartilhadas em XML no Android para configurações e estado.
• Objetos Protobuf / JSON incorporados às colunas dos bancos de dados.
• Pastas de cache e mídia para miniaturas e anexos.

Sua tarefa é analisar esses dados de forma consistente, atribuí-los a um usuário e a um momento e apresentá-los de modo defensável.

Aplicativos de mensagens são fontes frequentes de evidências. Cada um mantém um armazenamento principal de mensagens, além de tabelas de contatos e grupos.

• WhatsApp (Android): msgstore.db (mensagens), wa.db (contatos).
• Signal: banco de dados SQLCipher criptografado; a chave fica no armazenamento de chaves ou no chaveiro.
• Telegram: cache4.db com conteúdo codificado em Protobuf.

Reconstrua uma conversa do WhatsApp a partir do armazenamento de mensagens:

Alguns aplicativos criptografam seu próprio banco de dados com SQLCipher (por exemplo, o Signal e alguns aplicativos bancários). Não é possível abri-los com o sqlite3 comum.

• A chave normalmente fica armazenada no armazenamento de chaves ou chaveiro da plataforma e só pode ser recuperada de uma extração suficientemente profunda.
• Com a chave, abra o banco de dados usando o PRAGMA do SQLCipher antes de fazer consultas.

Abertura de um banco de dados SQLCipher depois que a chave é recuperada:

Os bancos de dados de aplicativos geralmente ocultam dados estruturados em colunas BLOB como Protobuf, plist ou JSON. As colunas visíveis são apenas parte do conteúdo.

• Objetos BPLIST (plist binário da Apple) podem ser decodificados com plistlib ou plutil.
• Objetos Protobuf podem ser decodificados com protoc ou blackboxprotobuf.

Converta um objeto plist binário extraído de uma coluna:

As evidências de localização associam uma pessoa a um lugar e a um momento, portanto devem ser tratadas com rigor adicional.

• Tags GPS de EXIF de fotos, histórico de pesquisa de aplicativos de mapas e blocos de mapa armazenados em cache.
• Localizações significativas do iOS (cache do routined), histórico de localização do Android e registros de Wi-Fi e de torres de celular.

Diferencie onde o dispositivo estava de um lugar que o usuário apenas pesquisou. Extraia o GPS EXIF de uma foto:

Os aplicativos modernos sincronizam dados entre dispositivos, portanto os dados do dispositivo podem estar incompletos ou duplicados.

• Uma mensagem excluída do telefone pode continuar em um tablet vinculado ou sessão na web.
• Os metadados de sincronização podem mostrar qual dispositivo originou uma mensagem.

Registre a atribuição do dispositivo em sua análise e só procure dados da nuvem ou de dispositivos complementares com autorização legal separada e adequada. Nunca presuma que o aparelho apreendido contém o registro completo.

Antes que um artefato seja incluído em um relatório, valide-o de três maneiras.

• Fonte: confirme o arquivo/tabela/coluna exatos de onde ele veio.
• Decodificação: verifique a época do carimbo de data e hora e o significado do campo, idealmente comparando-os com uma mensagem de referência conhecida como válida.
• Corroboração: confronte-o com um segundo artefato (por exemplo, uma entrada de registro de chamadas que corresponda a um contato).

Um artefato que não possa ser corroborado de forma independente ou cuja origem não possa ser determinada com precisão deve ser sinalizado como de baixa confiança, e não apresentado como um fato.

Uma superlinha do tempo combina eventos de muitos artefatos em uma única visão cronológica, normalizada para UTC.

• Combine mensagens, chamadas, uso de aplicativos, localizações e eventos do sistema.
• Identifique cada linha com seu artefato de origem para permitir o rastreamento.

Ferramentas como log2timeline/plaso ou programas de analistas montam essas linhas do tempo. Conceitualmente, cada linha contém horário, evento e procedência:

Um relatório forense deve permitir que um examinador independente reproduza e verifique seu trabalho. Seções padrão:

• Resumo — escopo, autorização, principais conclusões.
• Evidências manuseadas — dispositivos, identificadores, cadeia de custódia.
• Metodologia — ferramentas, versões, comandos exatos, resumos criptográficos.
• Constatações — artefatos com referências às fontes.
• Conclusões — interpretação, claramente separada dos fatos brutos.

Toda afirmação deve remontar a uma fonte com resumo criptográfico e a uma etapa documentada.

A credibilidade de um relatório depende da separação entre observação e interpretação.

• Fato: a linha 482 do sms.db contém o texto X com a data Y (UTC).
• Interpretação: isso sugere que o usuário planejou encontrar-se no local Z.

Apresente os fatos de forma neutra e identifique as inferências como tal, incluindo explicações alternativas. Exagerar a certeza (por exemplo, afirmar uma intenção com base em uma única mensagem) enfraquece todo o relatório e pode ser contestado em tribunal.

Dispositivos móveis contêm dados profundamente privados. Os profissionais devem respeitar os limites legais e éticos.

• Trabalhe somente dentro do escopo autorizado (termos do mandado/consentimento).
• Minimize a exposição de dados privados irrelevantes.
• Mantenha a objetividade — informe também as evidências exculpatórias, não apenas as incriminatórias.
• Proteja os dados extraídos com o mesmo cuidado dedicado ao dispositivo original.

Uma ética sólida não é opcional; é o que torna as evidências digitais confiáveis e admissíveis.

Seu relatório afirma: 'O usuário pretendia cometer o ato, como mostra a mensagem 482.' Um revisor contesta. Qual é o problema central?

Agora você consegue transformar extrações brutas em um relatório defensável.

• Os dados de aplicativos podem estar em SQLite + plist/XML + protobuf/JSON + dados binários; decodifique os dados binários explicitamente.
• Armazenamentos criptografados (SQLCipher) precisam de chaves obtidas por uma extração aprofundada.
• Trate as evidências de localização com cuidado; diferencie presença de uma simples pesquisa.
• Considere a sincronização entre vários dispositivos e procure dados na nuvem apenas com a devida autorização.
• Valide a fonte, a decodificação e a corroboração antes de registrar os resultados.
• Construa uma superlinha do tempo em UTC, estruture o relatório para permitir a reprodução do trabalho e mantenha os fatos separados da opinião.
• Mantenha-se dentro do escopo e aja com ética — é isso que torna as evidências admissíveis.