Fundamentos de perícia móvel

A perícia forense em dispositivos móveis é a disciplina de recuperar evidências digitais de smartphones, tablets e dispositivos vestíveis de forma tecnicamente adequada e preservando a integridade da evidência. Ao contrário da perícia em discos, os dispositivos móveis permanecem ligados, sincronizam continuamente e são fortemente criptografados.

• As evidências ficam no armazenamento flash (NAND), na RAM, no SIM e em cópias de segurança na nuvem.
• Por padrão, os dispositivos ficam bloqueados, criptografados e sujeitos a apagamento remoto.
• Objetivo: extrair os dados sem alterá-los e depois comprovar sua integridade em juízo.

Os profissionais precisam equilibrar a extração técnica com uma autorização legal rigorosa (mandado, consentimento ou política corporativa).

Capture primeiro os dados mais voláteis, pois eles desaparecem mais rapidamente. Os dispositivos móveis acrescentam fontes voláteis exclusivas.

• RAM / processos em execução — perdidos quando o dispositivo é desligado.
• Estado da rede e conexões celulares — mudam constantemente.
• Dados de aplicativos ainda não sincronizados — podem ser sobrescritos.
• Armazenamento flash persistente — menos volátil.

Um dispositivo ligado pode excluir mensagens automaticamente, fazer a rotação dos registros ou receber um apagamento remoto. Agir rapidamente sobre as fontes voláteis preserva evidências que, de outra forma, seriam perdidas.

A primeira ação física é o isolamento das comunicações sem fio. Um dispositivo conectado à rede celular ou ao Wi-Fi pode ser bloqueado ou apagado remotamente antes que você crie uma imagem forense.

• Use uma bolsa de Faraday ou um compartimento blindado para bloquear todo o RF.
• Se o isolamento for impossível, ative o modo avião, documentando cada toque.
• Nunca desligue um telefone que ainda não tenha sido avaliado — a inicialização pode ativar a criptografia em repouso, que você não conseguirá contornar posteriormente.

Mantenha o dispositivo carregado dentro da bolsa; uma bateria descarregada pode forçar um estado de inicialização a frio que causa a perda das evidências na RAM.

A evidência só é útil se seu manuseio for documentado e ininterrupto. A cadeia de custódia registra quem manipulou o dispositivo, quando e por quê.

• Registre o horário da apreensão, o local e o estado do dispositivo (ligado/desligado, bloqueado/desbloqueado).
• Registre cada transferência com assinaturas e marcas de data e hora.
• Fotografe a tela, o IMEI e qualquer dano visível.

Registre os identificadores antes da extração. Exemplos de campos a capturar durante o recebimento:

Há um espectro de profundidade de extração, e cada método envolve compromissos entre completude e intrusão.

• Manual — o analista percorre a interface ativa e fotografa as telas. É rápido e não exige ferramentas, mas altera o estado.
• Lógica — extrai arquivos e bancos de dados por meio das APIs do dispositivo (cópia de segurança, ADB, AFC). Não recupera dados excluídos.
• Sistema de arquivos — árvore completa de diretórios, incluindo áreas isoladas dos aplicativos e arquivos WAL do SQLite.
• Física — imagem bit a bit da NAND, incluindo espaço não alocado onde dados excluídos podem persistir. É o método mais completo e o mais difícil de obter em dispositivos modernos criptografados.

Escolha o método menos intrusivo que atenda às necessidades da investigação.

Para provar que uma imagem não foi modificada, calcule um resumo criptográfico no momento da aquisição e verifique-o novamente antes da análise.

• Use o SHA-256 (MD5 só é aceitável para verificações cruzadas de sistemas antigos).
• O resumo deve coincidir em todas as cópias e em cada transferência.
• Sempre analise uma cópia de trabalho, nunca o original.

Gere e verifique o resumo criptográfico de uma imagem extraída:

Os telefones modernos criptografam o armazenamento por padrão, tornando as imagens físicas inúteis sem as chaves.

• A Criptografia baseada em arquivos do Android (FBE) deriva as chaves da credencial do usuário e de um armazenamento de chaves protegido por hardware.
• A Proteção de Dados do iOS vincula as chaves dos arquivos ao código de acesso e ao Enclave Seguro.
• Um dispositivo no estado BFU (Antes do primeiro desbloqueio) tem a maioria das chaves removida da memória; o estado AFU (Após o primeiro desbloqueio) mantém muitas chaves na memória.

Sempre que houver autorização legal e for possível, faça a aquisição enquanto o dispositivo estiver no estado AFU — muito mais dados poderão ser descriptografados.

Entender os estados de bloqueio determina o que você pode recuperar.

• BFU (Antes do primeiro desbloqueio): o dispositivo foi inicializado, mas nunca foi desbloqueado desde que foi ligado. Quase tudo está criptografado; apenas metadados mínimos estão acessíveis.
• AFU (Após o primeiro desbloqueio): o usuário desbloqueou o dispositivo pelo menos uma vez. As chaves dos arquivos permanecem na RAM, portanto as extrações lógicas e do sistema de arquivos produzem muitos dados, mesmo que o dispositivo esteja bloqueado no momento.

Regra prática: mantenha o dispositivo apreendido ligado e não o reinicie. Uma reinicialização o faz voltar ao estado BFU e pode causar a perda do acesso às chaves protegidas pelo código de acesso.

O aparelho não é a única fonte de dados. Duas fontes adjacentes costumam ser decisivas.

• Cartão SIM: ICCID, IMSI, contatos armazenados e, às vezes, SMS. Leia-o com um leitor de SIM dedicado para evitar tocar no telefone.
• Cópias de segurança na nuvem: iCloud, Google e cópias específicas de aplicativos (WhatsApp, Signal). Muitas vezes contêm dados excluídos do dispositivo.

A aquisição na nuvem exige autorização legal separada (mandado/intimação judicial) e credenciais adequadas — nunca acesse uma conta para a qual você não tenha autorização.

Os profissionais combinam conjuntos comerciais com ferramentas de código aberto para validação cruzada.

• Comerciais: Cellebrite UFED, Magnet AXIOM, MSAB XRY — amplo suporte a dispositivos e análise automatizada.
• Código aberto: Ponte de depuração do Android (ADB), libimobiledevice, ALEAPP/iLEAPP, autopsy.

Uma extração lógica de um dispositivo Android com depuração habilitada pode começar com ADB:

Todas as ações devem poder ser reproduzidas por terceiros. Anotações feitas no momento transformam extrações brutas em evidências admissíveis.

• Registre o nome da ferramenta, a versão e os comandos exatos utilizados.
• Anote as marcas de data e hora em UTC e quaisquer desvios do procedimento.
• Diferencie fatos (o que os dados mostram) de interpretação.

Se não puder explicar como um dado chegou ao seu relatório, ele não deve constar dele.

Um telefone Android apreendido chega ligado e foi desbloqueado uma vez mais cedo naquele dia, mas agora exibe uma tela de bloqueio. Por que você deve evitar reiniciá-lo?

Agora você tem o modelo mental fundamental para realizar perícia forense móvel de forma adequada.

• isole o dispositivo (bolsa de Faraday) para impedir o apagamento remoto.
• Respeite a ordem de volatilidade e evite reiniciar dispositivos no estado AFU.
• Mantenha uma cadeia de custódia ininterrupta e calcule o resumo criptográfico de cada imagem com SHA-256.
• Escolha a aquisição menos intrusiva que atenda à necessidade do caso.
• A criptografia (FBE / Proteção de Dados) e o estado BFU versus AFU determinam o que pode ser recuperado.
• Documente as ferramentas, versões, comandos e marcas de data e hora em UTC para garantir a reprodutibilidade.

Próxima etapa: aquisição e análise práticas de Android.