Introduccin al Anlisis Forense de Dispositivos Mviles

21 Julio 2010

Ing. Gustavo Daniel Presman MCP , EnCE , CCE , ACE, NPFA

ESTUDIO DE INFORMATICA FORENSE

gustavo@presman.com.ar www.presman.com.ar

Agenda
Investigaciones de telefona celular Comparacin Cell Forensics Vs. Computer Forensics Consideraciones de Tecnologa Consideraciones Previas a la Adquisicin Adquisicin Fsica vs. Adquisicin Lgica- Validacin Metodologa de Anlisis Backup Forensics Herramientas y Recursos
2

Investigaciones de Telefona Celular

Analisis Forense del dispositivo mvil

Oficio al proveedor de servicios de telefona movil

3

Computer Forensics Vs. Cell Forensics

Computer Forensics Vs. Cell Forensics

Cell OS *Symbian *Android *Windows Mobile *Linux *MacOS *PalmOS

PC OS *Linux *MacOS *Windows

Plataformas establecidas PC/MAC/SUN

Hardware Propietario

Preservacin en Computer Forensics

5b748e186f622c1bdd6ea9843d1609c1

MD5 SHA-1
6

Preservacin en Cell Forensics

5b748e186f622c1bdd6ea9843d1609c1

MD5 SHA-1

VALIDACION POR OBJETO

7

Consideraciones de Tecnologa Telfonos bsicos

Solo telefona y funciones de agenda

Telfonos avanzados
Agregan multimedia

Smartphones / PDA
Funciones de oficina (palms , blackberry , iphone)

Consideraciones de Tecnologa
Actualmente solo GSM con SIM Card (Optativo MMC) Que elementos se pueden recuperar depende del modelo y de los servicios que disponga la unidad GPRS/EDGE/3G

Problemtica asociada al dispositivo movil

Informacin voltil de la conexin Diversidad de Sistemas operativos Diversidad de conexiones Ciclo de obsolesencia Confianza del usuario por la portabilidad
10

Evidencia en el Dispositivo mvil

Storage interno
CELULAR

SIM card MMC

SIM CARD MMC CARD

11

Consideraciones Previas a la adquisicin

Dejarlo Encendido o Apagarlo ?
Si est encendido aislarlo de la red (datos de celda /consumo) Posibilidad de ejecucin de programas destructivos Si se apaga se corre el riesgo que el dispositivo y/o SIM card estn protegidos por contrasea

Obtener el cargador Obtener informacin del modelo

Remover la batera para obtener los datos Obtener el IMEI (International Mobil Equipment Identifier )presionando *#06#

12

Podemos Obtener la ltima ubicacin del dispositivo mvil

13

Podemos Obtener llamadas , contctos , imgenes , videos , SMS , emails y elementos borrados

14

Que se puede obtener del anlisis forense ?

Agenda de contctos Log de llamadas Calendario / Tareas SMS enviados , recibidos Imgenes / Video Email Cach de Internet Artefactos de aplicaciones Java Artefactos en Smartphones (HTC , Blackberry , Iphone)
15

Fases de adquisicin de dispositivos mviles Preservar los de datos de conexin Adquisicin de la SIM card Adquisicin de la memoria interna (fsica Lgica) Adquisicin de otros medios digitales
16

Preservacin de los datos de conexin Jaula de Faraday

17

Preservacin de los datos de conexin Clonado de SIM

Utilizacin de Forensic Card writers

18

Adquisicin de la SIM card

Utilizacin de Forensic Card readers

19

Adquisicin de la memoria interna

Pasos a Seguir :

Alimentar el equipo (fuente o herramienta) Impedir la conexin al sistema celular para obtener datos dinmicos Seleccionar el cable de conexin
20

Adquisicin de la memoria interna

Bloqueo de conexin al sistema celular

21

Adquisicin Fsica y Lgica

Adquisicin Fsica Adquisicin Lgica

Salida :

Salida :

HexDump / Bin / RAW

Archivo Propietario

22

Adquisicin de la MMC
Forensic Vs. Non Forensic Card readers

23

Cell Backup Forensics Se ejecuta sobre la PC sincronizada No requiere del dispositivo Son Incompletos

.ipd

.mdbackup
24

Plataformas Blackberry
Internet

Corporate

Servidor de Email

IM Security App

Web Security App Blackberry Enterprise Server

Personal

Internet
Internet
PC Sincronizada

Proveedor telefona celular

25

Blackberry Backup Forensics

BB Desktop Manager
26

BB Simulator

Blackberry Backup Forensics

Elementos que se encuentran en el backup
Libreta de direcciones Libro de servicio Log de llamadas Bloc de Notas/Tareas Mensajera no leida SMS Mails con adjuntos BB Messenger Perfiles WiFi URLs Browser
27

Blackberry Backup Forensics

Elementos que NO se encuentran en el backup

Desktop Perfiles de Audio Calendario MM en Memory card Aplicativos externos

28

Iphone Backup Forensics

Artefactos que quedan en PC/MAC iTunes hace backup sin consentimiento del usuario , para actualizaciones de firmware o activaciones del equipo Se pueden crear backups manuales Backups eliminados rutinariamente pueden existir en Unallocated
29

Iphone iTunes Sync

30

Iphone Backup Forensics

Elementos que se encuentran en el backup Log de llamadas SMS Preferencias del usuario, plists Fotos Notas Contctos Calendario Bookmarks y Cookies de Safari
31

Iphone Backup Forensics

Elementos que NO se encuentran en el backup

E-mails Msica y peliculas transferidas por iTunes Cache Safari Archivos en la particion de usuario Logs Archivos Eliminados

32

Herramientas Lgicas Vs. Fsicas Obtencin de Reportes genericos : Datos del mvil/SIM , libretas , historial de llamadas , mensajes y elementos activos REPORTE DETALLADO

33

Hallazgo con Adquisicion Fsica

+54115174007+541153866947Flaca no me claves tus puales... te amo para siempre nadie va a remplazarte jamas xq sos unika y no existe una persona mas buena q vos

34

Herramientas :

UFED de Cellebrite

Soporta 2000 modelos , incluyendo CDMA/TDMA Adquisiciones lgicas/fsicas Conexin por cable Mayormente de proveedores USA Sistema Portable independiente con cables propietarios No incluye mecanismo de bloqueo de senales 4/6 actualizaciones anuales Formato estndar de salida (XLS , RTF)

35

Herramientas :

XRY/XACT Microsystemation

Soporta 835/226 modelos Adquisiciones lgicas/fsicas Conexin por cable / Infrarrojo / Bluetooht Mayormente de proveedores Europeos Sistema Portable con cables propietarios Incluye clonador de SIM 1/2 actualizaciones anuales Visor distribuible

36

Herramientas :

DEVICE SEIZURE de Paraben Forensics

Soporta 2200 modelos incluyendo GPS Adquisiciones lgicas/fsicas Conexin por cable Solucin de Software con cables standard Kit de campo opcional No incluye mecanismo de bloqueo de senales 2/4 actualizaciones anuales Formato propietario . Exportable( XLS , RTF)

37

Herramientas :

NEUTRINO de Guidance Software

Soporta 170 modelos Requier EnCase Forensic V6 Adquisiciones lgicas/fsicas Conexin por cable Incluye Jaula de Faraday Solucin de Software con cables standard y Kit de campo 2/4 actualizaciones anuales Formato Estndar compatible con EnCase

38

Introduccin al Anlisis Forense de Dispositivos Mviles

Muchas Gracias por su participacion

Ing. Gustavo Daniel Presman MCP , EnCE , CCE , ACE, NPFA

ESTUDIO DE INFORMATICA FORENSE

gustavo@presman.com.ar www.presman.com.ar
39