J2 Extração Física com Cellebrite

Extraindo dados de forma artesanal

Willian Freitas Núncio

RESUMO

O presente artigo tem como objetivo explorar artefatos forense de um dispositivo móvel, cuja extração de dados fora realizada pela notória ferramenta Cellebrite UFED Touch. A extração a ser analisada é do tipo física, uma raridade hoje em dia, visto que a grande maioria das aquisições forenses em smartphone são de nível lógica e lógica avançada. O tipo de análise que veremos exige muito mais expertise técnica do perito, pois passaremos a analisar informações que a ferramenta de extração Cellebrite sozinha não é capaz de trazer ao conhecimento do investigador, de modo que tenham que ser extraídas de forma artesanal. Neste caso, é requerido um profundo conhecimento técnico do perito para extrair dados que venham a contribuir de forma relevante para a investigação em andamento. Deste modo, apresenta-se uma síntese dos principais artefatos, suas respectivas pastas onde estão localizados e seu significado para a investigação. Usaremos a ferramenta Cellebrite Physical Analyser versão 7.47 para realizar a análise forense da imagem fornecida para o estudo.

Palavras-chave: cellebrite; extração; análise; artefatos.

ABSTRACT

This article aims to explore forensic artifacts from a mobile device, whose data extraction was performed by the notorious Cellebrite UFED Touch tool. The extraction to be analyzed is of the physical type, which is a rarity nowadays, since the vast majority of forensic smartphone acquisitions are logic and advanced logic level. The type of analysis that we will see requires much more technical expertise from the expert, as we will now analyze information that the Cellebrite extraction tool alone is not able to bring to the attention of the investigator, so that it has to be extracted by hand. In this case, a deep technical knowledge of the expert is required to extract data that will contribute in a relevant way to the investigation in progress. In this way, a synthesis of the main artifacts, their respective folders where they are located and their significance for the investigation is presented. We will use the Cellebrite Physical Analyzer tool version 7.47 to perform forensic analysis of the image provided for the study.

1 INTRODUÇÃO

O uso de dispositivos móveis cresce a cada ano no Brasil. Segundo uma pesquisa realizada pela FGV “O Brasil tem 440 milhões de dispositivos digitais (computador, notebook, tablet e smartphone) em uso, ou seja, são dois por habitante, de acordo com a 32ª edição da Pesquisa Anual do FGVcia”. Não é novidade que este número tende a crescer cada vez mais, uma vez que a tecnologia invadiu o mundo globalizado em que vivemos, no qual hoje somos dependentes dela na grande maioria das tarefas em nosso trabalho, além de seu uso essencial para a comunicação entre pessoas e empresas.

Com o crescente uso dos dispositivos móveis e seu fácil acesso, também cresceu o número de golpes cometidos com o uso da tecnologia. Em paralelo, cresce no Brasil a forense digital, profissão que ajuda a desvendar crimes cibernéticos cometidos com o uso da tecnologia, de modo a obter provas de um fato que sejam perfeitamente válidas em um tribunal como elemento probatório. É possível demonstrar através da perícia os eventos ocorridos em um ambiente digital, uma vez que se tenha um profissional forense qualificado juntamente com as ferramentas adequadas que servirão de auxílio ao trabalho do perito.

Atualmente, as duas ferramentas forenses de alto gabarito e amplamente reconhecidas no mercado para a extração de dados pelas forças de lei são o Cellebrite (software israelense) e o XRY (do grupo MSAB).

De forma geral, é muito comum os investigadores, quando de posse de um dispositivo móvel apreendido, usarem o software forense de sua preferência e com apenas poucos cliques, quase que de forma “mágica” é extraído um conjunto de dados reunidos de forma automatizada pelo software que permitirá posteriormente sua análise pelo perito.

De acordo com o exposto acima, usaremos o software Cellebrite para demonstrar a análise de dados extraída de forma automatizada com a ferramenta e em paralelo realizaremos uma análise de dados de forma artesanal, mostrando os dados que a ferramenta não exibe em sua forma de extração automática, sendo necessária a intervenção do perito, além do conhecimento técnico profundo para interpretar estes dados.

2 ANÁLISE COM CELLEBRITE

Os tipos de extrações possíveis com a ferramenta Cellebrite são a lógica, sistemas de arquivos e física, na qual cada uma delas é possível extrair um conjunto específico de dados.

Fonte: https://privacyinternational.org/long-read/3256/technical-look-phone-extraction

Os tipos de extração mais comuns realizadas, são do tipo lógica e lógica avançada. Extrações do tipo física são raridade, mas não impossível de se obter.

Uma extração do tipo File System (sistema de arquivos) é possível usando acesso privilegiado como root ou jailbreak. Na extração física usando métodos de recuperação ou bootloader, JTAG, ISP, Chipoff é possível obter mais dados do dispositivo.

Em uma extração física são extraídos os dados brutos em nível binário, logo se o celular tem 64GB de memória interna, será gerada uma imagem na sua totalidade. Importante destacar que além de ser o método preferido de extração, nem sempre é possível, por ser muito invasivo e depender de uma série de fatores como bloqueado, protegido por senha, criptografado, nível de bateria estar em 100% entre outros.

Através da ferramenta Cellebrite Physical Analyzer demonstraremos nos tópicos seguintes as partições do celular, seus respectivos artefatos e significados.

2.1 Tela inicial do software

Ao executar o software de análise de evidências Physical Analyser, carregamos a imagem forense (formato ufdr) para extrair as informações do dispositivo móvel. Na figura abaixo, detalhe A, é possível visualizar o tipo de extração realizada (Física), no detalhe B são exibidas informações acerca do dispositivo como nome do dispositivo, operadora, IMEI, endereço bluetooth, marca, modelo, número de fábrica, versão do SO, etc. No detalhe C, é exibido o conteúdo extraído da imagem forense como bate papos, contas de usuário do dispositivo, contatos, histórico da web, e-mails, entre outros dados.