Charla impartida por Juan Garrido, de Informática 64 en el evento Asegúr@IT Camp 3, dicho evento tuvo lugar en El Escorial los días 21, 22 y 23 de octubre de 2011.
2. Introducción
Copia de Seguridad Local
Qué hay en una copia local
Estructura de ficheros
Extracción de datos
3.
4. En un análisis forense tradicional
Sistemas Operativos
Cliente & Servidor
Dispositivos asociados
Impresoras, Fax, etc…
Telefonía
Aplicaciones de negocio
Correo, mensajería, navegación local e Internet
5. Nuevo giro de tuerca con SmartPhones
Entran de lleno en el OS cliente
Generalmente en portátiles (Corporative mode)
Conexiones desde el móvil (AP Mode)
Muy chulo…. Pero….. (Siempre hay un pero..)
No tenemos el móvil
Tenemos el móvil pero no está “Jailbreakeado”
Tenemos el móvil… (Restaurado a valores de
fábrica)
¿?¿?
6.
7.
8. Al conectar el dispositivo sucede
Itunes sincroniza el dispositivo
Es una copia de seguridad
Se puede analizar directamente desde el backup
9. Rutas Locales
MAC OSX:/Users/username/Library/Application
Support/MobileSync/Backup/deviceid
Windows XP:C:Documents and SettingsusernameApplication
FilesMobileSyncBackupdeviceid
Windows 7:C:UsersusernameAppDataRoamingApple
ComputerMobileSyncBackupdeviceid
10.
11. Ficheros sin extensión aparente
Nomenclatura basada en SHA1
Se pueden analizar las cabeceras
Windows: head(GNU) & Findstr
Linux: head & Grep, file
12.
13. Itunes sincroniza las APPS del dispositivo
En algunos casos son ficheros en texto plano
Si ningún tipo de cifrado
Se utiliza para restauración del dispositivo
Los ficheros se actualizan cada vez que el dispositivo
se conecta
14. Generalmente son de pago
No destinadas al ámbito forense
Gratuitas descontinuadas (Iphone Backup Analyzer)
Sólo extraen la información
Tools
IphoneBackupExtractor (Comercial)
15. Identificación de cada evidencia
Tratamiento de forma unitaria
Separación de ficheros
Análisis
16.
17. ¿Fotos eliminadas?
Siempre quedarán los ficheros Thumbs… ;-)
C7813fa37817a9fb69dfd64993ca2cf91171ae9d
D29f4fbba1c2a95d92b05d53c1b9c967df6e02d5
Las passwords se encuentran cifradas y en
contenedores de claves imposibles de crackear…
Iphone recuerda tu “gramática”
Diccionarios con palabras más usadas
18.
19.
20. Variada información sobre el dispositivo
Número de serie del dispositivo
IMEI
Número de TLF
Versión del Producto
Tipo de Producto (3G, 16GB, etc..)
Datos del último Backup
21. 3 Ficheros Standard
Info.plist
Manifest.plist
Status.plist
Variedad de XML
Interesante desde el punto de vista de la
información
Puede situar un teléfono en un equipo
El “Eso no es mío no vale!!”
22.
23. En algunos casos se utilizan ficheros binarios
Es posible parsear la información y convertirla a
PLIST
25. Muchas funciones de Iphone & Ipad
Se basan en lectura/escritura en BBDD
Esas BBDD se encuentran en texto plano
Codificadas en su mayoría en UTF-8
26. SMS
3d0d7e5fb2ce288813306e4d4636395e047a3d28
Histórico de llamadas
2b2b0084a1bc3a5ac8c27afdf14afb42c61a19ca
Libreta de direcciones
31bb7ba8914766d4ba40d6dfb6113c8b614be442
cd6702cea29fe89cf280a76794405adb17f9a0ee
Llamadas de Voz
992df473bbb9e132f4b3b6e4d33f72171e97bc7a
27. WI-FI Locations
4096c9ec676f2847dc283405900e284a7c815836
Y muuuuuchas más……
28. BBDD Collations.db
Se puede parsear con muchas herramientas
Pintan en un mapa las coordenadas por donde ha
pasado «tu dispositivo»
Existentes en
Iphone
Ipad
Android
Windows Phone 7
Stacked, 3-D text at dramatic angle(Intermediate)To reproduce the text on this slide, do the following:On the Home tab, in theSlides group, click Layout, and then click Blank.On the Insert tab, in the Text group, click Text Box, and then on the slide, drag to draw the text box.Enter text in the text box, select the text, and then on the Home tab, in the Font group, select Impact from the Font list, and then change the font size of each line so that the text is approximately the same width. For example, if you entered FIRST on one line, SECOND on the next line, and so on (as shown on the slide), do the following:Select the first line of text, and then on the Home tab, in the Font group, enter 100 in the Font Size box. Select the second line of text, and then on the Home tab, in the Font group, enter 70 in the Font Size box. Select the third line of text, and then on the Home tab, in the Font group, enter 94 in the Font Size box. Select the fourth line of text, and then on the Home tab, in the Font group, enter 75.5 in the Font Size box. Select all of the text. On the Home tab, in the Font group, click Character Spacing, and then click More Spacing. In the Font dialog box, on the Character Spacingtab, in the Spacing list, select Expanded. In the By box, enter 2.On the Home tab, in the Paragraph group, click Center to center the text in the text box.Under Drawing Tools, on the Format tab, in the bottom right corner of the WordArt Styles group, click the Format Text Effects dialog box launcher. In the Format Text Effects dialog box, click Text Fill in the left pane, select Gradient fill in the Text Fill pane, and then do the following:In the Type list, select Radial.Click the button next to Direction, and then click From Corner (second option from the left).Under Gradient stops, click Add or Remove until two stops appear in the drop-down list.Also under Gradient stops, customize the gradient stops that you added as follows:Select Stop 1 from the list, and then do the following:In the Stop position box, enter0%.Click the button next to Color, and then under Theme Colorsclick White, Background 1, Darker 15%(third row, first option from the left).Select Stop 2 from the list, and then do the following:In the Stop position box, enter100%.Click the button next to Color, and then under Theme Colorsclick White, Background 1, Darker 50%(sixth row, first option from the left).Also in the Format Text Effects dialog box, click 3-D Rotation in the left pane. In the 3-D Rotation pane, click the button next to Presets, and then under Perspectiveclick Perspective Heroic Extreme Left (third row, second option from the left).Also in the Format Text Effects dialog box, click 3-D Format in the left pane, and then do the following in the 3-D Format pane: Under Bevel, click the button next to Top, and then under Bevel click Cool Slant (first row, fourth option from the left). Under Depth, in the Depth box, enter 70 pt. Also in the Format Text Effects dialog box, click Shadowin the left pane. In the Shadowpane, click the button next to Presets, and then under Perspectiveclick Perspective Diagonal Upper Right (first row, second option from the left). To reproduce the background on this slide, do the following:Right-click the slide background area, and then clickFormat Background.In the Format Background dialog box, click Fill in the left pane, select Gradient fill in the Fill pane, and then do the following:In the Type list, select Linear.Click the button next to Direction, and then click Linear Down (first row, second option from the left).Under Gradient stops, click Add or Remove until two stops appear in the drop-down list.Also under Gradient stops, customize the gradient stops that you added as follows:Select Stop 1 from the list, and then do the following:In the Stop position box, enter64%.Click the button next to Color, and then under Theme Colorsclick Black, Text 1(first row, second option from the left).Select Stop 2 from the list, and then do the following:In the Stop position box, enter100%.Click the button next to Color, and then under Theme Colorsclick Black, Text 1, Lighter 35% (third row, second option from the left).