Alessandro ROSSETTI

Argomenti
• Android?
• Android Forensics
• Caso pratico
[email protected]
Android?
www.android.com
Android
Sistema operativo per
dispositivi mobili
2005 - Inizio Sviluppo
Sorgente: FOSS
2008 - Release iniziale 1.0
Licenza: Apache 2.0
12/2011 - Release finale 4.03
Linux Kernel (Monolitico)
Diffusione esponziale
Gestione degli aggiornamenti
Attacchi su misura
http://tinyurl.com/androidworm
Struttura
classica
Principali Versioni
v2.2.x Froyo
v2.3.x Gingerbread
v3.x Honeycomb
v4.x Ice Cream Sandwich
Filesystem
YAFFS2
2.2 Froyo
EXT4
2.3 Gingerbread
VARI
es.
es. RFS
Applicazioni
App Preinstallate : /system/app
App scaricate:
scaricate /data/app
Dati applicazioni:
applicazioni /data/data, MicroSD
DB di sistema:
sistema /data/database
Android
Forensics
Un tempo …
AFLOGICAL
42 diversi tipi di dati
In pochi minuti
AndroidForensics.apk
Acquisizione logica
Acquisizione
Fisica
NB - VUOTA!!!
+
mount
Rilevazione numero partizioni
su
Diritti Root
dd
dd if=partizione of=/mnt/sdcard/nomefile.img
Esempio
Samsung Galaxy S
i9000
ODIN + CF ROOT
Acquisizione
Su nuova MICROSD
dd
Tastiera virtuale
Installazione demone SSH
Acquisizione «Standard» MicroSD
Hash delle immagini dd microSD con
Samsung Galaxy S
i9000
Analisi Classiche
Timeline
Analisi Specifiche
Antiforensics ?
Carving
Database
Foto/video
Correlazione
informazioni
Applicazioni
terze?
Per Approfondire
Deft?
Grazie per
l’attenzione!
l’attenzione!
Sandro Rossetti
[email protected]