1. Metodologie di
acquisizione di
dispositivi Android
Marco Giorgi

2. Android
Sistema operativo di Google
con kernel Linux presente
su svariati dispositivi di uso
comune come ad esempio
smartphone, tablet,
navigatori satellitari, ecc.

3. Modalità di
acquisizione
Chip-off
Logica
Fisica
Filesystem

4. Acquisizione
Logica
Disponibilità limitata dei dati
No carving
Accesso diretto ai records dei database
rubrica, contatti, ecc.

5. Acquisizione
Filesystem
Disponibilità limitata dei dati
No carving sui files
Estrazione di file e cartelle
Accesso parziale al filesystem

6. Acquisizione Fisica
Bitstream image (intera memoria o
singole partizioni)
Estrazione di tutti i files e cartelle
E’ possibile fare carving

7. Chip-off
Distruttiva e rischiosa
Intero dump del chip di memoria
Estrazione di tutti i files e cartelle
E’ possibile fare carving

8. Strumenti
acquisizione

9. Acquisizione fisica
tramite ADB
Esecuzione shell di recovery
temporanea modificata
tramite scheda Micro SD
Avvio del dispositivo in
modalità di recovery standard
(pulsanti: HOME + VOLUME UP +
TASTO CENTRALE)
!
Installazione pacchetto con
SU e busybox (netcat e dd)
tramite scheda Micro SD

10. Acquisizione
memoria flash
Mettere il dispositivo in “recovery
mode” e collegarlo al PC tramite
cavo USB
!
Impostare la porta per il forwarding
dei dati tramite ADB :
$ adb forward tcp:8888 tcp:8888

11. Acquisizione
memoria flash
Collegamento al dispositivo tramite
ADB ed elevazione dei privilegi di
root :
$ adb shell
$ su

12. Esempio di blocco
di memoria
# ls /dev/block/mmcblk0
mmcblk0p1 ——> /efs
mmcblk0p10 —-> /data
mmcblk0p11
mmcblk0p12
mmcblk0p2
mmcblk0p3
mmcblk0p4
mmcblk0p5 —-> /kernel
mmcblk0p6 —-> /recovery
mmcblk0p7 ——> /cache
mmcblk0p8
mmcblk0p9 ——> /system

13. Acquisizione
memoria flash
# /system/xbin/busybox nc -l -p 8888 -e
/system/xbin/ busybox dd if=/dev/block/mmcblk0
In un’altra finestra del terminale :
$ nc 127.0.0.1 8888 | pv -i 0.5 > mmcblk0.raw
Da shell ADB :

14. Acquisizione
memoria flash
Terminata l’acquisizione sarà possibile
montare le partizioni per estrarre ed
elaborare i dati, effettuare carving, ed
altre operazioni di interesse

15. Sviluppi futuri
E’ in fase di studio e
sviluppo un metodo
meno invasivo per
l’acquisizione fisica

16. Grazie per
l’attenzione
Contatti:
Marco Giorgi
marco@deftlinux.net