Realizando Forense de Dispositivos Móveis com Cellebrite

Quando Usar

• Ao extrair evidências de smartphones ou tablets durante uma investigação
• Para recuperar mensagens apagadas, registros de chamadas e dados de localização de dispositivos móveis
• Durante investigações envolvendo comunicações por aplicativos de mensagens
• Ao analisar dados de aplicativos móveis em busca de evidências de atividade criminosa
• Para investigações corporativas envolvendo mau uso de dispositivos móveis por funcionários

Pré-requisitos

• Cellebrite UFED Touch/4PC ou UFED Physical Analyzer (licenciado)
• Ferramentas alternativas de código aberto: ALEAPP, iLEAPP, MEAT, libimobiledevice
• Cabos e adaptadores apropriados para o dispositivo alvo
• Bolsa de Faraday para isolar o dispositivo de sinais de rede
• Autorização legal (mandado, consentimento ou política corporativa)
• Conhecimento das estruturas de sistema de arquivos do iOS e Android

Fluxo de Trabalho

Etapa 1: Preparar o Dispositivo e o Isolamento

# CRITICAL: Immediately place device in airplane mode or Faraday bag
# This prevents remote wipe commands and additional data changes

# Document device state before acquisition
# Record: make, model, IMEI, serial number, OS version, screen lock status
# Photograph the device from all angles

# For Android - Enable USB debugging if accessible
# Settings > Developer Options > USB Debugging > Enable

# For iOS - Trust the forensic workstation
# When prompted on device, tap "Trust This Computer"

# If device is locked, document lock type (PIN, pattern, biometric)
# Cellebrite UFED can bypass certain lock types depending on device model

# Install open-source tools as alternatives
pip install aleapp    # Android Logs Events And Protobuf Parser
pip install ileapp    # iOS Logs Events And Properties Parser
sudo apt-get install libimobiledevice-utils  # iOS acquisition on Linux

Etapa 2: Realizar a Aquisição do Dispositivo

# === Cellebrite UFED Acquisition ===
# 1. Launch UFED 4PC or connect UFED Touch
# 2. Select Device > Identify device model automatically
# 3. Choose extraction type:
#    - Logical: App data, contacts, messages, call logs (fastest, least data)
#    - File System: Full file system access including databases
#    - Physical: Bit-for-bit image including deleted data (most complete)
#    - Advanced (Checkm8/GrayKey): For locked iOS devices (specific models)
# 4. Select output format and destination
# 5. Begin extraction

# === Open-source iOS acquisition with libimobiledevice ===
# List connected iOS devices
idevice_id -l

# Get device information
ideviceinfo -u <UDID>

# Create iOS backup (logical acquisition)
idevicebackup2 backup --full /cases/case-2024-001/mobile/ios_backup/

# For encrypted backups (contains more data including passwords)
idevicebackup2 backup --full --password /cases/case-2024-001/mobile/ios_backup/

# === Android acquisition with ADB ===
# List connected devices
adb devices

# Full backup (requires screen unlock)
adb backup -apk -shared -all -f /cases/case-2024-001/mobile/android_backup.ab

# Extract specific app data
adb shell pm list packages | grep -i "whatsapp\|telegram\|signal"
adb pull /data/data/com.whatsapp/ /cases/case-2024-001/mobile/whatsapp/

# For rooted Android devices - full filesystem
adb shell "su -c 'dd if=/dev/block/mmcblk0 bs=4096'" | \
   dd of=/cases/case-2024-001/mobile/android_physical.dd

# Hash the acquisition
sha256sum /cases/case-2024-001/mobile/*.dd > /cases/case-2024-001/mobile/acquisition_hashes.txt

Etapa 3: Analisar com ALEAPP (Android) ou iLEAPP (iOS)

# === Análise Android com ALEAPP ===
# ALEAPP processa extrações do sistema de arquivos Android
python3 -m aleapp \
   -t fs \
   -i /cases/case-2024-001/mobile/android_extraction/ \
   -o /cases/case-2024-001/analysis/aleapp_report/

# ALEAPP extrai e relata sobre:
# - Registros de chamadas, mensagens SMS/MMS
# - Histórico de navegação e pesquisas do Chrome
# - Histórico de conexões WiFi
# - Aplicativos instalados
# - Atividade da conta Google
# - Dados de localização (Google Maps, Fotos)
# - Mensagens do WhatsApp, Telegram, Signal
# - Estatísticas de uso de aplicativos
# - Configurações e contas do dispositivo

# === Análise iOS com iLEAPP ===
python3 -m ileapp \
   -t tar \
   -i /cases/case-2024-001/mobile/ios_backup.tar \
   -o /cases/case-2024-001/analysis/ileapp_report/

# iLEAPP extrai e relata sobre:
# - Mensagens iMessage e SMS
# - Histórico de navegação do Safari
# - Conexões WiFi e Bluetooth
# - Dados de saúde e histórico de localização
# - Uso de aplicativos (KnowledgeC)
# - Fotos com dados EXIF/GPS
# - Notas, Calendário, Lembretes
# - Dados do Keychain (se descriptografável)

…