Sinopsis

La investigación forense de dispositivos móviles Android es un campo de reciente desarrollo en el que la disponibilidad de conocimientos técnicos, metodologías, herramientas y criterios de actuación están en proporción inversa al interés generado hacia los mismos. Esto se debe al vertiginoso desarrollo de este conocido sistema operativo de Google. Smartphones, tabletas, reproductores de medios e incluso electrodomésticos inteligentes Android plantean al investigador problemas difíciles de resolver que no se dan en el análisis forense tradicional de ordenadores de sobremesa y soportes de datos convencionales.

La presente obra trata temas de interés relacionados con el análisis forense en dispositivos Android, entre muchos otros:

Tecnología de dispositivos móviles: hardware y software para plataformas Android.

Empleo de máquinas virtuales en la investigación forense de dispositivos móviles Android.

Adquisición forense basada en el empleo del SDK.

Rooting y particiones Recovery alternativas.

Análisis forense de bases de datos SQLite, archivos XML, aplicaciones, documentos, ejecutables .dex y sistemas de archivos ext4, FAT32 y YAFFS/YAFFS2.

Modelo de seguridad Android, delincuencia informática móvil, espionaje industrial y aspectos criminológicos de la investigación.

Soluciones comerciales utilizadas en la investigación forense de dispositivos móviles.

Aplicación del análisis forense móvil en el contexto de la investigación convencional.

Índice

Introducción

Capítulo 1. Tecnología de dispositivos móviles
1.1 Un ordenador en el bolsillo
1.2 Hardware
1.2.1 Microprocesador
1.2.2 Comunicaciones móviles de banda ancha
1.2.3 Conectividad wifi y Bluetooth
1.2.4 Memoria RAM/NAND
1.2.5 Tarjeta MicroSD
1.2.6 Pantalla
1.2.7 Teclado
1.2.8 GPS
1.2.9 Cámara
1.2.10 Micrófono
1.2.11 Giróscopo y acelerómetro
1.2.12 Batería
1.2.13 Interfaz USB
1.2.14 Componentes de otros tipos
1.3 Software
1.3.1 Orígenes de Android
1.3.2 Open Handset Alliance
1.3.3 Intereses de Google
1.3.4 Android Open Source Project
1.3.5 Versiones de Android
1.3.6 API
1.3.7 Android Market
1.4 Arquitectura del sistema
1.4.1 Kernel
1.4.2 Binder IPC
1.4.3 Librerías
1.4.4 Android Runtime y Dalvik
1.4.5 Entorno de aplicaciones
1.4.6 Aplicaciones de usuario
1.5 ¿Cómo es una aplicación Android?
1.5.1 Manifiesto
1.5.2 Activities
1.5.3 Intents
1.5.4 Broadcast receivers
1.5.5 Proveedores de contenidos
1.5.6 Servicios
1.6 Sistemas de archivos
1.6.1 YAFFS/YAFFS2
1.6.2 FAT32
1.6.3 Extended file system (ext)
1.6.4 rootfs, devtps, sysfs, proc, tmpfs

Capítulo 2. preparativos y herramientas
2.1 Máquinas virtuales
2.1.1 ¿Por qué utilizar máquinas virtuales?
2.1.2 Principios de virtualización
2.2 VMware Workstation
2.2.1 Características
2.2.2 Localización, descarga y recursos web
2.2.3 Creación de máquinas virtuales
2.3 Virtual Box
2.3.1 Características
2.3.2 Instalación en Windows
2.3.3 Soporte USB
2.3.4 Instalación en Linux
2.3.5 Instalación en OSX
2.4 Android SDK
2.4.1 Niveles de API y partes sobrantes
2.4.2 Instalación en Windows
2.4.3 Instalación en Linux
2.4.4 Instalación en OSX
2.4.5 Emulación de dispositivos Android
2.5 Linux
2.5.1 Listado de directorios con ls
2.5.2 Ayuda mediante man
2.5.3 mkdir y rmdir
2.5.4 cd
2.5.5 less
2.5.6 grep
2.5.7 Canalización de comandos
2.5.8 Redireccionamiento
2.5.9 find
2.5.10 sudo
2.5.11 apt-get
2.5.12 cp y mv
2.5.13 chmod y chown
2.5.14 file

Capítulo 3. Técnicas de investigación forense
3.1 Desafíos de la movilidad informática
3.1.1 Privacidad
3.1.2 Estrategia gradual
3.2 Previsualización
3.2.1 Teléfono
3.2.2 Mensajes
3.2.3 Correo electrónico
3.2.4 Fecha y hora
3.2.5 Imágenes y vídeos
3.2.6 Mapas
3.2.7 Archivos
3.2.8 Aplicaciones
3.2.9 Administrador de tareas
3.2.10 Ajustes
3.2.11 Otros contenidos
3.3 Tarjeta de memoria
3.3.1 Adquisición con dd
3.3.2 Hash
3.3.3 Montaje de la imagen
3.3.4 Análisis forense con TSk
3.4 Data Carving
3.5 Acceso mediante ADB
3.5.1 Interfaces USB
3.5.2 Depuración USB
3.5.3 Funcionamiento de ADB
3.5.4 Empleo de ADB
3.6 Extrayendo información con ADB
3.6.1 dmesg
3.6.2 logcat
3.6.3 dumpsys
3.6.4 dumpstate
3.6.5 bugreport
3.7 Rooting
3.7.1 Riesgos y precauciones del rooting
3.7.2 Norma fundamental de prudencia
3.7.3 ¿Qué es exactamente el rooting?
3.7.4 su y SuperUser
3.7.5 Rooting temporal
3.7.6 Psneuter
3.7.7 Rooting permanente
3.7.8 X DA-Developers

Capítulo 4. Técnicas especiales de investigación
4.1 Cadena de custodia
4.1.1 Aislamiento de redes
4.1.2 Terminales bloqueados
4.1.3 Smudge attack
4.1.4 Prueba de conexión ADB
4.1.5 Ejemplos
4.1.6 Eliminación del código de bloqueo
4.2 Particiones Recovery
4.2.1 Particionado NAND
4.2.2 Modos de funcionamiento
4.2.3 Secuencia de arranque
4.2.4 ClockWorkMod
4.2.5 Instalación de CWM en un Samsung Galaxy S2
4.2.6 Adquisición lógica con CWM
4.2.7 Adquisición física con CWM
4.2.8 Adquisición física mediante ADB
4.3 Adquisición por hardware
4.3.1 Chip-off
4.3.2 JTAG

Capítulo 5. Análisis forense
5.1 Estructuras de datos
5.1.1 Aplicaciones
5.1.2 Datos de usuario
5.1.3 Métodos de archivado
5.1.4 Jerarquía de directorios Linux
5.1.5 Datos de usuario
5.1.6 Formatos
5.2 XML
5.2.1 ¿Qué es XML?
5.2.2 Manipulación de archivos XML
5.2.3 Ejemplo de análisis
5.2.4 Apktool
5.3 Ingeniería inversa
5.3.1 Descompilando código con dex2jar
5.3.2 Análisis de malware
5.4 SQLite
5.4.1 Carácter compacto y portable
5.4.2 Análisis de archivos .db
5.4.3 Ejemplo de utilización
5.5 Análisis de aplicaciones Android
5.5.1 Mensajes SMS y MMS
5.5.2 Navegador de Internet
5.5.3 Contactos
5.5.4 Media Scanner
5.5.5 Youtube
5.5.6 Google Maps
5.5.7 Gmail
5.5.8 Otras aplicaciones
5.6 Herramientas de análisis
5.6.1 Editores hexadecimales
5.6.2 Strings
5.7 YAFFS/YAFFS2

Capítulo 6. Seguridad
6.1 Modelo de seguridad Android
6.1.1 Retos de seguridad en la era móvil
6.1.2 Certificados digitales y supervisión
6.1.3 Máquina virtual Dalvik
6.1.4 Gestión de usuarios
6.1.5 Permisos de archivos
6.1.6 Permisos de aplicaciones
6.2 Ata ques contra Android
6.2.1 Ataques contra la infraestructura
6.2.2 Ataques contra el hardware
6.2.3 Ataques contra el software
6.3 Vulnerabilidades Android
6.3.1 Vulnerabilidades de permisos nulos
6.3.2 Escalada de privilegios
6.3.3 Ejecución de shell inverso
6.3.4 Grietas funcionales (capability leaks)
6.4 Software malicioso
6.4.1 Motivación del delincuente
6.4.2 Tipos de malware
6.5 Vectores de ata que
6.5.1 Google Play
6.5.2 Mercados no oficiales
6.5.3 Internet
6.5.4 Infecciones combinadas dispositivo móvil-PC
6.5.5 Problemática de los dispositivos rooteados
6.6 Ejemplos de aplicaciones maliciosas
6.6.1 Suscripción a servicios SMS premium
6.6.2 Spyware
6.6.3 Adware
6.6.4 Pay-per-click
6.6.5 Envenenamiento de buscadores
6.6.6 Troyanos bancarios
6.7 Espionaje corporativo
6.7.1 Hardware
6.7.2 Herramientas de software
6.7.3 Modus operandi
6.7.4 Implicaciones

Capítulo 7. Soluciones integradas
7.1 Ventajas del software comercial
7.2 Cellebrite UFED Touch
7.2.1 Adquisición
7.2.2 Análisis forense
7.2.3 Cellebrite Touch y Android
7.3 Oxygen Forensic Suite
7.3.1 Instalación y manejo
7.3.2 Elementos recuperables
7.3.3 Conexión de dispositivos Android
7.4 ADEL
7.4.1 Principios de diseño
7.4.2 Implementación y funcionamiento
7.4.3 Otras características

Capítulo 8. Conclusión
8.1 Análisis de dispositivos Apple IOS
8.1.1 Similitudes y diferencias
8.1.2 Carácter exclusivo
8.1.3 iTunes y AppStore
8.1.4 Jailbreaking
8.1.5 Criptografía hardware
8.1.6 Particiones y sistemas de archivos Apple HFS
8.1.7 Precaución con iTunes
8.2 Equipamiento y materiales
8.2.1 Hardware
8.2.2 Software
8.2.3 Dispositivos para bloqueo de la señal electromagnética
8.3 Investigación convencional
8.3.1 Mundo virtual y mundo físico
8.3.2 Interrogatorios y tomas de declaración
8.3.3 Objetivos de los procedimientos convencionales
8.3.4 Misión del investigador forense
8.4 Otros Aspectos de la investigación
8.4.1 Realización y presentación de informes
8.4.2 Implicaciones jurídicas

Bibliografía
Indice alfabético