Come analizzare immagine forense di Android utilizzando lo snapshot

Nel post di oggi approfondiremo come analizzare l'immagine forense di Android utilizzando lo snapshot di filesystem.
Andiamo a creare lo snapshot del filesystem per la ricerca istantanea di file e cartelle, con il metodo di espansione andiamo ad allineare su linea temporale file e cartelle per data di modifica o creazione, o per la localizzazione degli ultimi file modificati dal filesystem.

Andiamo ora ad analizzare la nostra immagine forense di uno smartphone Android utilizzando lo snapshot.

Prima di tutto dobbiamo aver creato l'immagine forense dello smartphone che andremo ad analizzare, direttamente sul nostro ChallengerOS (possiamo vedere qui https://www.youtube.com/watch?v=GJHNh-KEdYQ come acquisire l'immagine di un dispositivo Android).

Andiamo ad aprire l'immagine forense acquisita con ChallengerOS sul sistema Rocket; scegliamo il comando Disk Image e selezioniamo la voce android.img

A questo punto, aperta l'immagine, possiamo andare nel filesystem, apriamo il boot sector e localizziamo la partizione Data, ovvero la partizione che contiene i dati dell'utente.

Disabilitiamo la mappa LBA e con il bottone destro creiamo lo Snapshot.

Lo Snapshot è una funzione eccezionale che ci permette di fare ricerche all'interno del filesystem in modo estremamente veloce

In questo caso, con il pulsante F3 possiamo eseguire la ricerca, e andiamo a focalizzarci ad esempio sui file mp3. Localizziamo tutti i file con tale estensione, all'interno del filesystem, e li apriamo in modo istantaneo facendo doppio click.
Possiamo eseguire la ricerca su qualsiasi tipologia di file.

Torniamo sulla partizione in modalità filesystem generica, cliccando su Rescan partition, creiamo l'espansione del filesystem.

L'espansione del filesystem è una funzione utilissima che consente la linearizzazione temporale di tutti i file che si trovano su questo sistema.

Con l'espansione del filesystem possiamo eseguire un allineamento per data di creazione, per localizzare tutti i file creati in questo filesystem, dunque le ultime attività eseguite con il dispositivo di Android.