Recupero di video GOPRO con fotogrammi mancanti

Introduzione

In un caso giudiziario, In seguito ad un incidente motociclistico, un CTU del Tribunale viene incaricato di analizzare i fotogrammi video girati da una camera GO-PRO installata sul casco del guidatore del motociclo.

L'analisi dei video contenuti nella SD Card della GO-PRO ha consentito l'estrazione dei flussi video MP4 girati in precedenza con la stessa camera, ma il video dell'incidente risultava essere corrotto, in quanto la telecamera al momento dell'impatto non è riuscita a salvare tutti i fotogrammi relativi all'incidente.

Il primo tentativo eseguito dal Tecnico incaricato dal Tribunale è stato quello di estrarre i flussi video e produrre una "riparazione" del video con software specializzato per il recupero dei fotogrammi, ma il risultato è stato un video funzionante con contenuti inconsistenti, in quanto la sequenza dell'incidente risultava essere assente dal video.

Analisi dei File System in modalità avanzata

Il tecnico del Tribunale ha assunto che il file video corrotto fosse carente di fotogrammi per una corruzione interna del file.Tutavia Il risultato del file dopo la "riparazione" risultava comunque inconsistente.

L'analisi dei frammenti della EXFAT eseguita con il ChallengerOS ha consentito la linearizzazione dei frammenti memorizzati in un cruscotto lineare.

L'elenco dei frammenti allineati in modo crescente ha chiaramente dimostrato che il file video danneggiato fosse congruente con i cluster dichiarati e la dimensione fosse coerente.
Assumendo il fatto che la camera avesse registrato ma la memorizzazione dei cluster non si fosse consolidata in scrittura è stato prodotto un flusso di estrazione considerando settori in eccesso in modo euristico direttamente consecutivi all'ultimo cluster consolidato.

File LRV generati dalla GOPRO

Nel file system della SD Card è possibile notare dei file .LRV di dimensioni ridotte rispetto il video principale che vengono creati contestualmente lo shooting del videoclip.
I File LRV sono una versione lite/compressa del flusso originale e hanno la funzione di fornire l'anteprima rapida del video durante il girato.

Note sul funzionamento delle allocazioni dinamiche

Quando la telecamera inizia la registrazione assimila fotogrammi e flusso audio, li comprime secondo il proprio standard ed inizia la registrazione su file. Il file system che riceve il file non puo’ avere l’informazione corretta della dimensione finale in quanto la allocazione totale dell’oggetto sarà nota solo al termine della registrazione.

Non potendo la telecamera memorizzare tutte le informazioni nella propria RAM e salvarle al termine della registrazione, il file di destinazione è tipica-
mente scritto in modalità append.

Per ogni sequenza di scrittura eseguita, il file system verrà aggiornato con la
dimensione aggiornata modificando le informazioni dei seguenti elementi:

Sequenza di Scrittura Tradizionale di un File

1. CREAZIONE DEL FILE
2. TRASFERIMENTO DEI SETTORI
3. AGGIORNAMENTO INFORMAZIONI DIRECTORY E METADATI

Come un file video viene accodato in scrittura buffered

1. CREAZIONE DEL FILE
2. SEQUENZA DI ACCODAMENTO ( i fotogrammi vengono trasferiti sui settori della device e ad ogni sequenza viene aggiornata la tabella di allocazione )
3. AGGIORNAMENTO DEI METADATI DEL FILE SU FILE SYSTEM
4. CHIUSURA DEL FILE

Analisi del file video MP4 interrotto

In seguito all'incidente, la telecamera installata sul casco del motociclista ha interrotto improvvisamente la scrittura del video rendendolo "TRONCATO" ed illeggibile.
La ragione è da ricercarsi nella mancata consolidazione dei frammenti nella FAT in seguito alla scrittura dei settori che doveva necessariamente essere stata eseguita.
Assumendo il fatto che i cluster fossero contigui e non frammentati è stato prodotto un dump della zona non allocata immediatamente successiva all'ultimo cluster appartenente al video per una dimensione massima pari al successivo video salvato nella card.

Contaminazione lineare dei flussi Video

Nella sequenza lineare dei clusters e’ evidente l’alternanza di frammenti del
file MP4 e del file LRV.

Tale effetto di frammentazione è dovuto alla scrittura simultanea da parte
della fotocamera di entrambi i file.
Essendo il flusso originale del file frammentato ed interrotto, verrà assunta la condizione che il risultato finale possa contenere fotogrammi errati e disturbo video.
Per eliminare eventuali contaminazioni visive dai fotogrammi recuperati dovute alla miscelazione sistematica dei file MP4 e LRV è stata condotta una analisi lineare sulle frammentazioni è stato riscontrato che il file LRV viene frammentato con scritture di 4 cluster da 256 settori.
Si è dunque calcolato che il disturbo sistematico del File LRV è di 256 * 4 * 512 Bytes = 524288 Bytes.

Tale Valore potrà essere applicato come parametro di skip sequence durante
la riparazione finale del file.

Estrazione del flusso raw relativo al file video corrotto.

Per poter estrarre i settori relativi ai fotogrammi interessati è sufficiente localizzare il settore di start del video corrotto ed eseguire un dump posix con i parametri di start del cluster di inizio del file.

#ddrescue -i START_DEL_FILE -o 0 immaginedisco.dsk dirty.mp4

Recovery del flusso video e dei fotogrammi

Il flusso binario recuperato ”dirty.mp4” contiene sia i fotogrammi originali
del file video .MP4 che quelli del file .LRV oltre una sequenza di settori extra dove potrebbero essere localizzati i fotogrammi non
consolidati a causa della mancata finalizzazione della scrittura.

Riparazione del flusso MP4 con UNTRUNC

Per la riparazione del flusso audio/video corrotto si è scelto di utilizzare una
soluzione open source per piattaforma posix.

URL https://github.com/anthwlock/untrunc/

Utilizzo del software UNTRUNC

Come da help a riga di comando, il software ha bisogno per eseguire l’analisi del video danneggiato di un elemento funzionante creato con la stessa fotocamera.
Per l’analisi comparativa è stato usato un file .MP4 appartenente allo stesso dataset.

Esempio di utilizzo di Untrunc:
Usage: untrunc [options] sample.mp4 [corrupt.mp4]

Come ripararare il file video corrotto eliminando il disturbo cluster dei frammenti LRV

Il flusso finale viene riparato utilizzando con valore di skip sequence pari alla sequenza di frammentazione del file LRV con la seguente sintassi:

untrunc -s -st 524288 sample.mp4 dirty.mp4

Il parametro -s consente al software di saltare elementi non validi con una dimensione di skip pari al valore del parametro -st ( ricavato dal calcolo di frammentazione del file LRV )

Conclusioni Finali

Nei casi in cui la registrazione di una camera non risultasse finalizzata correttamente è possibile che i metadati cluster delle FAT non vengano aggiornati e che il file video risulti corrotto a causa di carenza di fotogrammi.

Essendo la scrittura dei video eseguita in buffering/dumping se il video è stato girato è certo che i fotogrammi siano stati salvati indipendentemente dal funzionamento del video.
Con analisi forensi ed una corretta interpretazione delle catene cluster è possibile recuperare i fotogrammi mancanti e riparare il file originale.