Recupero dati e Analisi di base del filsystem EXT4 di Android

Vediamo oggi il recupero dei dati e l'analisi di base del filesystem EXT4 di Android.
Approfondiremo il caricamento di immagini forensi di dispositivi Android, ed analisi delle partizioni.

Nello specifico ci soffermiamo sulla partizione USERDATA, navigando nei file ed analizzandone il contenuto. Attraverso la cartella di WhatsApp visualizzeremo il file key per decifrare il file crypt12.
Estrarremo poi il database di Facebook aprendolo con il visualizzatore dei messaggi sqlite.

L'analisi del filesystem EXT4 di Android

Diamo inizio alla nostra analisi di base di un filesystem Android.
Dopo aver acquisito l'immagine forense del nostro dispositivo Android e localizzata sul nostro computer, apriamo con Rocket la nostra immagine come disco virtuale.

Eseguiamo un piccolo check del masterboot record di partizione e le entries di tipo GPT, per localizzare la partizione USERDATA, che vedremo in esadecimale.

A questo punto, direttamente dal filesystem view possiamo visualizzarla tra le partizioni disponibili; qui vedremo visualizzate sia la Guide che la descrizione. Apriamo la partizione USERDATA direttamente da Rocket così come se fossimo in ambiente Windows.
Nella cartella DATA possiamo navigare direttamente i database.

Ricerca della cartella WhatsApp

Con la funzione Move to file offset possiamo andare direttamente alla posizione del file, o aprirlo, se desideriamo, con sqlite 3.
Andiamo a cercare la cartella di WhatsApp dove WhatsApp va a memorizzare i nostri contenuti privati; possiamo procedere al salvataggio della cartella con il tasto F2; apriamo la cartella e visualizziamo in modalità binaria il file di key; con un doppio click apriamo i file come in ambiente Windows (nel nostro video vediamo l'apertura di file avatar nello specifico).

Il file di key in WhatsApp è indispensabile per decriptare i database con i contenuti privati

Ricerca della cartella con i contenuti di Facebook

Proseguiamo con l'analisi della nostra immagine di Android con la sezione dedicata a Facebook. Qui troviamo Katana e Orca come cartelle principali di Facebook. Possiamo estrarre i contenuti di messaggistica localizzando il file threads_db2 , salvando il file sul Pc, oppure visualizzandolo in tempo reale.