Mobile Forensics, introduzione e panoramica degli strumen6 commerciali e open source con esempi e applicazioni pra6che.

Transcript

1 Mobile Forensics, introduzione e panoramica degli strumen6 commerciali e open source con esempi e applicazioni pra6che. 10 aprile 2013, Milano Corso di perfezionamento in Computer forensics e inves;gazioni digitali Do?. Paolo Dal Checco Consulente di Informatica Forense Do?. Stefano Fratepietro Consulente di Informatica Forense

2 Do?. Paolo Dal Checco Consulente Informa6co Forense, 6tolare Studio DiFoB Founder DEFT Associa6on Partner Digit Law S.r.l., Security Brokers Do?. Stefano Fratepietro Founder e CISO di Tesla Consul6ng s.r.l.s Founder, President, DEFT Associa6on 2

3 Mobile Forensics Ramo della Digital Forensics, di cui fa parte la Computer Forensics All inizio era il cellulare ormai si tende a identificare come mobile tutto ciò che ha capacità di è portatile, talvolta ha capacità di comunicazione, memoria interna/ esterna Esempi: cellulari, smartphone, tablet, PNA (navigatori), MP3 player ma anche fotocamere/videocamere, registratori digitali, etc... Ci concentreremo prevalentemente sui cellulari/smartphone/tablet perché sul resto si può spesso operare con strumenti utilizzati per la computer/disk forensics 3

4 Componenti di un mobile device Dispositivo (marca, modello, s/n) Scheda SIM Memoria aggiuntiva Cloud (Dropbox, icloud, GDrive, etc...) 4

5 Dispositivo In genere scritto sul retro del dispositivo, dietro la batteria Si può ricavare dall IMEI (che si legge sul retro oppure si ottiene chiamando il *#06# ) u Valore univoco attribuito al cellulare sulla rete u Utilizzare in mancanza di altro le caratteristiche fisiche (dimensione, forma, etc...) 5

6 SIM Subscriber Identity Module (SIM) Permette il collegamento del dispositivo con la rete GSM/3G Due codici: ICCID (Integrated Circuit Card IDentification) e IMSI (International Mobile Subscriber Identity) Sempre meno utilizzata nei dispositivi mobili per memorizzare dati rilevanti, va comunque analizzata e conosciuta 6

7 SIM (ICCID) ICCID (Integrated Circuit Card IDentification) Codice univico stampato sul dorso della scheda Formattazione precisa: XX (prime due cifre): codice standard per l'identificazione di un sistema con scopi di telecomunicazione (89 per l Italia) XX (terza e quarta cifra): 39 solo per l'italia, corrisponde al prefisso internazionale assegnato al paese in cui opera dato gestore e varia a seconda delle nazioni XX(X) (due o tre cifre): codice identificativo del gestore, così suddiviso: 01 TIM, 10 Vodafone, 88 Wind, 99 H3G, 007 Noverca e 008 Fastweb XXXXXXX (tutte le cifre restanti fino alla fine del codice ICCID): iidentificativo del singolo chip 7

8 SIM (IMSI) International Mobile Subscriber Identity codice che identifica una coppia SIM-operatore telefonico, ossia la SIM in una rete GSM lungo 15 cifre e così strutturato: XXX - MCC (Mobile Country Code), 222 per l'italia. XX - MNC (Mobile Network Code), l'identificativo della compagnia telefonica in rete. Coincidono con quelli presenti sull'iccid (01 TIM, 10 Vodafone, 88 Wind, 99 H3G, 007 Noverca e 008 Fastweb); XXXXXXXXXX - MSIN (Mobile Subscriber Identification Number), un numero univoco che identifica ciascuna utenza. 8

9 Memoria aggiuntiva Può contenere diversi dati essenziali: fotografie, filmati, SMS (in alcuni Nokia si può scegliere...), backup, Whatsapp, etc... Se in fase di sequestro... sequestrare pure quella (ci sono casi in cui ciò non è stato fatto!) L esame si può fare in parallelo con gli strumenti per la mobile forensics o separatamente, con gli strumenti tradizionali per digital forensics 9

10 Cloud Il dispositivo può non contenere tutti i dati ma i riferimenti per potervi accedere... è legale farlo? Discorso molto ampio, ci vorrebbe un seminario solo per quello Valutare la presenza di client per Cloud come Dropbox, icloud, Google Drive, SkyDrive, etc... Può rappresentare un problema perché in taluni casi (es. icloud) permette all utilizzatore di operare da remoto sul cellulare 10

11 Repertazione Se spento u lasciare spento u sequestrare anche eventuali schede di memoria e la batteria (per risparmiarsi problemi in seguito se disponibili prendere anche cavetti, caricabatteria, confezione SIM, software, etc...) u documentare stato del telefono u non lasciare la batteria all interno o isolarla per evitare che si accenda inavvertitamente o suoni la sveglia 11

12 Repertazione Se acceso u Documentare data/ora ed eventuali info su display u Spegnerlo togliendo la batteria o se si ritiene importante, mantenerlo acceso ma isolato da tutto (jammer, gabbia di faraday, airplane mode) 12

13 Acquisizione Acquisire il più possibile impattando il meno possibile Nel momento in cui lo si accende, NON lasciare la SIM originaria e NON farlo connettere al WiFi, Bluetooth, evitare che riceva il GPS Se è richiesta SIM e se deve essere quella fornita con il telefono: SIM cloning (IMSI,ICCID) tre tipi di acquisizione: SIM, memoria interna, memoria esterna un quarto tipo riguarda i dati presso l operatore, ma non si parla più di mobile forensics... 13

14 Acquisizione SIM Sempre meno fruttuosa, permette comunque in taluni casi di ottenere: u ICCID (Integrated Circuit Card Identification) u IMSI (International Mobile Subscriber Identity) u Rubrica (Abbreviated Dialing Numbers ADN) u Registro chiamate (Last Dialed Number LDN) u Short Message Service (SMS) u Location information (LOCI) 14

15 Acquisizione memoria esterna Paragonabile all analisi di un disco o una SD In genere vi sono memorizzati dati multimediali e documenti Può contenere anche SMS, backup, Whatsapp, etc... Acquisire con copia forense (write blocker + dd) Elaborare con sw di analisi, carving, etc... 15

16 Acquisizione memoria interna Si esegue tramite strumenti (hardware o software) dedicati, OSS o commerciali Tre modalità: u Logica: copia delle informazioni che il sistema operativo mette a disposizione (sincronizzazione) u File System: copia (completa o parziale) dei file presenti all interno della memoria (backup) u Fisica: acquisizione bit a bit dell intero contenuto della memoria NAND presente nel dispositivo 16

17 Panoramica dei software Il desolante panorama freeware ed OSS: Bitpim ipba Sql lite database browser Bulk extractor Strings Foremost 17

18 Panoramica dei software Il panorama dei software commerciali: Cellebrite UFED Micro Systemation XRY Oxygen Forensics Paraben Device Seizure Mobile Edit ViaForensics Elcomsoft FTS ixam Katana Fornsics Lantern Tarantula 18

19 SIM Forensics Per cominciare, un test sulla SIM forensics, ormai in disuso ma ancora talvolta necessaria Acquistata SIM di un operatore Italiano, inserita in cellulare vecchio, popolati contatti, inviati e ricevuti SMS Cancellati due contatti: Topolino Minnie Cancellati tre SMS: "Light in the box" "This is just a test" "Chi cerca trova!" 19

20 SIM Forensics Free/OSS: pysim 20

21 SIM Forensics Free/OSS: TULP2G 21

22 SIM Forensics Software Commerciale: Paraben 22

23 SIM Forensics Software Commerciale: MOBILedit! Nessuno dei software provati ha recuperato i due contatti cancellati Stessi risultati anche con altri tool e con Cellebrite UFED Esistono software che promettono di recuperare contatti cancellati? 23

24 Cellebrite UFED Descrizione Uno degli strumenti di acquisizione forense più utilizzati Sviluppato da Cellebrite (1999), società con centinaia di dipendenti di cui 1/2 R&D Opera su mercato privato e governativo/militare UFED P.A. vincitore dei Forensic 4cast Awards 2012 e non solo Non è una panacea, lo citiamo perché rappresenta più o meno lo standard dei tool di analisi forense per cellulari es. ad oggi esegue Physical Extraction di iphone fino al 4, ipad fino all 1 come tutti gli altri software 24

25 Cellebrite UFED 25

26 Cellebrite UFED Principi di Base: Reverse Engineering Hardware (interfacce nascoste, JTAG, cavi di manutenzione) Firmware (master password, metodi di scrittura/lettura/cancellazione, accesso, cifratura, backdoors) PC Suite (simulazione dei protocolli di comunicazione proprietari) Si sfruttano anche vulnerabilità Esempio Blackberry per estrazione fisica: capire comandi supportati, organizzazione dei protocolli, come iniettare il bootloader sul dispositivo, come autenticare la firma 26

27 Cellebrite UFED Principi di Base: Vulnerabilità In genere dovute a sviste degli sviluppatori Non prevedibili, di diverse tipologie (stack/ heap overflow, directory traversal, etc..) Errori nella gestione degli stati (es. rifiuto di esecuzione codice dopo verifica fallita della signature incorretta MA esecuzione permessa se prima non viene fatta la verifica...) Esempio di sfruttamento di vulnerabilità, hardware hacking sul cable, reversing firmware, signature exploit, : Motorola Android Physical Extraction 27

28 Cellebrite UFED Modalità d uso: Estrazione Logica Si utilizzano le API del telefono Vantaggi: veloce nessun bisogno di decodifica interfaccia stabilita bassa complessità Svantaggi: disponibilità di dati limitata 28

29 Cellebrite UFED Modalità d uso: Estrazione File System Copia dell intero filesystem del dispositivo Vantaggi: veloce più dati disponibili media complessità Svantaggi: richiede decodifica 29

30 Cellebrite UFED Modalità d uso: Estrazione Fisica Copia forense dell intera flash del dispositivo Vantaggi: maggiore disponibilità di dettagli (carving) più dati disponibili Svantaggi: richiede decodifica alta complessità richiede tempo (anche la filesystem...) 30

31 Cellebrite UFED Cenni sui tipi di estrazione Basata su App: necessario unlock del dispositivo e OS running JTAG: poca documentazione, specifico per dispositivo Chip-OFF: ottimo in casi limite ma distrugge il reperto Flasher Box: specifico per dispositivo, può modificare i dati Bootloader: bypassa OS per fornire accesso completo alla memoria 31

32 Cellebrite UFED Cenni sull utilizzo del bootloader Modalità utilizzata per Physical Extraction Paragonabile a un Live CD/USB, lancia il processo di avvio del sistema tramite un programma di controllo che ha accesso alla maggior parte delle operazioni sul dispositivo Vantaggi: Nessun Sistema Operativo, meno sicurezza da bypassare Spesso generico o customizzato sulla famiglia di dispositivi Sicuro e progettato per read-only Accurato, può potenzialmente accedere a tutte le aree 32

33 Cellebrite UFED Cenni sulla encryption Problematica sempre più rilevante Soluzioni: Reverse Engineering Exploits Brute force Esempio di encryption bucata : Tom Tom e i triplog 33

34 Cellebrite UFED Work Flow di un analisi di cellulare Estrazione Decodifica Analisi Report 34

35 Cellebrite UFED Physical Analyzer: funzionalità di base Supporto per immagini fisiche, logiche e filesystem Report personalizzati Shell PYTHON Supporto per plugin, piattaforma estendibile e flessibile Timeline e Analisi globale del progetto Carving delle immagini Visualizzazione diretta in HEX Watch List su keyword per soglie di attenzione SQLite Browser Decifratura del triplog TomTom Malware Scanning Recupero BBM cancellati e di gruppo 35

36 Cellebrite UFED funzionalità di avanzate Pattern/Code unlock Link analysis (diversi dispositivi) Data enhancement (gruppi, dati aggiuntivi sugli utenti, etc...) Phone Detective (riconoscimento marca e modello telefono e identificazione capabilities) 36

37 Cellebrite UFED Quando si trova molto... 37

38 Cellebrite UFED Quando si trova molto... 38

39 Cellebrite UFED Quando si trova molto... 39

40 Cellebrite UFED Quando si trova molto... 40

41 Cellebrite UFED Quando si trova molto... 41

42 Cellebrite UFED Quando non si trova nulla o quasi... 42

43 Cellebrite UFED Quando non si trova nulla o quasi... 43

44 Automazione nell analisi dei dump 44

45 La bocca della verità Luogo comune: se il software dice che non c è nulla......non C E NULLA!!! Troppa fiducia nella soluzione commerciale Poca voglia nel verificare le risultanze con altri software o altre metodologie 45

46 Perchè falliscono? Chi crea questi automatisimi è pur sempre un umano e come tutti gli umani può sbagliare: Parser che non gestiscono tutte le eccezioni e che producono risultati parziali Parser funzionanti solo su determinate release di sistema operativo del dispositivo Parser di un dispositivo che funziona su altri dispositivi Anti Forensics - Cifratura 46

47 Dump della memoria E possibile eseguire un dump fisico della memoria ottenendo un risultato simile a quello di Ufed? Si se dobbiamo eseguire il dump di una memoria di smartphone Android Necessario eseguire il rooting del dispositivo In molti casi bisogna dotarsi di una memoria MicroSD per salvare il dump Acquisizione via rete con netcat Si se dobbiamo acquisire un device Apple ed apparteniamo alle forze dell ordine No per quasi la totalità dei dispositivi diversi da quelli sopra citati 47

48 Copia logica dei file E possibile eseguire una copia logica dei file del dispositivo? Si, le impostazioni e le procedure di backup previste dal produttore ci vengono spesso in aiuto Samsung Keys itunes Nokia PC Suite e OVI No se stiamo operando su dispositivi non a brand, come i cinafonini Ho i dati... e con cosa li analizzo? 48

49 Software Open e Freeware Panorama desolante e molto mirato alla mono funzione: Bitpin ipba SQLite Database Browser Bulk extractor Analisi di file a basso livello mediante l utilizzo di editor esadecimale 49

50 Esache? Sistema numerico posizionale in base 16 u u utilizza 16 simboli invece dei 10 del sistema numerico decimale usano in genere simboli da 0 a 9 per le prime dieci cifre, e poi le lettere da A a F per le successive sei cifre, per un totale di 16 simboli CIAO = 0x43 0x49 0x41 0x4F 50

51 XXD e Ghex2 Sono i principali due editor esadecimali più usati Da un lato viene visualizzano il valore in esadecimale, dall altro la rappresentazione del dato in formato comprensibile Perchè usare un editor esadecimale per aprire un file e non un editor testuale? Il primo legge un file a basso livello e non considera il formato file Il secondo legge il file ad un livello più alto e si aspetta il file formattato in una certa maniera; se non trova quello che si aspetta, legge male il file 51

52 XXD e Ghex2 52

53 Bitpim Sia per Linux che per Windows Acquisizione logica e interpretazione dei dati per telefoni CDMA come LG, Samsung e Sanyo Rubrica Sms Calendario appuntamenti Immagini Memo Sviluppo fermo da gennaio

54 ipba Progetto italiano, Mario Piccinelli, Fabio Sangiacomo, Nicodemo Gawronsky (deft), permette di analizzare file di backup di iphone Supporta: Address book Call history Sms Navigazione Safari browser Whatsapp, Viber e Skype chat history Editor di testo Editor esadecimale 54

55 ipba 55

56 Sqlite database browser Disponibile sia per Windows, Mac e Linux Due app su tre utilizzano un database sqlite per memorizzare informazioni e configurazioni Chrome Firefox Skype Rubrica SMS 56

57 Sqlite database browser 57

58 Sqlite database browser Piccola parentesi sul formato del tempo all interno dei db sqlite: Il tempo è espresso in secondi dal Esempio di conversione: sqlite> select colonna1 from tabbella_db; sqlite> select datetime(colonna1, 'unixepoch') from tabbella_db; :54:21 58

59 Bulk extractor E un software che dato un file, una directory o una immagine di un disco, restituisce come output le informazioni richieste indipendentemente dalla struttura logica del file system: numeri di carte di credito elenchi di numeri di telefono indirizzi di posta elettronica url di siti navigati url di ricerche sui principali motori di ricerca indirizzi ip mac address word list output di parser custom 59

60 Case study Le Iene Il dispositivo da analizzare è un Nokia E72 Symbian 9.3 Factory reset eseguito sul cellulare MicroSD interna formattata Obiettivo: recuperare tutto il possibile 60

61 Case study Le Iene Come lo acquisisco? Physical dump con UFED per la memoria interna Bit stream image per la microsd card Secondo physical analyzer, il physical dump del dispositivo non conterrebbe alcun dato... Tutto vero? 61

62 Case study Le Iene 62

63 Case study Le Iene Posso automatizzare il recupero degli sms? Posso provarci, con il datacarving! Identifico un header ed un possibile footer Se gli sms non hanno un footer, definisco un numero massimo di bit per passare al prossimo header 63

64 Case study Le Iene Header Footer 64

65 Case study Le Iene extension case sensitive size header footer # SMS Nokia E72 sms y \x23\x00\x00\x0c \x18\x02\x00\x00 sms+39 y \x1a\x2b\x33\x39 I valori di header e footer sono in esadecimale Il campo size rappresenta il massimo numero di byte che foremost recupera se non trova il footer foremost -c /etc/foremost.conf -o sms/ dump.bin 65

66 Case study Le Iene Recuperare immagini e video Utilizzo il mio carver di fiducia u u u Foremost Photorec Scalpel2 Sia sul dump ufed che sulla dd della microsd 66

67 Case study Le Iene Recuperare dati della navigazione Internet Eseguo strings sull immagine strings dump.bin > output.txt Eseguo un grep di o www grep output.txt > navigazione.txt 67

68 Pro e contro Pro Utilizzare più soluzioni contemporaneamente per la risoluzione del problema So come funziona l applicativo ed ho a disposizione i sorgenti Costo nullo di avviamento e documentazione a volontà Contro Driver per Linux quasi inesistenti Impossibile interagire direttamente con il file system Difficoltà nell associare riferimenti temporali ai dati recuperati Tempi di analisi e di elaborazione elevati 68

69 Domande? DoK. Paolo Dal Checco DoK. Stefano Fratepietro