Pode contactar a nossa equipa de peritagem através do número 0221 64306610. Explique-nos o seu caso.
Análise forense móvel – preservação de provas digitais e análise de smartphones
Os smartphones e os tablets contam entre as provas mais ricas em informação que podem surgir numa investigação. O que é decisivo não é extrair o máximo de dados possível de um dispositivo. O que é decisivo é recolher de forma controlada os vestígios relevantes para a questão probatória, avaliá-los no seu contexto e documentá-los de forma compreensível – incluindo os pontos em que uma conclusão técnica já não se sustenta.
A LanCologne analisa dispositivos móveis enquanto gabinete de peritagem com laboratório forense próprio em Colónia. Uma vez que também abrangemos as restantes áreas da informática forense e da reconstrução de dados, os dispositivos móveis podem, se necessário, ser relacionados com outras provas digitais, em vez de serem analisados isoladamente. A base técnica assenta numa qualificação certificada pela TÜV Rheinland em perícia forense de dispositivos móveis e do sistema Windows, acessível ao público na base de dados de certificados Certipedia, com o número de certificação 0000067863.
Suspeita de spyware, stalkerware ou malware num smartphone? Realizamos análises forenses em dispositivos iOS e Android para detetar sinais de comprometimento – com um procedimento documentado, resultados compreensíveis e uma classificação clara do que estes indicam e do que não indicam. Sobre o teste de comprometimento
O que a análise forense de dispositivos móveis consegue fazer – e o que não consegue
A perícia forense móvel abrange a recolha, extração, análise e avaliação de informações digitais provenientes de smartphones, tablets e das fontes de dados a eles associadas. Responde a questões técnicas: Que dados estão presentes no dispositivo? Quando foram criados, alterados ou recebidos? É possível reconstruir os processos? Qual é o valor probatório dos vestígios encontrados?
Não responde a questões jurídicas. Cabe ao tribunal ou à entidade contratante decidir se um resultado é relevante para um processo – e não ao perito. Além disso, não oferece qualquer garantia: a possibilidade de reconstruir uma determinada informação depende do modelo do dispositivo, da versão do sistema operativo, da encriptação, do estado do dispositivo e da utilização posterior após o evento em questão.
Suspeita de spyware, stalkerware ou malware
Uma parte significativa dos pedidos na área da perícia forense móvel começa com uma suspeita: alguém tem acesso a informações que não deveria conhecer. Um dispositivo esteve, durante algum tempo, fora do controlo do utilizador. Uma situação de separação agrava-se. Ou um smartphone da empresa apresenta um comportamento suspeito após um incidente de phishing.
Para esses casos, mantemos um análise forense de comprometimento . Não se trata de uma verificação antivírus e não funciona com assinaturas, mas analisa o dispositivo à procura de vestígios que uma manipulação ou vigilância possa ter deixado.
O que é analisado neste contexto
- aplicações instaladas, a sua origem e as autorizações que lhes foram concedidas
- Definições de configuração e de perfil, gestão de dispositivos e certificados
- Elementos do sistema e de arranque, bem como mecanismos que permitem a permanência duradoura no dispositivo
- Artefactos de rede e de ligação, incluindo ligações a destinos invulgares
- Dados de diagnóstico, de falhas e de registo que possam indicar uma atividade inesperada do processo
- Contas, ligações e acessos sincronizados em dispositivos associados
O que um resultado revela
Fazemos sempre uma distinção clara entre um problema técnico Comprovativo, um Nota, um suspeita não confirmada e um comprovativo em falta. Se não forem detetadas anomalias, isso não significa que, com certeza, não exista nada – significa apenas que, com os dados e métodos disponíveis, não foi possível identificar quaisquer indícios. Incluímos esta distinção no relatório, porque é determinante para a decisão posterior do cliente.
Além disso, os ataques a dispositivos móveis podem ser concebidos para deixar o mínimo possível de vestígios permanentes. Também por isso, a ausência de indícios suspeitos não permite excluir com certeza a existência de um ataque – mas permite, sim, uma conclusão fiável sobre o que foi verificado e o que não foi detetado.
Cada etapa do exame é documentada: o que foi analisado, com que método, qual foi o resultado e até onde se estende a validade dos resultados. Descrevemos detalhadamente o procedimento na página Verificação de ameaças e malware em dispositivos móveis.
O procedimento do exame
Objeto do processo e questão probatória
O ponto de partida é a questão a que se pretende dar resposta – e não o dispositivo. Da questão a provar decorre quais as fontes de dados que são, de facto, relevantes, qual o método de segurança adequado e qual o âmbito da investigação apropriado. Uma formulação pouco clara da questão conduz a um resultado pouco claro.
Preservação de provas e estado do equipamento
Um smartphone é um sistema dinâmico. Recebe mensagens, sincroniza contas, regista eventos e limpa bases de dados – mesmo quando ninguém o está a utilizar. Cada minuto que um dispositivo continua a funcionar após o evento em questão pode alterar vestígios relevantes.
Por isso, a receção, o estado e a identificação do equipamento são documentados, evitando-se alterações desnecessárias. Sempre que a situação o exigir, procedemos à recolha forense no local, em vez de transportar o equipamento.
Extração
Os dados são extraídos do dispositivo protegido num formato adequado para a análise. Os métodos disponíveis dependem do dispositivo e da versão. No caso de dispositivos protegidos ou bloqueados, pode ser possível desbloqueá-los ou descodificá-los, dependendo do modelo, da versão do sistema operativo e do estado do dispositivo. Não é possível deduzir disso uma garantia geral; analisamos cada caso individualmente.
Análise e correlação
É aqui que reside o verdadeiro valor cognitivo. Os artefactos individuais são analisados no seu contexto: uma base de dados é comparada com os registos do sistema, um carimbo temporal com uma fonte independente, um artefacto de localização com o contexto da sua origem. As contradições entre fontes não constituem, neste caso, um fator perturbador, mas sim, muitas vezes, a própria conclusão.
Avaliação e documentação
No final, obtém-se uma classificação que distingue entre um facto tecnicamente comprovável, uma conclusão tecnicamente defensável, uma mera indicação e uma suposição não comprovável – e que indica onde termina o valor informativo.
Tipos de segurança
Os procedimentos habituais diferem em termos de âmbito e requisitos:
- Cópia de segurança lógica – acede a dados que o sistema operativo disponibiliza através de interfaces definidas. Tem uma ampla aplicabilidade, mas limita-se ao que o sistema fornece.
- Cópia de segurança baseada no sistema de ficheiros – regista as estruturas do sistema de ficheiros e, por isso, frequentemente também os resíduos de bases de dados, a memória intermédia e as estruturas secundárias, que um backup lógico não inclui.
- Procedimentos específicos para cada dispositivo – acessos avançados, cuja disponibilidade depende em grande medida do modelo, da versão do sistema operativo e do nível de segurança.
O termo „cópia de segurança física“ é utilizado de forma inconsistente na prática. No caso dos dispositivos móveis, não fornece, regra geral, uma imagem inalterada do fluxo de bits, como acontece com um disco rígido clássico. Por isso, utilizamo-lo apenas nos casos em que é tecnicamente aplicável – e não como uma garantia de qualidade.
iOS e Android – contextos diferentes
As possibilidades diferem consideravelmente. Equiparar ambas as plataformas de forma generalizada induz em erro.
iPhone e iPad
Os dispositivos Apple são altamente padronizados e, ao mesmo tempo, protegidos por encriptação baseada em hardware e por um controlo rigoroso do acesso ao sistema. O que está acessível depende, em grande medida, da geração do modelo, da versão do iOS e do estado do dispositivo. São analisados, entre outros, dados de comunicação, ficheiros multimédia com os respetivos metadados, bem como artefactos do sistema e de utilização. Abordamos os detalhes relativos à plataforma na página sobre a análise forense de iPhones.
Android
O Android está bastante fragmentado: os fabricantes, os chipsets, as versões do Android, o estado das atualizações de segurança e o nível de encriptação variam consideravelmente. Por um lado, isto alarga o leque de procedimentos possíveis; por outro, os resultados são menos previsíveis do que no caso do iOS. Para mais informações sobre este assunto: Análise forense do Android em pormenor.
Análise forense do iPhone
A geração do modelo, a versão do iOS e o estado do dispositivo determinam os procedimentos possíveis.
Análise forense do Android
O fabricante, o chipset, a versão e o estado das atualizações resultam em situações iniciais muito diferentes.
Cheque de compromisso
Análise para detetar vestígios de spyware, stalkerware e malware – com uma classificação clara dos resultados.
Análise forense do iCloud
As contas, as cópias de segurança e os conteúdos sincronizados podem conter informações que não se encontram no dispositivo.
Campos de artefactos centrais
Mensagens e comunicação
Mensagens, anexos, contactos, informações sobre grupos e horários, bem como os metadados associados, estão entre os dados mais frequentemente analisados. É importante distinguir entre o que uma aplicação apresenta no ecrã e o que está efetivamente armazenado nas suas estruturas de dados. Uma captura de ecrã de uma conversa não constitui uma análise forense. Mais informações em Análise forense do Messenger.
Bases de dados de aplicações, SQLite, WAL e SHM
Muitas aplicações armazenam os seus dados em bases de dados SQLite. Para além do ficheiro da base de dados propriamente dito, existem frequentemente estruturas secundárias – nomeadamente o Write-Ahead-Log (WAL) e o ficheiro de memória partilhada (SHM). Estas podem conter registos que já não estão visíveis na base de dados principal. No caso de resultados relevantes para efeitos de prova, analisamos estas estruturas ao nível dos dados brutos, em vez de nos basearmos na apresentação processada por uma ferramenta. Consulte a Análise WAL e SHM.
Dados apagados
Não existe qualquer garantia de recuperação. Os dispositivos modernos encriptam por predefinição; as memórias flash são limpas em segundo plano; as bases de dados limpam-se automaticamente. Se as chaves correspondentes forem eliminadas ou as áreas forem sobrescritas, a reconstrução é tecnicamente impossível.
No entanto, é frequente que existam vestígios secundários: registos em estruturas secundárias de bases de dados, memórias cache, imagens de pré-visualização, históricos de notificações, cópias de segurança ou cópias sincronizadas em dispositivos ligados. Por outro lado, o facto de uma informação já não poder ser reconstruída não prova que nunca tenha existido.
Dados de localização e movimentação
As fontes possíveis incluem metadados de fotografias, dados de mapas e navegação, artefactos de aplicações e do sistema, bem como referências à rede e à nuvem. É necessário ter cautela na avaliação: um artefacto de localização comprova a atividade do dispositivo, não a localização de uma pessoa específica. Saber quem tinha o dispositivo consigo no momento em questão não é uma questão técnica, mas sim uma questão de prova.
Carimbos temporais e reconstrução de eventos
As indicações de hora são uma das fontes de erro mais frequentes. Os fusos horários e os formatos variam, e um mesmo ficheiro pode conter vários valores de hora com significados diferentes: criação, alteração, receção, envio, sincronização, registo na base de dados ou exibição. Por isso, um único valor raramente é suficiente por si só. Sempre que possível, correlacionamo-lo com fontes independentes – por exemplo, com Registos de dispositivos Android.
Análise em vez de relatório de ferramentas
O software forense permite fazer cópias de segurança, extrair dados, organizá-los e fornecer pistas. No entanto, o relatório gerado automaticamente por uma ferramenta não constitui, por si só, uma interpretação especializada.
As ferramentas partem de pressupostos: classificam registos, interpretam valores temporais e representam relações que podem não se verificar em cada caso específico. Por isso, avaliamos a plausibilidade dos resultados relevantes para a prova ao nível dos artefactos e dos dados brutos, na medida em que tal seja necessário e tecnicamente possível. Para uma classificação mais abrangente, consulte o nosso Serviços de peritagem forense informática.
Contas na nuvem e dispositivos associados
Um dispositivo raramente existe isoladamente. Contas, cópias de segurança, conteúdos sincronizados e outros dispositivos do mesmo utilizador podem conter informações relevantes — por vezes, mesmo que já não se encontrem no dispositivo em análise. Essas fontes são consideradas exclusivamente no âmbito do mandato de investigação concedido e das autorizações legais e técnicas existentes.
Imparcialidade nos resultados, documentação e cadeia de custódia
As investigações são conduzidas sem preconceitos quanto aos resultados. Os artefactos relevantes são analisados, independentemente de corroborarem ou contradizerem uma hipótese de trabalho. Mesmo quando encomendada por uma das partes, a investigação técnica mantém-se neutra. A ausência de provas constitui um resultado tecnicamente correto e é designada como tal.
São documentados a receção, o estado e a identificação do dispositivo, as transferências, as etapas de processamento, o método de segurança escolhido, as ferramentas e versões utilizadas, as etapas de análise, bem como os limites da investigação. São gerados valores de integridade ou valores hash, na medida em que sejam tecnicamente aplicáveis — no caso dos dispositivos móveis, isso não acontece em todos os procedimentos nem em todos os níveis.
Formas de apresentação dos resultados: documentação, relatório, parecer
O âmbito depende do encargo, da questão de prova e da finalidade:
- Documentação técnica – tratamento estruturado dos dados guardados e extraídos, para que o cliente possa continuar a trabalhar por conta própria.
- Relatório de investigação forense – análise completa com resultados, interpretação, significado e limites especificados.
- Parecer pericial em informática forense – resposta pericial a uma questão probatória concreta, preparada para ser utilizada num processo.
Antes do início do exame, esclarecemos qual é a forma mais adequada.
Para quem realizamos os estudos
A análise técnica é a mesma em todas as situações; o que difere são as questões típicas.
Tribunais necessitam de uma resposta neutra e compreensível a uma questão concreta relativa às provas. Advogados e defensores criminais mandam verificar tecnicamente os resultados dos exames que se encontram frequentemente disponíveis. Autoridades responsáveis pela aplicação da lei encarregar a recolha de provas e a análise como serviço complementar de peritagem. A empresa investigam incidentes internos, possíveis fugas de dados ou a reconstrução de processos específicos. Seguros exigem o esclarecimento técnico dos sinistros e a verificação de provas digitais. Particulares contactam-nos com perguntas sobre os seus próprios aparelhos e precisam, além disso, de uma explicação compreensível dos resultados.
Limites técnicos
As possibilidades de investigação são limitadas pelo modelo do dispositivo e pela versão do sistema operativo, pelas atualizações de segurança e pela encriptação, pelo estado de bloqueio e pelo estado do dispositivo, pelas eliminações e limpezas da base de dados realizadas, pela utilização posterior ao evento em questão, pelos processos de sincronização, bem como por avarias e danos físicos.
Um aspeto que desempenha um papel especial é o facto de um dispositivo já ter sido desbloqueado uma vez desde a última vez que foi ligado. Antes do primeiro desbloqueio, grande parte dos dados encontra-se encriptada e não é tecnicamente acessível; após o desbloqueio, há mais áreas que se encontram num estado desencriptado. Esta diferença pode determinar que tipo de análise é de todo possível — e constitui uma razão para não reiniciar desnecessariamente um dispositivo após um evento relevante.
Por isso, não é possível garantir a integridade ou o sucesso do processo. Só é possível avaliar com fiabilidade o que é possível alcançar num caso concreto após a análise do dispositivo e da situação em questão. Se existir uma avaria física ou se a prioridade for a reconstrução de dados, poderá ser necessário que a Recuperação de dados a forma mais adequada.
Tecnologias e ferramentas forenses
Para a recolha, extração e análise, são utilizadas ferramentas forenses consagradas, bem como etapas de análise complementares desenvolvidas internamente. A escolha depende do dispositivo, da fonte de dados e do problema em questão – e não o contrário.
A competência técnica não decorre da posse de software, dos logótipos dos parceiros ou dos nomes dos fabricantes, mas sim da análise metódica dos resultados. Os resultados gerados pelas ferramentas são verificados quando se trata de conclusões relevantes para a prova e não são aceites sem verificação.
Perguntas frequentes sobre a análise forense de dispositivos móveis
Como decorre uma investigação forense de dispositivos móveis?
Esclarecer a questão em causa, proteger o equipamento de forma controlada, extrair dados, analisar e correlacionar artefactos, classificar e documentar os resultados. O âmbito de cada etapa depende da questão em causa.
Quanto tempo demora um exame?
Isso depende do dispositivo, do volume de dados, dos procedimentos de segurança e do âmbito da análise. Só poderemos dar uma estimativa fiável após uma análise preliminar – indicar um prazo fixo não seria sério.
É possível recuperar mensagens apagadas?
Às vezes. O sucesso de uma reconstrução depende da encriptação, da gestão da memória, do tempo decorrido e da utilização posterior. Frequentemente, existem vestígios secundários em estruturas secundárias de bases de dados, memórias temporárias ou cópias de segurança. Não há garantias.
É possível analisar um dispositivo bloqueado?
Dependendo do modelo, da versão do sistema operativo e do estado do dispositivo, poderá ser possível desbloquear ou descodificar o dispositivo. Verificamos previamente se isso se aplica ao caso específico.
Em que é que o iPhone e o Android diferem?
O iOS é altamente padronizado e rigorosamente protegido, enquanto o Android é muito heterogéneo. Ambos os aspetos têm um impacto direto nos procedimentos de segurança disponíveis e na previsibilidade dos resultados.
São gerados valores de hash?
Sim, na medida em que for tecnicamente viável. No caso dos dispositivos móveis, nem todos os métodos produzem uma imagem em que o valor hash tenha o mesmo significado que num suporte de dados clássico. Documentamos o que foi gerado e a que se refere.
Qual é a diferença entre um relatório e um parecer?
Um relatório de investigação documenta os resultados e a sua interpretação. Um parecer pericial, por sua vez, responde a uma questão probatória concreta, de uma forma adequada ao processo.
É possível determinar se um dispositivo foi monitorizado?
Os artefactos do sistema, das aplicações e da rede podem fornecer pistas. É possível obter provas, mas não é possível excluir com certeza: se não forem detetadas anomalias, isso significa que não foi possível identificar quaisquer indícios com base nos dados disponíveis.
Respondemos a outras perguntas de forma agrupada em todas as perguntas e respostas sobre análise forense de dispositivos móveis.
Solicitar uma análise forense de dispositivos móveis
Descreva-nos o problema e o estado do aparelho – nós informamo-lo sobre o que é tecnicamente possível e o que não é.
Para uma primeira avaliação, é útil indicar o modelo do dispositivo, a versão do sistema operativo, o estado atual (ligado, bloqueado, danificado), a acessibilidade do dispositivo e uma breve descrição do problema. Não podemos garantir antecipadamente que a extração ou a recuperação sejam bem-sucedidas.