Análisis forense con oxygen forensics suite 2012 analyst

2,489 views

Published on

Charla: Análisis Forense con Oxygen Forensic Suite 2012 Analyst, impartida por Antonio Díaz de Informática 64 para el curso de Especialización en Dispositivos Móviles que tuvo lugar en la Facultad de Informática de la Universidad de A Coruña del 20 al 22 de Junio de 2012.

Published in: Technology
0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
2,489
On SlideShare
0
From Embeds
0
Number of Embeds
2
Actions
Shares
0
Downloads
116
Comments
0
Likes
1
Embeds 0
No embeds

No notes for slide

Análisis forense con oxygen forensics suite 2012 analyst

  1. 1. Análisis Forense con Oxigen Forensichttp://www.oxygen-forensic.com/en/
  2. 2. Pasos previos• Tener instalado Oxigen Forensic• Disponer del dongle (dispositivo de seguridad para software) “La mochila” de Oxigen Forensic• Tener instalados los drivers de conexión de Oxigen con el dispositivo a analizar• Tener instalado el driver del dispositivo a analizar.• Tener instalado el driver del cable
  3. 3. Pasos previos• En el administrador de dispositivos debe aparecer el ADB Interface
  4. 4. Conectar un dispositivo
  5. 5. Asistente. Paso 1 - Bienvenida
  6. 6. Asistente. Paso 2 - Conexión• Se indica cómo está conectado – Cable. Con un cable físico, necesaria la instalación del cable mencionada. – Bluetooth. El equipo analizador debe tener un hardware para bluetooth – Infrarrojo. El equipo analizador debe tener un hardware para infrarrojo. Similar a un mando a distancia.
  7. 7. Asistente. Paso 3 - Conexión• Se instala el Oxigen Forensic en el dispositivo móvil• El móvil debe tener – Depuración USB activada – Tener una SDCard con espacio
  8. 8. Asistente. Paso 4 - Conexión• Empieza la conexión real con el teléfono• Si falla normalmente es porque los drivers instalados no son los correctos.
  9. 9. Asistente. Paso 5 - Conexión• Detección del dispositivo• Muestra el modelo y la identificación
  10. 10. Asistente. Paso 1 - Extracción
  11. 11. Asistente. Paso 2 - Extracción• Relleno de información correspondiente al caso – Alias del dispositivo. Es un nombre cualquiera que identifica al dispositivo entre otros. – Número de caso. El nombre identificativo del caso. Se pueden llevar varios casos a la vez. – Número de prueba. Organiza las diversas pruebas que puede haber en un caso. – Propietario de dispositivo. – Algoritmo Hash. El tipo de algoritmo que se utilizará en el cifrado – Inspector. El nombre del que realiza el análisis del dispositivo – Notas de dispositivo: Cualquier información relativa al dispositivo que se considere de interés
  12. 12. Asistente. Paso 2 - Extracción
  13. 13. Asistente. Paso 3 - Extracción• Se insertan los posibles números de teléfono del propietario
  14. 14. Asistente. Paso 4 - Extracción• Permite “rutear” el dispositivo – Es imprescindible para tener acceso total a los datos que muestra – Avisa de que está libre de exploits y software malicioso – Una vez finalizado el análisis el “ruteado” se elimina volviendo el dispositivo a estar como antes.
  15. 15. Asistente. Paso 4 - Extracción
  16. 16. Asistente. Paso 5 - Extracción• Se indica que datos se quieren extraer• Por defecto no se extrae la estructura de archivos.
  17. 17. Asistente. Paso 6 - Extracción
  18. 18. Asistente. Paso 7 - Extracción• Al finalizar la extracción se elige qué hacer con la información extraída: – Se guarda como un archivo con extensión OFB – Se abre el dispositivo con Oxigen Forensic para su análisis – Se exporta a un archivo (pdf, xls, xml, html, …)
  19. 19. Asistente. Paso 7 - Extracción• Exportación de datos a un PDF
  20. 20. Asistente. Paso 7 - Extracción• Exportación de datos a un PDF
  21. 21. Asistente. Paso 7 - Extracción• Exportación de datos a un PDF
  22. 22. Lectura de dispositivo• Se genera una carpeta por cada caso• Dentro de cada caso estarán los dispositivos a analizar
  23. 23. Lectura de dispositivo• El dispositivo se divide en diferentes secciones• Según el dispositivo tendrá más o menos secciones dependiendo del contenido del dispositivo• Cada sección a su vez tiene sus características y algunos subcategorías
  24. 24. Lectura de dispositivo
  25. 25. DemoAnalizar un dispositivo móvil a través del cable
  26. 26. Cargar otro dispositivo• Es posible cargar una copia de seguridad de un dispositivo: – No sería necesario disponer del dispositivo físico – Copia portable a otros analizadores – Oxigen Forensic admite las copias de seguridad más habituales
  27. 27. Cargar otro dispositivo• El proceso es similar al de analizar mediante un dispositivo conectado• Se carga el caso entero, no el dispositivo individual• Una vez cargado se puede asignar un dispositivo de un caso a otro
  28. 28. Cargar otro dispositivo• Oxigen Forensic dispone de varios dispositivos para realizar pruebas• Un caso puede tener varios dispositivos pendientes de analizar• Cada dispositivo se evalúa por separado y tiene sus propias características (inspector, número de prueba, notas, …)
  29. 29. DemoCargar 2 dispositivos a través de dos archivos OFB
  30. 30. Contactos agregados• En esta sección están todas las personas contactadas por el propietario del teléfono. Incluye: – Nombre del contacto – Fotografía (si hubiera) – Origen de los datos (Guía telefónica, WhatsAPP, Facebook, Mensajes…). Es posible mostrar los datos en función de su origen, y “navegar” al origen de los datos para mostrar más información. – Ocupación – Números de teléfono – Direcciones de internet (página web, correo electrónico) – Dirección física – Notas – Datos privados (por ejemplo fecha de cumpleaños) – Método de encriptación utilizado
  31. 31. Contactos agregados• Acciones posibles – Agrupar y desagrupar diferentes contactos en un solo grupo. (Esta opción es reversible) – Copiar un contacto o grupo de contactos al portapapeles – Exportar un contacto o grupo de contactos a un archivo externo
  32. 32. Guía telefónica• Agenda. Muestra información acerca de los contactos disponibles en el teléfono (móvil, SIM, …). Incluye más o menos los mismos datos que los “Contactos agregados”• El programa también muestra la fecha de la última modificación del contacto que puede ser muy útil en la investigación. La funcionalidad está disponible para smartphones Symbian OS.• Cada contacto se puede ver en detalle en un panel especial que aparece al hacer doble clic en un contacto.• Filtro rápido que permite encontrar un elemento necesario por cualquier letra o cifra en unos segundos.• La sección cuenta con las exportaciones y los botones de impresión en la barra de herramientas que permiten exportar, imprimir y visualizar la información cuando la necesite (incluidas las fotos).
  33. 33. Guía telefónica
  34. 34. Guía telefónica con filtro• Se ha filtrado por green street• Se quita el filtro rápidamente en el botón “Reiniciar los Filtros”
  35. 35. Mensajes• Una sección de mensajes que da acceso a SMS, MMS y mensajes de correo electrónico (con los archivos adjuntos) en el teléfono• Cada mensaje puede ser visto en detalle en un panel especial que aparece al hacer doble clic en un mensaje.• Incorpora un filtro rápido permite encontrar un elemento necesario por cualquier letra o cifra en unos segundos.• La sección cuenta con las exportaciones y los botones de impresión en la barra de herramientas que permiten exportar, imprimir y visualizar la información cuando la necesite.• En función del tipo de mensaje muestra un icono u otro que ayuda a su identificación• Muestra los mensajes que se han eliminado una vez desde el teléfono.
  36. 36. Mensajes• Se pueden establecer distintos filtros en algunos apartados.
  37. 37. Calendario• El calendario muestra información sobre todos los tipos de eventos (reuniones, cumpleaños, notas, llamadas, etc), incluyendo los eventos recurrentes.• En smartphones Symbian OS se muestra también la última actualización que puede ser útil durante una investigación.• Cada evento puede ser visto en detalle en un panel especial que aparece al hacer doble clic en un evento.• Un filtro rápido permite encontrar artículos por escribir letras o caracteres momentáneamente.• La sección cuenta con las exportaciones y los botones de impresión. El comando de impresión es compatible con la vista previa de impresión.
  38. 38. Registro del evento• Muestra las llamadas, mensajes, paquetes de datos y llamadas FaceTime de los dispositivos• Puede mostrar los SMS que se eliminaron previamente desde el teléfono.• Un filtro rápido permite localizar rápidamente un tema escribiendo una cadena• Hay botones de exportación y de impresión en la barra de herramientas que permite a la exportación, la información de impresión y vista previa.• Los dispositivos iPhone redondean la duración de la llamada a incrementos de minutos completos. Los segundos no se muestran y las marcas de tiempo estarán en UTC
  39. 39. Registro del evento
  40. 40. DemoCargar un dispositivo IPhone a través de un archivo OFB
  41. 41. Explorador de archivos• El Explorador de archivos muestra los archivos de la galería (como imágenes, videos, canciones, etc), documentos, a plicaciones y otra información.• Hay varias pestañas en el explorador de archivos que permiten extraer información por grupos• Los datos se acompaña con información de geolocalización, donde esté disponible.• Los filtros personalizados son más numerosos que en las otras opciones. Además de crear filtros propios.
  42. 42. Explorador de archivos - Visor• Oxigen soporta Hex, texto, Unicode UTF-8, medios de comunicación y puntos de vista de archivos Web.• También existe el modo de detección automática disponible que selecciona automáticamente el punto de vista adecuado para un archivo• Más de 50 codificaciones están disponibles para HEX, texto, Unicode y UTF-8 puntos de vista.• Es posible ajustar el texto y buscar en el archivo (en formato de texto, HEX, etc) hacia adelante y hacia atrás.
  43. 43. Explorador de archivos – Google Earth• Se puede exportar un elemento a Google Earth para ver la geolocalización• No todos los archivos tienen coordenadas de geolocalización• Las coordenadas se pueden guardar también en un archivo KMZ compatible con Google Earth.• Otra opción es verlo directamente en Google Maps a través de las coordenadas
  44. 44. Explorador de archivos – Otros paneles• Exif – Almacena la información EXIF ​incrustada en la imagen. Incluye la longitud y la latitud.• Xmp – Muestra información de la imagen en el formato de Adobe XMP (Extensible Metadata) – Mantiene la MCC, MNC, LAC y la información de identificación de la célula única.• Cell info – Información tomada de LifeBloog – Una aplicación especial está pre-instalada en muchos smartphones Symbian OS.• Si las tres fuentes anteriores están disponibles, todos se muestran en el panel de posicionamiento geográfico.• Información del objeto muestra las principales características del objeto seleccionado.• Tareas de archivos y carpetas presenta accesos directos a algunas operaciones básicas, como las propiedades, opción de guardar el archivo o de buscar con una máscara
  45. 45. Explorador de archivos – SQLite• Hay que verla con un visualizador especial – SQLite Database Viewer de Oxigen Forensic – Se puede exportar la base de datos y abrirla con otro como SQLite Manager• SQLite Database Viewer explora archivos de base de datos con las extensiones: Sqlite, sqlitedb, db, DB3....• Estos archivos contienen la información acerca de SMS, notas, llamadas, caché de aplicaciones, la información de correo de voz, etc• SQLite Database Viewer se puede iniciar desde el menú Herramientas del programa.
  46. 46. Explorador de archivos – Filtros• La cantidad de filtros por defecto es mayor• Cada filtro tiene una serie de extensiones propias• No se pueden cambiar las extensiones de los filtros por defecto• Es posible crear filtros personalizados a los que añadir nuevas extensiones o mezclar extensiones ya existentes.
  47. 47. UTC (Universal Time Coordinated)• Es el tiempo de la zona horaria de referencia respecto a la cual se calculan todas las otras zonas del mundo• A partir de 1972 sucede al GMT (Greenwich Meridian Time)• Se basa en relojes atómicos y no en la posición del sol• En España (excepto Canarias) su valor es UTC+1 y UTC+2 en verano• Se utiliza para tener una referencia horaria común en todo el mundo
  48. 48. UTC (Universal Time Coordinated)• Se muestra la hora actual del sistema• Muestra la hora UTC que corresponde a la hora actual• Es posible crear varias zonas horarias con su correspondiente hora• Cada hora añadida se muestra luego en cada archivo o carpeta que tenga establecida una fecha
  49. 49. Conexiones Web y Localización• Muestra el historial de las conexiones Web (Wi-Fi, GPRS, LTE)• Muestra también el lugar donde se utilizó Internet en el mapa.• El panel lateral permite recalcular posicionamientos basados en Google• Según el dispositivo y los elementos que contenga varían los datos a mostrar• En general se presenta la información acerca de toda la actividad de la red del dispositivo. La sección es compatible con dispositivos Apple y Android OS.• El iPhone debe tener iOS 4 o superior.• Hay dos modos de visualización para la ficha Ubicaciones – Modo original: Muestra la cantidad de puntos en el dispositivo. – Modo promedio: Se hace una media entre los datos de la célula y la ubicaciones Wi-Fi y muestra el lugar aproximado de la media de los puntos.
  50. 50. Conexiones Web y Localización – Conexiones WI-FI• Muestra diversa información correspondiente a la conexión WI-FI establecida: – SSID es el nombre de la red inalámbrica a la que se conectó – BSSID es la dirección MAC del punto de acceso – Última conexión – Coordenadas geográficas del lugar donde la conexión se estableció. – Exactitud en metros de la posición – Pais, ciudad y calle donde se estableció la conexión WiFi. – Los valores en amarillo indican que los datos recibidos son desde el servidor de Google.
  51. 51. Conexiones Web y Localización – Conexiones IP• Muestra diversa información correspondiente a la conexión IP establecida: – Cuando un propietario de dispositivo utiliza la conexión a Internet la dirección IP se guarda – De esta dirección se extrae: • Dirección DNS, dirección MAC, dirección VPN, tiempo de conexión en base a GMT 0 • Nombre del país, región, ciudad, código postal, latitud, longitud del proveedor • La información detallada proveedor se presenta en el panel especial a la izquierda
  52. 52. Diccionarios• Permite revisar el vocabulario propietario del dispositivo• Muestra todas las palabras que ha tecleado el usuario en los mensajes del dispositivo, en las notas y el calendario por orden alfabético, en orden cronológico, o por la frecuencia.• No son las palabras del diccionario sistema, sino que representan las palabras de uso más frecuente del usuario• La sección Diccionarios posibilita recuperar el contenido de los mensajes y las notas que fueron eliminados por el usuario, ya que las palabras del diccionario se mantienen en el teléfono, incluso después de que el mensaje original o una nota se hayan eliminado.• El análisis de vocabulario de usuario es en la actualidad sólo es posible para Apple y Android OS.• En los dispositivos IOS de Apple, los marcadores individuales representarán a diferentes idiomas.• Los datos se muestran en 2 columnas: – Orden: Muestra las palabras en el orden en que se escribieron – Frecuencia: Muestra la cantidad de veces que aparece cada palabra.• Se pueden simular las frases. El programa utiliza las palabras más frecuentes y las muestra en forma de frase, insertando delante y detrás de la palabra seleccionada las siguientes que encuentra en la lista.
  53. 53. Línea de tiempo cronológica• Resume todos los eventos de teléfono en un orden cronológico, incluye los eventos en el calendario, tareas, SMS, MMS, correo electrónico, archivos de mensajes, llamadas, geo caché de web, conexiones Wi-Fi, correo de voz de los dispositivos de Apple y las comunicaciones de Skype.• A través de filtros permite concentrarse en el análisis de los datos necesarios solamente.• En el panel de la izquierda se muestra información de registro de la actividad, y también la información del contacto relevante con la que está conectado.• Se pueden mostrar los datos en distintas fichas según la información que se quiera recabar: – Listado – Fecha – Equipo Remoto – Contacto – Geo data
  54. 54. Línea de tiempo cronológica - Listado• Se presentan todos los eventos en una lista.• Se pueden ordenar de diferentes maneras en función del dato a mostrar: – Tipo de evento – Fecha de la vista. – Remote Party. Hace referencia a la ubicación remota del evento. – Descripción• Además hay filtros laterales para ver los datos según: – Fechas concretas, tanto antes como después de un evento a seguir – Contactos, dentro de cada uno se puede analizar por un teléfono en concreto o correo electrónico• También es posible incluir eventos de calendario, aunque estos pueden tener diversa periodicidad.
  55. 55. Aplicaciones• Muestra todas las aplicaciones instaladas• Esta sección sólo está disponible para los dispositivos de Apple y Android OS con licencia de desarrollador.• La cantidad de datos que se muestran para el iPhone depende de lo siguiente: – Si el teléfono ha sido desbloqueado – La versión del firmware• Se muestran los siguientes datos: – Identificador : Nombre único de la aplicación – Versión – Fecha de compra: La fecha en que la aplicación se ha descargado desde la tienda – Género: Categoría de la aplicación – Tipo de aplicación: Muestra si la aplicación es del sistema o del usuario – Copyright – Contenedor: Lugar del dispositivo donde se encuentra la aplicación• La pestaña “Actividad de aplicaciones” muestra la fecha y hora en que se pusieron en marcha las actividades, así como sus propiedades.
  56. 56. Servicios de Google• Google Mail y Google Calendar – La sección de correo de Google permite investigar las cuentas de Gmail registradas en el dispositivo. La función sólo está disponible para Apple iOS y Android OS dispositivos a los usuarios de licencias de analistas. Android OS dispositivos debe erradicarse con Android enraizamiento add-on para mostrar esta información. – Oxygen Forensic Suite determina automáticamente los archivos que pertenecen a la aplicación de correo de Google. El acceso a analizar los datos en bruto está disponible. Los grupos folliwing se muestran: · Contactos · Las Conversaciones · Mensajes• La sección de Google Maps muestra el historial de búsqueda Google mapa y marcadores almacenados acompañados con sus direcciones completas y coordenadas. Esta aplicación Nokia Maps viene preinstalado en todos los dispositivos Apple iOS, y se actualiza periódicamente por el dispositivo tan pronto como una nueva actualización esté disponible.
  57. 57. Web browser caché analyzer• Permite extraer información de los navegadores con los que se ha accedido a Internet• Dependiendo del dispositivo será un navegador u otro (navegador por defecto, Firefox, dolphin, …)• En función del navegador y de lo realizado con el mismo devuelve diversa información:  Cuentas  Cookies  Datos descargados  Thumbnails  Marcadores  Geolocalización  Datos de formulario  Contraseñas  Historial web
  58. 58. Otras herramientas• Además de las ya mencionadas, Oxigen incorpora otras herramientas que en función del dispositivo y su actividad se mostrarán o no.• Muchas sólo están disponiblea para los dispositivos de Apple y Android OS con licencia de desarrollador.• Muchas de ellas se incorporan a otros apartados como «Línea de tiempo – Cronología»• Algunas herramientas se utilizan con alguna aplicación en concreto como por ejemplo Dropbox• Entre ellas destacan: – Yahoo Services. Similar a los servicios de Google ya mostrados pero correspondientes a Yahoo, como Yahoo Mail o Yahoo Messenger – Social Networks: Hace referencia a las redes sociales como Facebook o Twitter. – Messenger: La mensajería de este tipo que ha utilizado el usuario, como el Yahoo Messenger mencionado, Whatspp o Skype
  59. 59. Otras herramientas - Yahoo mail
  60. 60. Otras herramientas - Yahoo Messenger
  61. 61. Otras herramientas - Foursquare
  62. 62. Otras herramientas - Facebook
  63. 63. Otras herramientas - Whatsapp
  64. 64. Otras herramientas - Skipe
  65. 65. Otras herramientas - Dropbox
  66. 66. Key Evidence• Muestra los eventos marcados como importantes por el analista.• Cuando en algunas secciones (Calendario, Mensajes, Notas, …), se encuentra información relevante de ser analizada, se marca el icono correspondiente (una bandera roja)• Los datos marcados aparecen juntos en la ventana Key Evidence y el analista puede ir evaluando la información que considera importante• El analista puede ir añadiendo sus propias conclusiones en cada dato analizado• Desde esta misma ventana se pueden desmarcar elementos que ya no se consideran importantes y filtrar por los datos mostrados en las celdas
  67. 67. Evidencia en CalendarioEvidencia en Guía TelefónicaEvidencia enConexiones Web yServicios deUbicación
  68. 68. Key Evidence
  69. 69. Key Evidence
  70. 70. FIN

×