Perícia Android: extração lógica e análise no Autopsy

Antes de conectar o dispositivo, defina o escopo: somente DCIM/Camera, Download e UC15_Evidencias. Registre responsável, data/hora, estado de bloqueio, modelo informado e condição da bateria. Use um aparelho preparado exclusivamente para o curso.

• Confirme que não existem contas, fotografias ou mensagens pessoais.
• Registre o estado antes da habilitação da depuração.
• Documente que o dispositivo foi preparado em laboratório.

No celular de laboratório, prepare os seguintes vestígios:

1. Tire 3 fotos de teste, sem pessoas ou informações identificáveis.
2. Crie a pasta UC15_Evidencias no armazenamento compartilhado.
3. Crie relatorio_interno.txt com a frase fictícia: AlfaTech — controle de inventário de treinamento.
4. Crie ocorrencia.txt com a frase fictícia: Registro de teste — nenhum incidente confirmado.
5. Coloque também um documento fictício em Download.
6. Opcionalmente, tire uma quarta foto e exclua-a antes da coleta para discutir limites de recuperação.

Registre os nomes e a sequência dos procedimentos. A fotografia excluída pode permanecer em lixeira do aplicativo ou não estar mais acessível pelo ADB; não prometa recuperação.

$Amostras = 'C:\UC15_Amostras_Emulador'
New-Item -ItemType Directory -Force -Path $Amostras | Out-Null
'AlfaTech - inventario ficticio UC15' |
  Set-Content "$Amostras\relatorio_interno.txt" -Encoding UTF8
'Registro de teste - sem incidente confirmado' |
  Set-Content "$Amostras\ocorrencia.txt" -Encoding UTF8
& $ADB shell mkdir -p /sdcard/UC15_Evidencias
& $ADB push "$Amostras\relatorio_interno.txt" /sdcard/UC15_Evidencias/
& $ADB push "$Amostras\ocorrencia.txt" /sdcard/UC15_Evidencias/

Baixe o SDK Platform-Tools oficial e extraia, por exemplo, em C:\Ferramentas\platform-tools. Abra o PowerShell.

$ADB = 'C:\Ferramentas\platform-tools\adb.exe'
Test-Path $ADB
& $ADB version

Confirme que Test-Path retorna True. Caso seu caminho seja diferente, altere a variável $ADB.

Alternativa no Kali/Parrot: com autorização para instalar pacotes, use sudo apt install adb e substitua & $ADB por adb nos comandos de inspeção e aquisição.

No Android de laboratório, habilite as opções do desenvolvedor, ative Depuração USB, conecte um cabo de dados e confirme a autorização RSA exibida no aparelho desbloqueado.

& $ADB devices -l

O estado esperado é device. Se aparecer unauthorized, aceite a autorização no celular; se houver vários dispositivos conectados, selecione um número de série específico antes de prosseguir.

& $ADB shell getprop ro.product.manufacturer
& $ADB shell getprop ro.product.model
& $ADB shell getprop ro.build.version.release
& $ADB shell getprop ro.build.version.sdk
& $ADB shell date
Get-Date -Format o
Get-TimeZone

Registre versão, modelo, data e fuso; diferenças entre os relógios devem ser descritas. Não publique o identificador ADB ou identificadores pessoais.

Verifique se os diretórios preparados existem e se a conta de depuração consegue visualizá-los.

& $ADB shell ls -la /sdcard/UC15_Evidencias/
& $ADB shell ls -la /sdcard/Download/
& $ADB shell ls -la /sdcard/DCIM/Camera/

Se algum caminho não existir, registre o erro; diferentes aplicativos podem salvar fotografias em locais diferentes. /sdcard representa o armazenamento compartilhado exposto pelo Android, não todos os dados privados do dispositivo.

Crie a pasta de trabalho no host e faça a coleta somente das três pastas autorizadas.

$Raiz = 'C:\UC15_Android'
New-Item -ItemType Directory -Force -Path `
  "$Raiz\01_Recebimento", `
  "$Raiz\02_Extracao", `
  "$Raiz\03_Relatorios" | Out-Null

& $ADB pull /sdcard/UC15_Evidencias/ "$Raiz\02_Extracao"
& $ADB pull /sdcard/Download/ "$Raiz\02_Extracao"
& $ADB pull /sdcard/DCIM/Camera/ "$Raiz\02_Extracao"

O ADB cria subpastas locais para cada diretório transferido. Registre a saída de cada comando, inclusive mensagens de erro ou quantidades incompletas.

Calcule o SHA-256 de cada arquivo recebido e produza um manifesto CSV. Este será o primeiro conjunto de hashes de referência no computador.

Get-ChildItem "$Raiz\02_Extracao" -File -Recurse |
ForEach-Object {
  $h = (Get-FileHash -LiteralPath $_.FullName -Algorithm SHA256).Hash
  [PSCustomObject]@{
    Caminho = $_.FullName
    TamanhoBytes = $_.Length
    SHA256 = $h
  }
} | Export-Csv "$Raiz\03_Relatorios\manifesto_sha256.csv" `
  -NoTypeInformation -Encoding UTF8

Verifique a quantidade de itens coletados:

Get-ChildItem "$Raiz\02_Extracao" -File -Recurse |
Measure-Object | Select-Object Count

Interpretação: os hashes calculados após o adb pull ajudam a controlar a integridade posterior da coleção recebida. Sem hashes correspondentes da fonte, eles não comprovam sozinhos que os bytes eram idênticos aos armazenados no celular no instante anterior à aquisição.

1. Abra o Autopsy 4 e selecione Create New Case.
2. Informe TSC02_ANDROID_001, número UC15-ANDROID-001 e identificação do examinador.
3. Escolha Add Data Source → Logical Files.
4. Adicione a pasta C:\UC15_Android\02_Extracao como Local files and folders.
5. Selecione módulos disponíveis como File Type Identification e Keyword Search.
6. Examine Data Sources, arquivos TXT, fotografias e a aba Extracted Text, quando disponível.
7. Marque os itens relevantes e registre nome, caminho, tamanho, hash e limitações.

O Autopsy trabalha sobre a pasta de arquivos coletados, e não acessa diretamente a memória livre do Android. Se a importação lógica ignorar determinados horários, não os infira: consulte a documentação da coleta e os metadados disponíveis.

Selecione uma fotografia de teste. Registre nome, tamanho, formato, metadados disponíveis e hash. Dados EXIF como modelo da câmera, data ou GPS podem estar ausentes ou ter sido alterados.

Compare o conjunto efetivamente extraído com o inventário inicial. Caso a fotografia excluída não esteja na coleta, não conclua que foi irrecuperavelmente apagada.

Na ficha abaixo, registre o que foi efetivamente feito: modelo e versão do Android, pastas examinadas, número de arquivos coletados, manifesto SHA-256, achados do Autopsy e limitações. Não atribua autoria pessoal nem alegue recuperação de excluídos sem evidência técnica.

Depois, salve o relatório TXT e, se solicitado, gere uma impressão/PDF pela função de impressão do navegador. Finalizada a atividade, desabilite a depuração USB do dispositivo de laboratório e siga a política de limpeza de dados da instituição.