Autopsia a Whatsapp. Manuel #CyberCamp

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Autopsia a Whatsapp. Manuel #CyberCamp"

Alfredo Guzmán Ramírez
hace 5 años
Vistas:

1 Autopsia a Whatsapp #CyberCamp Manuel

2 id -un Manuel Analista Forense UIT Editor del blog GLIDER.es

3 Análisis Forense en Whatsapp. Por qué?

4 No se puede empezar la casa por el tejado Qué es lo primero que hay que hacer con una evidencia electrónica?

5 No se puede empezar la casa por el tejado Garantizar su integridad!

6 Tratamiento correcto de Evidencias Digitales Son muy volátiles, tanto o más que el ADN, sangre...

7 Qué es la informática forense? Es la aplicación de técnicas científicas y analíticas especializadas a infraestructuras tecnológicas que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

8 Qué es la informática forense? Es la aplicación de técnicas científicas y analíticas especializadas a infraestructuras tecnológicas que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

9 Comenzamos?

10 Como funciona un Smartphone? pila Android by

11 No se ha entendido? No hay problema, lo explico de otra manera mas simple.

12 No se ha entendido? No hay problema, lo explico de otra manera mas simple. magia by

13 Máquina Virtual Sistema habitual de máquinas virtuales JAVA.

14 Máquina Virtual Dalvik Una MV Dalvik por cada app

15 Uso de memoria Dalvik Espacio de memoria aislado por cada app

16 Gestión de propiedad pos usuarios Cada app opera con su propio usuario

17 Gestión de propiedad pos usuarios Cada app opera con su propio usuario

18 Directorios de interes (para Whatsapp) Core de Whatsapp /data/data/com.whatsapp/ Apk de instalación /data/app/com.whatsapp-2.apk BackUp de la BD cifrada /sdcard/whatsapp/databases/ Ficheros multimedia transferidos /sdcard/whatsapp/media/

19 Si, si, todo muy bonito... Pero como accedemos a las bases de datos de Whatsapp?

20 Si, si, todo muy bonito... Pero como accedemos a las bases de datos de Whatsapp? Cada telefono es un mundo, existen numerosas técnicas que hay que valorar utilizar o no.

21 Si, si, todo muy bonito... Pero como accedemos a las bases de datos de Whatsapp? Cada telefono es un mundo, existen numerosas técnicas que hay que valorar utilizar o no. El fin de todo el proceso es acceder a los ficheros con los que opera Whatsapp para poder analizarlos.

22 Si, si, todo muy bonito... Pero como accedemos a las bases de datos de Whatsapp? Cada telefono es un mundo, existen numerosas técnicas que hay que valorar utilizar o no. El fin de todo el proceso es acceder a los ficheros con los que opera Whatsapp para poder analizarlos. Es necesario ir probando del método menos invasivo al mas invasivo.

23 1º Problema: Smartphone bloqueado PIN de la SIM Patrón de desbloqueo PIN de desbloqueo Frase de desbloqueo Reconocimiento Facial Reconocimiento de Huella Digital

24 Solución: PIN de la SIM

25 Solución: PIN de la SIM Sacamos la SIM!

26 Solución: Patrón o PIN de desbloqueo Si es PIN de desbloqueo (4 números) probamos con un método revolucionario y confidencial.

27 Solución: Patrón o PIN de desbloqueo Si es PIN de desbloqueo (4 números) probamos con un método revolucionario y novedoso o 1234

28 Solución: Patrón o PIN de desbloqueo Si es patrón podemos probar con otro método, tambien muy puntero. Papel, boligrafo y:

29 Solución: Patrón o PIN de desbloqueo foto by

30 Otros métodos:

31 Otros métodos:

32 Otros métodos:

33 Aviso para navegantes:

34 Android Debug Bridge: Sistema para conectarnos al dispositivo.

35 Android Debug Bridge: Sistema para conectarnos al dispositivo.

36 PRÁCTICA 1: Conectarnos por ADB al dispositivo.

37 PRÁCTICA 2: Extraer msgstore.db concatenando vs. pull

38 PRÁCTICA 3: Extraer com.whatsapp a través de un gestor

39 PRÁCTICA 3:

40 PRÁCTICA 3:

41 PRÁCTICA 4: Extraer com.whatsapp operando chmod

42 PRÁCTICA 5: Extraer com.whatsapp a través de ADB Backup

43 PRÁCTICA 6: Extraer com.whatsapp a través de Whatsapp Downgrade

44 PRÁCTICA 6: Extraer com.whatsapp a través de Whatsapp Downgrade

PRÁCTICA 6: Extraer BD a través de Whatsapp Downgrade https://www.fwhibbit.

45 PRÁCTICA 6: Extraer BD a través de Whatsapp Downgrade Extractor/zip/master

46 PRÁCTICA 7: Extraer com.whatsapp a través de UFED

47 PRÁCTICA 7: Extraer com.whatsapp a través de UFED + Informe

48 Ahora que ya hemos extraido los ficheros... Comenzaremos a analizarlos. El fichero a priori mas relevante es: "msgstore.db"

49 PRÁCTICA 8: Interpretación base de datos SQLite

50 PRÁCTICA 8: Interpretación base de datos SQLite

51 PRÁCTICA 8: Interpretación base de datos SQLite

52 PRÁCTICA 8:

PRÁCTICA 8: Si queréis saber mas de SQLite: http://www.

jfabello.es/recuperacion-datos-sqlite-iii/ http://www.jfabello.es/recuperacion-datos-sqlite-iv/

53 PRÁCTICA 8: Si queréis saber mas de SQLite:

54 !Al ataque! Llegó el momento de comenzar a analizar BD y Logs de WA.

55 PRÁCTICA 9: Análisis BD msgstore.db de Whatsapp

56 PRÁCTICA 10: Análisis de Whatsapp Web

57 PRÁCTICA 10:

58 PRÁCTICA 12: Análisis de BD location.db

59 PRÁCTICA 13: Análisis de BD axolot.db

60 PRÁCTICA 13: Análisis de BD axolot.db DinoSec-RaulSiles_v1.0.pdf

61 PRÁCTICA 14: Análisis de BD emojidictionary.db

62 PRÁCTICA 14: Emoji hamburguesa Android vs. iphone

63 PRÁCTICA 15: Análisis de BD chat_settings.db

64 PRÁCTICA 16: Análisis de BD wa.db

65 PRÁCTICA 17: Análisis del directorio: Files (Internal)

66 PRÁCTICA 18: Análisis del directorio: Files (External)

67 PRÁCTICA 19: Análisis del Log de Whatsapp

68 PRÁCTICA 19: String: register/phone/cc

69 PRÁCTICA 19: String: msgstore/backup

70 PRÁCTICA 19: String: blocklist

71 PRÁCTICA 19: String: GroupInfo

72 PRÁCTICA 19: String: contact status

73 PRÁCTICA 19: String: WIFI

74 PRÁCTICA 19: Fichero: data/misc/wpa_supplicant.conf

75 PRÁCTICA 19: String: mobile

76 PRÁCTICA 19: String: :53

77 PRÁCTICA 19: String: device/battery

78 PRÁCTICA 19: String: device/battery

79 PRÁCTICA 20: Métodos alteranativos de acceso

80 PRÁCTICA 20: Métodos alteranativos de acceso

81 PRÁCTICA 20: (MÉTODO Poco Forense.) - Whatsapp Downgrade no funciona (Android 7 Nougat o Factory). - No hay posibilidad de rootear el dispositivo. - Necesitamos analizar las BD en profundidad (web, fechas, hash ) - Acceso a la SIM. - Acceso a la SDCARD (Parte pública, no Key) - Disponibilidad de otro terminal físico o virtual rooteado.

82 PRÁCTICA 20: 1.) Copiamos la BD cifrada del móvil original (SDCard)

83 PRÁCTICA 20: 2.) Pegamos la BD cifrada en la misma ruta del teléfono o MV de laboratorio. (SDCard)

84 PRÁCTICA 20: 3.) Comprobamos que no existen rastros de una instalación anterior de Whatsapp en el móvil de Laboratorio.

85 PRÁCTICA 20: 4.) Instalamos Whatsapp en el dispositivo rooteado.

86 PRÁCTICA 20: 5.) Verificamos el número (No hay que tener dentro la SIM).

87 PRÁCTICA 20: 7.) Restauramos la copia de seguridad cifrada.

88 PRÁCTICA 20: 8.) Extraemos la BD y la analizamos normalmente.

89 PRÁCTICA 21: Método alternativo de Salvaguarda.

90 PRÁCTICA 21: 1.) Enviar chat por correo (Sin INTERNET)

91 PRÁCTICA 21: 2.) El fichero.txt con el chat se adjunta a un correo.

92 PRÁCTICA 21: 3.) Volvemos acceder a los Borradores y abrimos con un visor

93 PRÁCTICA 21: 4.) Seleccionamos todo y los copiamos en una ruta accesible.

94 PRÁCTICA 22: Firmado de Evidencias Digitales

95 Sabeis qué es lo mejor de esta charla?

96 Sabeis qué es lo mejor de esta charla? Que posiblemente mañana, todo lo que hoy os he enseñado, ya no sirva para nada.

97 I+D Constante. Espiritu de descubrimiento. Motivación.

Documentos relacionados

Cómo se hizo: El bueno, el feo y el malo. Raúl Siles DinoSec

Cómo se hizo: El bueno, el feo y el malo Raúl Siles DinoSec https://cybercamp.es #CyberCamp15 w w w. d i n o s e c. c o m @ dinosec Raúl Siles r aul @ dinosec.com 2 3 El bueno, el feo y el malo Los dispositivos