botherder/androidqfأداة جمع أدلة جنائية محمولة لأجهزة Android تقوم بجمع البيانات ذات الصلة عبر تصحيح USB لتحديد آثار برامج التجسس أو الاختراق المحتملة، مع تشفير اختياري باستخدام age لنقل آمن.
ملاحظة: هذا المشروع لا يتم صيانته حاليًا. يمكن العثور على فرع مستقل تحت مشروع MVT.
androidqf (Android Quick Forensics) هي أداة محمولة لتبسيط جمع البيانات الجنائية ذات الصلة من أجهزة Android.
يجب أن تكون الملفات الثنائية القابلة للتنفيذ لأنظمة Linux وWindows وMac متاحة في الإصدار الأخير. في حال واجهت مشاكل في تشغيل الملف الثنائي، قد ترغب في بنائه بنفسك.
لبناء androidqf ستحتاج إلى تثبيت Go 1.18+. ستحتاج أيضًا إلى تثبيت make. عندما تكون جاهزًا، يمكنك استنساخ المستودع وتشغيل أي من الأوامر التالية، حسب نظامك المختار:
make linux
make darwin
make windows
ستقوم هذه الأوامر بإنشاء ملفات ثنائية في مجلد build/.
قبل تشغيل androidqf، يجب أن يكون جهاز Android الهدف متصلاً بجهاز الكمبيوتر عبر USB، ويجب أن تكون قد فعّلت تصحيح أخطاء USB. يُرجى الرجوع إلى الوثائق الرسمية حول كيفية القيام بذلك، ولكن ضع في اعتبارك أن هواتف Android من شركات مصنعة مختلفة قد تتطلب خطوات تنقل مختلفة عن الإعدادات الافتراضية.
بمجرد تمكين تصحيح أخطاء USB، يمكنك المتابعة لتشغيل androidqf. سيحاول أولاً الاتصال بالجهاز عبر جسر USB، مما يؤدي إلى ظهور رسالة على هاتف Android تطلب منك التفويض يدويًا لمفاتيح المضيف. تأكد من التفويض بها، ويفضل أن يكون بشكل دائم حتى لا يظهر الطلب مرة أخرى.
الآن يجب أن يتم تشغيل androidqf وإنشاء مجلد جمع البيانات في نفس المسار الذي وضعت فيه ملف androidqf الثنائي. في مرحلة ما أثناء التنفيذ، سيعرض androidqf عليك بعض الخيارات: هذه المطالبات ستوقف عملية الجمع حتى تقوم بتحديد خيار، لذا انتبه.
بمجرد اكتمال عملية الجمع، يجب عليك التأكد من تعطيل تصحيح أخطاء USB وخيارات المطور، أو في أي حال استعادة الجهاز إلى تكوينه الأصلي.
حمل نتائج جمع androidqf على محرك أقراص غير مشفر قد يعرضك أنت، بل والأكثر من ذلك من جمعت بياناتهم، لخطر كبير. على سبيل المثال، قد يتم إيقافك على حدود إشكالية ويمكن مصادرة محرك androidqf الخاص بك. قد لا تكشف البيانات الأولية الغرض من رحلتك فحسب، بل من المحتمل أيضًا أن تحتوي على بيانات حساسة جدًا (مثل قائمة التطبيقات المثبتة، أو حتى رسائل SMS).
من الناحية المثالية، يجب أن يكون محرك الأقراص مشفرًا بالكامل، لكن ذلك قد لا يكون ممكنًا دائمًا. يمكنك أيضًا التفكير في وضع androidqf داخل حاوية VeraCrypt وحمل نسخة من VeraCrypt معها لتركيبها. ومع ذلك، فإن حاويات VeraCrypt عادةً ما تكون محمية بكلمة مرور فقط، والتي قد تُجبر على تقديمها.
بدلاً من ذلك، يسمح androidqf بتشفير كل عملية جمع باستخدام مفتاح عام age مقدم. ويفضل أن يكون هذا المفتاح العام جزءًا من زوج مفاتيح لا يمتلك المستخدم النهائي المفتاح الخاص له، أو على الأقل لا يحمله. بهذه الطريقة، لن يتمكن المستخدم النهائي من فك تشفير البيانات المجمعة حتى تحت الإكراه.
إذا وضعت ملفًا باسم key.txt في نفس مجلد الملف التنفيذي androidqf، فسيحاول androidqf تلقائيًا ضغط وتشفير كل عملية جمع وحذف النسخ الأصلية غير المشفرة.
بمجرد استرداد ملف جمع مشفر، يمكنك فك تشفيره باستخدام age على النحو التالي:
$ age --decrypt -i ~/path/to/privatekey.txt -o <UUID>.zip <UUID>.zip.age
ضع في اعتبارك أنه من الممكن دائمًا استرداد جزء على الأقل من البيانات غير المشفرة من خلال تقنيات الطب الشرعي المتقدمة - على الرغم من أننا نعمل على التخفيف من ذلك.
الغرض من androidqf هو تسهيل التحليل الجنائي بالتراضي لأجهزة أولئك الذين قد يكونون أهدافًا لهجمات برامج التجسس المتطورة على الهواتف المحمولة، خاصة أعضاء المجتمع المدني والمجتمعات المهمشة. نحن لا نريد أن يتيح androidqf انتهاكات خصوصية الأفراد غير الموافقين. لذلك، هدف هذا الترخيص هو حظر استخدام androidqf (وأي برنامج آخر مرخص بنفس الطريقة) لغرض الطب الشرعي العدائي.
لتحقيق ذلك، تم إصدار androidqf بموجب ترخيص MVT الإصدار 1.1، وهو تكييف لـ رخصة Mozilla العامة الإصدار 2.0. يتضمن هذا الترخيص المعدل بندًا جديدًا 3.0، "تقييد الاستخدام بالتراضي" الذي يسمح باستخدام البرنامج المرخص (وأي "عمل أكبر" مشتق منه) حصريًا بموافقة صريحة من الشخص/الأشخاص الذين يتم استخراج بياناتهم و/أو تحليلها ("مالك البيانات").