androidqf

androidqf (Android Quick Forensics) هي أداة محمولة لتبسيط الحصول على البيانات الجنائية ذات الصلة من أجهزة أندرويد.

androidqf تهدف إلى توفير أداة بسيطة ومحمولة عبر المنصات للحصول بسرعة على البيانات من أجهزة أندرويد. وهي مشابهة في الوظيفة لـ mvt-android. ومع ذلك، وعلى عكس MVT، صُممت androidqf لتكون سهلة الاستخدام حتى من قبل المستخدمين غير التقنيين. يمكن تحليل البيانات المستخرجة بواسطة androidqf باستخدام MVT.

هذا المستودع هو شوكة من androidqf التي يديرها مختبر الأمن في منظمة العفو الدولية. تم تطوير أداة androidqf في الأصل بواسطة Claudio Guarnieri.

تنزيل androidqf

بناء

يجب أن تكون الملفات الثنائية القابلة للتنفيذ لأنظمة Linux وWindows وMac متاحة في الإصدار الأحدث. في حال واجهت مشاكل في تشغيل الملف الثنائي، قد ترغب في بنائه بنفسك.

البناء باستخدام GoReleaser (موصى به)

يستخدم هذا المشروع GoReleaser للبناء الآلي والإصدارات. للبناء محلياً:

1. تثبيت GoReleaser:

   root@kitploit:~

   go install github.com/goreleaser/goreleaser@latest
   

2. تشغيل بناء لقطة (بدون نشر):

   root@kitploit:~

   ./build_locally.sh
   

سينشئ هذا ملفات ثنائية لجميع المنصات في مجلد dist/، بما في ذلك ملف ثنائي عالمي لـ macOS يعمل على كل من Intel و Apple Silicon.

البناء باستخدام Make (قديم)

يمكنك الاستمرار في استخدام نهج Makefile التقليدي. ستحتاج إلى تثبيت Go 1.23+، بالإضافة إلى make و git و unzip و wget. يتضمن AndroidQF وحدة collector مترجمة عبر المنصات تعمل على الجهاز الهدف لاستخراج المعلومات الجنائية ذات الصلة بشكل أكثر موثوقية.

أولاً، قم ببناء وحدة collector:

make collector

ثم قم بتجميع AndroidQF للنظام الأساسي الذي تختاره:

make linux
make darwin
make windows

ستنشئ هذه الأوامر ملفات ثنائية في مجلد build/.

البناء لحزم التوزيع دون الأصول المضمنة

يمكن لحزم التوزيع اختيار عدم تضمين ملفات ADB و collector الثنائية المضمنة عن طريق البناء باستخدام علامة البناء unbundle:

go build -tags unbundle -o build/

عند تمكين هذه العلامة، تتوقع androidqf:

• أن يكون adb متاحاً من PATH النظام.
• أن يتم تثبيت الملفات الثنائية لـ collector تحت /usr/lib/androidqf/android-collector/ باستخدام الأسماء التي تتوقعها androidqf، مثل collector_arm و collector_arm64.

يمكن للمُحزمين إزالة الأصول الثنائية المضمنة من assets/ قبل البناء، لكن يجب أن يظل مجلد الحزمة assets/ وملفات Go المصدرية الخاصة به موجودة. لا يزال بناء unbundle يستورد حزمة assets، وسيفشل البناء إذا تم حذف مجلد assets/ بالكامل.

صورة الحاوية

يتم نشر صورة حاوية الإصدار إلى GitHub Container Registry:

docker pull ghcr.io/mvt-project/androidqf:latest

للتجميع من جهاز Android متصل بمنفذ USB على Linux، قم بتمرير ناقل USB وتثبيت مجلد الإخراج:

docker run --rm -it --privileged \
  -v /dev/bus/usb:/dev/bus/usb \
  -v "$(pwd)/output:/output" \
  ghcr.io/mvt-project/androidqf:latest -fast -output /output

يمكنك أيضاً بناء الصورة محلياً لإصدار معين:

docker build --build-arg VERSION=1.8.3 -t androidqf .

كيفية الاستخدام

[!TIP] راجع أرشيفات الاستحواذ لتنسيق الأرشيف، ومجموع التجزئة، والتشفير، ومعالجة الملفات الكبيرة. للحصول على قاموس للملفات المجمعة، راجع قاموس مخرجات AndroidQF من SocialTIC (جهة خارجية).

قبل تشغيل androidqf، يجب أن يكون جهاز Android الهدف متصلاً بجهاز الكمبيوتر الخاص بك عبر USB، ويجب أن تكون قد قمت بتمكين تصحيح أخطاء USB. يُرجى الرجوع إلى التوثيق الرسمي حول كيفية القيام بذلك، لكن ضع في اعتبارك أن هواتف Android من مختلف الشركات المصنعة قد تتطلب خطوات تنقل مختلفة عن الافتراضية.

بمجرد تمكين تصحيح أخطاء USB، يمكنك المتابعة لبدء تشغيل androidqf. ستقوم أولاً بمحاولة الاتصال بالجهاز عبر جسر USB، مما سيؤدي إلى ظهور رسالة على هاتف Android تطلب منك منح الثقة لمفاتيح المضيف يدوياً. تأكد من منح الثقة، ويفضل أن يكون ذلك بشكل دائم حتى لا تظهر الرسالة مرة أخرى.

الآن يجب تشغيل androidqf وإنشاء أرشيف مضغوط للاستحواذ في مجلد العمل الحالي، أو في المجلد المقدم مع -output. في مرحلة ما أثناء التنفيذ، ستطلب منك androidqf بعض الخيارات: هذه الطلبات ستوقف عملية الاستحواذ إلى أن تقوم بالتحديد، لذا انتبه.

يمكن استخراج البيانات التالية:

يحتوي كل استحواذ أيضاً على acquisition.json و command.log عند إخراج السجل، و hashes.csv. تسجل قائمة التجزئة ملخص SHA-256 لكل إدخال أرشيف نصي سابق ولا تتضمن نفسها. لا يتم تسجيل عمليات سحب الجهاز الفاشلة كإدخالات أرشيف. راجع أرشيفات الاستحواذ للتفاصيل.

حول جمع البيانات الاختيارية

النسخ الاحتياطي

الخيارات التالية تُعرض عند تشغيل مجموعة androidqf:

Would you like to take a backup of the device?
...
? Backup:
  ▸ Only SMS
    Everything
    No backup

تشير هذه الخيارات إلى البيانات التي تم جمعها من الجهاز عن طريق تشغيل أمر adb backup في الخلفية. إذا تم تحديد No backup، فلن يتم تشغيل أمر adb backup.

تنزيل نسخ من التطبيقات

Would you like to download copies of all apps or only non-system ones?

? Download:
  ▸ All
    Only non-system packages
    Do not download any

سجلات الاختراق

Would you like to take the Intrusion Logs of the device?

? Intrusion Logs:
  ▸ Yes
    No

التشفير والتهديدات المحتملة

حمل مكتسبات androidqf على محرك أقراص غير مشفر قد يعرضك أنت، والأكثر من ذلك الأشخاص الذين حصلت على بياناتهم، لخطر كبير. على سبيل المثال، قد يتم إيقافك عند حدود إشكالية ويتم مصادرة محرك أقراص androidqf الخاص بك. قد لا تكشف البيانات الأولية غرض رحلتك فحسب، بل ستحتوي أيضاً على بيانات حساسة للغاية (على سبيل المثال قائمة التطبيقات المثبتة، أو حتى رسائل SMS).

من الناحية المثالية، يجب أن يكون محرك الأقراص مشفراً بالكامل، لكن هذا قد لا يكون ممكناً دائماً. يمكنك أيضاً التفكير في وضع androidqf داخل حاوية VeraCrypt وحمل نسخة من VeraCrypt لتركيبها. ومع ذلك، عادةً ما تكون حاويات VeraCrypt محمية بكلمة مرور فقط، قد تُجبر على تقديمها.

بدلاً من ذلك، تسمح androidqf بتشفير كل استحواذ باستخدام مفتاح عام age المقدم. من الأفضل أن يكون هذا المفتاح العام جزءاً من زوج مفاتيح لا يمتلك المستخدم النهائي المفتاح الخاص له، أو على الأقل لا يحمله. بهذه الطريقة، لن يتمكن المستخدم النهائي من فك تشفير البيانات المكتسبة حتى تحت الإكراه.

androidqf تقوم ببث كل استحواذ إلى أرشيف مضغوط. إذا قمت بوضع ملف يسمى key.txt في مجلد العمل الحالي، ستقوم androidqf بتشفير تدفق الأرشيف باستخدام age وكتابة <UUID>.zip.age؛ وإلا، فستكتب ملف <UUID>.zip غير مشفر. تتحقق androidqf أيضاً من وجود key.txt في نفس مجلد الملف القابل للتنفيذ؛ إذا كان كلا الملفين موجودين، فإن مجلد العمل الحالي له الأسبقية.

لا تنشئ المكتسبات المشفرة أرشيف استحواذ نصي. يتم تخزين ملفات الجهاز التي يجب التحقق منها قبل إضافتها إلى أرشيف مشفر مؤقتاً بتشفير موثق ChaCha20-Poly1305. راجع أرشيفات الاستحواذ لتدفق البيانات الكامل وسلوك APK الكبير.

بمجرد استرداد ملف استحواذ مشفر، يمكنك فك تشفيره باستخدام age كما يلي:

$ age --decrypt -i ~/path/to/privatekey.txt -o <UUID>.zip <UUID>.zip.age

ضع في اعتبارك أنه من الممكن دائماً استرداد جزء على الأقل من البيانات غير المشفرة من خلال تقنيات جنائية متقدمة - على الرغم من أننا نعمل على التخفيف من ذلك.

الترخيص

الغرض من androidqf هو تسهيل التحليل الجنائي القائم على الموافقة لأجهزة أولئك الذين قد يكونون أهدافاً لهجمات برامج التجسس المتنقلة المتطورة، خاصة أعضاء المجتمع المدني والمجتمعات المهمشة. لا نريد أن تمكن androidqf انتهاكات الخصوصية للأفراد غير الموافقين. لذلك، فإن الهدف من هذا الترخيص هو حظر استخدام androidqf (وأي برنامج آخر مرخص بنفس الطريقة) لغرض التحليل الجنائي العدائي.

لتحقيق ذلك، تم إصدار androidqf بموجب ترخيص MVT الإصدار 1.1، وهو تكيف لـ رخصة Mozilla العامة الإصدار 2.0. يتضمن هذا الترخيص المعدل بنداً جديداً 3.0، "تقييد الاستخدام القائم على الموافقة" الذي يسمح باستخدام البرنامج المرخص (وأي "عمل أكبر" مشتق منه) فقط بموافقة صريحة من الشخص/الأشخاص الذين يتم استخراج و/أو تحليل بياناتهم ("مالك البيانات").