M.E.A.T. - Toolkit zur mobilen Beweismittelsammlung

Lernen Sie M.E.A.T. kennen!

Von Jack Farley - BlackStone Discovery

Dieses Toolkit soll Forensikern helfen, verschiedene Arten von Akquisitionen auf iOS-Geräten (und in Zukunft Android) durchzuführen.

Voraussetzungen für die Ausführung aus dem Quellcode

• Windows oder Linux
• Python 3.7.4 oder 3.7.2
• Pip-Pakete gemäß requirements.txt

Unterstützte Akquisitionsarten

iOS-Geräte

Logisch

Die Verwendung der logischen Akquisitionsflagge in MEAT weist das Tool an, Dateien und Ordner zu extrahieren, die über AFC auf eingeschränkten Geräten zugänglich sind. Der spezifische Ordner, der den Zugriff ermöglicht, ist: \private\var\mobile\Media, der folgende Ordner enthält:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

Dateisystem

Voraussetzungen für iOS-Geräte

• Gejailbreaktes iOS-Gerät
• AFC2 installiert über Cydia

Die Verwendung der Dateisystem-Akquisitionsflagge in MEAT weist das Tool an, den AFC2-Dienst zu starten und alle Dateien und Ordner zurück auf den Host-Rechner zu kopieren.

Diese Methode erfordert, dass das Gerät gejailbreaket ist und das folgende Paket installiert ist:

• Apple File Conduit 2

Diese Methode kann auch vom Benutzer geändert werden, indem der -filesystemPath-Flag verwendet wird, um MEAT anzuweisen, nur bis zu einem bestimmten Ordner zu extrahieren. Dies ist nützlich, wenn Sie eine App-Analyse durchführen und nur die App-Daten möchten.

MEAT-Hilfe

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            zeigt diese Hilfemeldung an und beendet das Programm
  -iOS                  Akquisition auf iOS-Gerät durchführen
  -filesystem           Dateisystem-Akquisition durchführen - 
  -filesystemPath FILESYSTEMPATH
                        Pfad auf dem Zielgerät, der erfasst werden soll. Nur mit dem --filesystem-Argument verwenden.
                        Standardmäßig wird "/" verwendet.
  -logical              Logische Akquisition durchführen
                        iOS - Verwendet AFC, um Zugriff auf eingeschränkte Inhalte zu erhalten
  -md5                  Hash der extrahierten Dateien mit dem MD5-Algorithmus. Ausgabe in Hash_Table.csv
  -sha1                 Hash der extrahierten Dateien mit dem SHA-1-Algorithmus. Ausgabe in Hash_Table.csv
  -o OUTPUTDIR          Verzeichnis zum Speichern der Ergebnisse
  -v                    Ausführlichkeit der Ausgabe erhöhen

Getestete Geräte

iPhone X iOS 13.3 iPhone XS iOS 12.4

Bekannte Probleme

• Erhaltung von Ordner-Zeitstempeln
• Kann die Erstellungszeit von Dateien nur auf Linux nicht erhalten
• iOS 9-Fehler – Habe kein Gerät, um direkt testen zu können

Zukünftige Erweiterungen - nach Priorität

• Nachbearbeitungsprozesse hinzufügen
• Containerisierungsmöglichkeit hinzufügen - ZIP, TAR, AFF4
  • Ich habe versucht, während der Verarbeitung zu containerisieren, aber zipfile und tar erlauben nicht das fortlaufende Anhängen von Blöcken an einzelne Dateien.
• Schlüsselwortsuche während oder nach der Verarbeitung hinzufügen
• Hash-Abgleich während oder nach der Verarbeitung hinzufügen
• Android-Unterstützung hinzufügen (Ein Code kann dies bereits, aber ich habe kein Gerät zum Testen)
• Möglichkeit für Benutzer hinzufügen, Blockgerät für physische Android-Akquisitionen anzugeben
• Unterstützung für iTunes-Backups hinzufügen
• MacOS-Unterstützung hinzufügen (Schreiben Sie mir, wenn Sie dies wünschen!)

Besonderer Dank

• BlackStone Discovery
• pymobiledevice
• Mathieu Renard für die Behebung des iOS 13-Fehlers
• Danke an W.E.