M.E.A.T. - Mobile Evidence Acquisition Toolkit

¡Conoce a M.E.A.T!

De Jack Farley - BlackStone Discovery

Este conjunto de herramientas tiene como objetivo ayudar a los peritos forenses a realizar diferentes tipos de adquisiciones en dispositivos iOS (y Android en el futuro).

Requisitos para ejecutar desde el código fuente

• Windows o Linux
• Python 3.7.4 o 3.7.2
• Paquetes pip indicados en requirements.txt

Tipos de adquisiciones compatibles

Dispositivos iOS

Lógica

Usar la bandera de adquisición lógica en MEAT hará que la herramienta extraiga archivos y carpetas accesibles a través de AFC en dispositivos enjaulados. La carpeta específica que permite el acceso es: \private\var\mobile\Media, que incluye carpetas como:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

Sistema de archivos

Requisitos del dispositivo iOS

• Dispositivo iOS con jailbreak
• AFC2 instalado vía Cydia

Usar la bandera de adquisición del sistema de archivos en MEAT hará que la herramienta inicie el servicio AFC2 y copie todos los archivos y carpetas de vuelta a la máquina anfitriona.

Este método requiere que el dispositivo tenga jailbreak con el siguiente paquete instalado:

• Apple File Conduit 2

Este método también puede ser modificado por el usuario usando la bandera -filesystemPath para indicar a MEAT que extraiga solo hasta una carpeta especificada, útil si estás realizando análisis de aplicaciones y solo deseas los datos de la aplicación.

Ayuda de MEAT

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

Dispositivos probados

iPhone X iOS 13.3 iPhone XS iOS 12.4

Problemas conocidos

• Preservación de marcas de tiempo de carpetas
• No se puede preservar la hora de creación de archivos solo en Linux
• Errores de iOS 9: No tengo el dispositivo, así que no puedo probar directamente

Tareas futuras - Clasificadas

• Añadir postprocesadores
• Añadir capacidad de contenerización - ZIP, TAR, AFF4
  • Intenté contenerizar durante el procesamiento, pero zipfile y tar no permiten seguir añadiendo bloques a archivos individuales
• Añadir búsqueda de palabras clave durante o después del procesamiento
• Añadir coincidencia de hashes durante o después del procesamiento
• Añadir soporte para Android (parte del código ya puede hacer esto, pero no tengo un dispositivo para probar)
• Añadir capacidad para que el usuario especifique el dispositivo de bloque para adquisiciones físicas de Android
• Añadir soporte para copias de seguridad de iTunes
• Añadir soporte para macOS (¡mensajeame si quieres esto!)

Agradecimientos especiales

• BlackStone Discovery
• pymobiledevice
• Mathieu Renard por corregir el error de iOS 13
• Gracias a W.E.