mvt-project/androidqfandroidqf (Android Quick Forensics) ayuda a recopilar rápidamente evidencia forense de dispositivos Android, con el fin de identificar posibles rastros de compromiso.
androidqf (Android Quick Forensics) es una herramienta portátil para simplificar la adquisición de datos forenses relevantes de dispositivos Android.
androidqf tiene como objetivo proporcionar una utilidad multiplataforma simple y portátil para adquirir rápidamente datos de dispositivos Android. Su funcionalidad es similar a mvt-android. Sin embargo, a diferencia de MVT, androidqf está diseñado para que también pueda ser ejecutado fácilmente por usuarios sin conocimientos técnicos. Los datos extraídos por androidqf pueden analizarse con MVT.
Este repositorio es un fork de androidqf mantenido por el Security Lab de Amnistía Internacional. La herramienta androidqf fue desarrollada originalmente por Claudio Guarnieri.
Los binarios ejecutables para Linux, Windows y Mac deberían estar disponibles en la última versión. En caso de que tengas problemas al ejecutar el binario, quizás quieras compilarlo tú mismo.
Este proyecto utiliza GoReleaser para compilaciones y versiones automatizadas. Para compilar localmente:
Instala GoReleaser:
go install github.com/goreleaser/goreleaser/[email protected]
Ejecutar una compilación de snapshot (sin publicar):
./build_locally.sh
Esto creará binarios para todas las plataformas en el directorio dist/, incluido un binario universal para macOS que funciona tanto en Intel como en Apple Silicon.
Todavía puede utilizar el enfoque tradicional del Makefile. Necesitará tener instalado Go 1.26.5+, junto con make, git, unzip y curl. AndroidQF incluye un collector compilado de forma cruzada que se ejecuta en el dispositivo de destino para extraer de forma más fiable información de relevancia forense.
Primero compile el módulo collector:
make collector
Luego compile AndroidQF para su plataforma de elección:
make linux
make darwin
make windows
Estos comandos generarán binarios en una carpeta build/.
Los paquetes de distribución pueden optar por no incluir los binarios de ADB y collector empaquetados compilando con la etiqueta de compilación unbundle:
go build -tags unbundle -o build/
Cuando esta etiqueta está habilitada, androidqf espera:
adb esté disponible en el PATH del sistema./usr/lib/androidqf/android-collector/ usando los nombres que espera
androidqf, como collector_arm y collector_arm64.Los empaquetadores pueden eliminar los recursos binarios incluidos de assets/ antes de compilar,
pero el directorio del paquete assets/ y sus archivos fuente Go deben permanecer presentes.
La compilación unbundle sigue importando el paquete assets, y la compilación fallará
si se elimina todo el directorio assets/.
La imagen de contenedor de la versión se publica en GitHub Container Registry:
docker pull ghcr.io/mvt-project/androidqf:latest
Para recopilar desde un dispositivo Android conectado por USB en Linux, pase el bus USB y monte un directorio de salida:
docker run --rm -it --privileged \
-v /dev/bus/usb:/dev/bus/usb \
-v "$(pwd)/output:/output" \
ghcr.io/mvt-project/androidqf:latest -fast -output /output
También puedes compilar la imagen localmente para una versión publicada:
docker build --build-arg VERSION=1.8.3 -t androidqf .
[!TIP] Consulte Archivos de adquisición para conocer el formato de archivo, los hashes de integridad, el cifrado y el manejo de archivos grandes. Para un diccionario de los archivos recopilados, consulte el diccionario de archivos de salida de AndroidQF de SocialTIC de terceros.
Antes de lanzar androidqf, debe tener el dispositivo Android de destino conectado a su computadora mediante USB, y deberá haber habilitado la depuración USB. Consulte la documentación oficial sobre cómo hacerlo, pero también tenga en cuenta que los teléfonos Android de distintos fabricantes pueden requerir pasos de navegación diferentes a los predeterminados.
Una vez habilitada la depuración USB, puede proceder a lanzar androidqf. Primero intentará conectarse al dispositivo a través del puente USB, lo que debería provocar que el teléfono Android le solicite autorizar manualmente las claves del host. Asegúrese de autorizarlas, idealmente de forma permanente para que la solicitud no vuelva a aparecer.
Ahora androidqf debería estar ejecutándose y creando un archivo zip de adquisición en su directorio de trabajo actual, o en el directorio indicado con -output. En algún momento de la ejecución, androidqf le presentará algunas opciones: estas solicitudes pausarán la adquisición hasta que proporcione una selección, así que preste atención. Cada solicitud también puede responderse de antemano con una opción de línea de comandos; consulte Adquisiciones desatendidas.
Se pueden extraer los siguientes datos: