M.E.A.T. - Kit di Acquisizione di Prove Mobili

Incontra M.E.A.T!

Di Jack Farley - BlackStone Discovery

Questo kit mira ad aiutare i forensici a eseguire diversi tipi di acquisizioni su dispositivi iOS (e Android in futuro).

Requisiti per eseguire dal sorgente

• Windows o Linux
• Python 3.7.4 o 3.7.2
• Pacchetti Pip elencati in requirements.txt

Tipi di Acquisizioni Supportati

Dispositivi iOS

Logica

Usando il flag di acquisizione logica su MEAT si istruisce lo strumento a estrarre i file e le cartelle accessibili tramite AFC su dispositivi bloccati. La cartella specifica che permette l'accesso è: \private\var\mobile\Media, che include cartelle come:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

Filesystem

Prerequisiti del Dispositivo iOS

• Dispositivo iOS jailbroken
• AFC2 installato tramite Cydia

Usando il flag di acquisizione del filesystem su MEAT si istruisce lo strumento ad avviare il servizio AFC2 e copiare tutti i file e le cartelle sulla macchina host.

Questo metodo richiede che il dispositivo sia jailbroken con il seguente pacchetto installato:

• Apple File Conduit 2

Questo metodo può anche essere modificato dall'utente usando il flag -filesystemPath per istruire MEAT a estrarre solo fino a una cartella specificata, utile se si sta facendo analisi di app e si vogliono solo i dati dell'app.

Aiuto di MEAT

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

Dispositivi testati su

iPhone X iOS 13.3 iPhone XS iOS 12.4

Problemi noti

• Conservazione dei timestamp delle cartelle
• Impossibile preservare il tempo di creazione dei file solo su Linux
• Bug su iOS 9 - Non ho un dispositivo, quindi non posso testare direttamente

Cose da fare in futuro - In ordine di priorità

• Aggiungere post-processori
• Aggiungere la possibilità di containerizzare - ZIP, TAR, AFF4
  • Ho provato a containerizzare durante l'elaborazione, ma zipfile e tar non mi permettono di continuare ad aggiungere blocchi a file individuali
• Aggiungere ricerca per parole chiave durante o dopo l'elaborazione
• Aggiungere corrispondenza hash durante o dopo l'elaborazione
• Aggiungere supporto Android (Parte del codice può già farlo, ma non ho un dispositivo per testarlo)
• Aggiungere la possibilità per l'utente di specificare il dispositivo a blocchi per acquisizioni fisiche Android
• Aggiungere supporto per backup iTunes
• Aggiungere supporto per macOS (scrivimi se lo vuoi!)

Ringraziamenti Speciali

• BlackStone Discovery
• pymobiledevice
• Mathieu Renard per aver risolto il bug di iOS 13
• Grazie W.E.