mvt-project/androidqfandroidqf (Android Quick Forensics) aiuta a raccogliere rapidamente prove forensi da dispositivi Android, al fine di identificare potenziali tracce di compromissione.
androidqf (Android Quick Forensics) è uno strumento portatile per semplificare l'acquisizione di dati forensi rilevanti da dispositivi Android.
androidqf è pensato per fornire un'utility semplice e portatile multipiattaforma per acquisire rapidamente dati da dispositivi Android. È simile per funzionalità a mvt-android. Tuttavia, a differenza di MVT, androidqf è progettato per essere facilmente utilizzato anche da utenti non esperti di tecnologia. I dati estratti da androidqf possono essere analizzati con MVT.
Questo repository è un fork di androidqf mantenuto dal Security Lab di Amnesty International. Lo strumento androidqf è stato originariamente sviluppato da Claudio Guarnieri.
I binari eseguibili per Linux, Windows e Mac dovrebbero essere disponibili nell'ultima release. Nel caso in cui si abbiano problemi nell'esecuzione del binario, si potrebbe volerlo compilare da soli.
Questo progetto utilizza GoReleaser per compilazioni e release automatizzate. Per compilare localmente:
Installa GoReleaser:
go install github.com/goreleaser/goreleaser@latest
Esegui una compilazione snapshot (senza pubblicazione):
./build_locally.sh
Questo creerà binari per tutte le piattaforme nella directory dist/, incluso un binario universale per macOS che funziona sia su Intel che su Apple Silicon.
È ancora possibile utilizzare l'approccio tradizionale del Makefile. Sarà necessario avere Go 1.23+ installato, insieme a make, git, unzip e wget. AndroidQF include un collector cross-compilato che viene eseguito sul dispositivo target per estrarre in modo più affidabile le informazioni forensi rilevanti.
Prima compila il modulo collector:
make collector
Poi compila AndroidQF per la piattaforma desiderata:
make linux
make darwin
make windows
Questi comandi genereranno binari in una cartella build/.
I pacchetti di distribuzione possono escludere l'incorporamento dei binari ADB e collector pre-confezionati compilando con il tag di build unbundle:
go build -tags unbundle -o build/
Quando questo tag è abilitato, androidqf si aspetta:
adb sia disponibile dal PATH di sistema./usr/lib/androidqf/android-collector/ usando i nomi previsti da androidqf, come collector_arm e collector_arm64.I pacchettizzatori possono rimuovere gli asset binari pre-confezionati da assets/ prima della compilazione, ma la directory del pacchetto assets/ e i suoi file sorgente Go devono rimanere presenti. La build con unbundle importa ancora il pacchetto assets, e la compilazione fallirà se l'intera directory assets/ viene eliminata.
L'immagine container della release è pubblicata su GitHub Container Registry:
docker pull ghcr.io/mvt-project/androidqf:latest
Per raccogliere dati da un dispositivo Android collegato tramite USB su Linux, passa attraverso il bus USB e monta una directory di output:
docker run --rm -it --privileged \
-v /dev/bus/usb:/dev/bus/usb \
-v "$(pwd)/output:/output" \
ghcr.io/mvt-project/androidqf:latest -fast -output /output
Puoi anche compilare l'immagine localmente per una versione rilasciata:
docker build --build-arg VERSION=1.8.3 -t androidqf .
[!SUGGERIMENTO] Consulta Archivi di acquisizione per il formato dell'archivio, gli hash di integrità, la crittografia e la gestione di file di grandi dimensioni. Per un dizionario dei file raccolti, consulta il dizionario dei file di output di AndroidQF di terze parti SocialTIC.
Prima di avviare androidqf è necessario avere il dispositivo Android target collegato al computer tramite USB e aver abilitato il debug USB. Fare riferimento alla documentazione ufficiale su come fare, ma tenere presente che i telefoni Android di diversi produttori potrebbero richiedere passaggi di navigazione diversi rispetto a quelli predefiniti.
Una volta abilitato il debug USB, puoi procedere ad avviare androidqf. Tenterà prima di connettersi al dispositivo tramite il ponte USB, il che dovrebbe far sì che il telefono Android ti richieda di autorizzare manualmente le chiavi dell'host. Assicurati di autorizzarle, idealmente in modo permanente in modo che la richiesta non appaia più.
Ora androidqf dovrebbe essere in esecuzione e creare un archivio zip di acquisizione nella directory di lavoro corrente, o nella directory fornita con -output. A un certo punto dell'esecuzione, androidqf ti mostrerà alcune scelte: questi prompt metteranno in pausa l'acquisizione fino a quando non farai una selezione, quindi presta attenzione.
I seguenti dati possono essere estratti:
| Dato | Opzionale? | Percorso/i di output |
|---|---|---|
| Un backup completo o backup dei messaggi SMS e MMS. | ✅ | backup.ab |
| L'output del comando shell getprop, che fornisce informazioni di build e parametri di configurazione. | getprop.txt | |
| Tutte le impostazioni di sistema | settings_*.txt | |
| L'output del comando shell ps, che fornisce un elenco di tutti i processi in esecuzione. | processes.txt | |
| L'elenco dei servizi di sistema. | services.txt | |
| Una copia di tutti i log di sistema. | logs/, logcat.txt | |
| L'output del comando shell dumpsys, che fornisce informazioni diagnostiche sul dispositivo. | dumpsys.txt | |
| Un elenco di tutti i pacchetti installati e dei file di distribuzione correlati. | packages.json | |
| Copia di tutti gli APK installati o solo di quelli non contrassegnati come app di sistema. | ✅ | apks/* |
| Log di Intrusion Logging. Contiene dati privati come la cronologia di navigazione. | ✅ | intrusion_logs/* |
| Un elenco di file sul sistema. | files.json | |
| Una copia dei file disponibili nelle cartelle temporanee. | tmp/* | |
| Un bug report contenente log di sistema e specifici dell'app, senza dati privati. | bugreport.zip |
Ogni acquisizione contiene anche acquisition.json, command.log quando è stato prodotto output di log, e hashes.csv. L'elenco degli hash registra il digest SHA-256 di ogni voce di archivio in testo semplice precedente e non include se stesso. I pull falliti dal dispositivo non vengono inseriti come voci dell'archivio. Consulta Archivi di acquisizione per i dettagli.
Le seguenti opzioni vengono presentate quando si esegue una raccolta androidqf:
Vorresti fare un backup del dispositivo?
...
? Backup:
▸ Solo SMS
Tutto
Nessun backup
Queste opzioni si riferiscono ai dati raccolti dal dispositivo eseguendo il comando adb backup in background. Se viene selezionato Nessun backup, il comando adb backup non viene eseguito.