M.E.A.T. - Kit de Aquisição de Evidências Móveis

Conheça o M.E.A.T!

De Jack Farley - BlackStone Discovery

Este kit tem como objetivo ajudar peritos forenses a realizar diferentes tipos de aquisições em dispositivos iOS (e Android futuramente).

Requisitos para executar a partir do código-fonte

• Windows ou Linux
• Python 3.7.4 ou 3.7.2
• Pacotes Pip listados em requirements.txt

Tipos de Aquisição Suportados

Dispositivos iOS

Lógica

Usar a flag de aquisição lógica no MEAT instruirá a ferramenta a extrair arquivos e pastas acessíveis através da AFC em dispositivos com jailbreak parcial. A pasta específica que permite acesso é: \private\var\mobile\Media, que inclui pastas como:

• AirFair
• Books
• DCIM
• Downloads
• general_storage
• iTunes_Control
• MediaAnalysis
• PhotoData
• Photos
• PublicStaging
• Purchases
• Recordings

Sistema de Arquivos

Pré-requisitos do Dispositivo iOS

• Dispositivo iOS com Jailbreak
• AFC2 Instalado via Cydia

Usar a flag de aquisição do sistema de arquivos no MEAT instruirá a ferramenta a iniciar o serviço AFC2 e copiar todos os arquivos e pastas de volta para a máquina host.

Este método requer que o dispositivo esteja com jailbreak e tenha o seguinte pacote instalado:

• Apple File Conduit 2

Este método também pode ser alterado pelo usuário usando a flag -filesystemPath para instruir o MEAT a extrair apenas até uma pasta específica, útil se você estiver fazendo análise de aplicativos e quiser apenas os dados do app.

Ajuda do MEAT

usage: MEAT.py [-h] [-iOS] [-filesystem] [-filesystemPath FILESYSTEMPATH]
               [-logical] [-md5] [-sha1] -o OUTPUTDIR [-v]

MEAT - Mobile Evidence Acquisition Toolkit

optional arguments:
  -h, --help            show this help message and exit
  -iOS                  Perform Acquisition on iOS Device
  -filesystem           Perform Filesystem Acquisition - 
  -filesystemPath FILESYSTEMPATH
                        Path on target device to acquire. Only use with --filesystem argument
                        Default will be "/"
  -logical              Perform Logical Acquisition
                        iOS - Uses AFC to gain access to jailed content
  -md5                  Hash pulled files with the MD5 Algorithm. Outputs to Hash_Table.csv
  -sha1                 Hash pulled files with the SHA-1 Algorithm. Outputs to Hash_Table.csv
  -o OUTPUTDIR          Directory to store results
  -v                    increase output verbosity

Dispositivos testados

iPhone X iOS 13.3 iPhone XS iOS 12.4

Problemas conhecidos

• Preservação de timestamps de pastas
• Não é possível preservar a data de criação de arquivos apenas no Linux
• Bugs do iOS 9 – Não tenho o dispositivo para testar diretamente

Coisas a fazer no futuro – Classificadas

• Adicionar pós-processadores
• Adicionar capacidade de containerização – ZIP, TAR, AFF4
  • Tentei containerizar durante o processamento, mas zipfile e tar não permitem continuar anexando blocos a arquivos individuais
• Adicionar busca por palavras-chave durante ou após o processamento
• Adicionar correspondência de hashes durante ou após o processamento
• Adicionar suporte para Android (Parte do código já pode fazer isso, mas não tenho um dispositivo para testar)
• Adicionar capacidade do usuário especificar o dispositivo de bloco para aquisições físicas no Android
• Adicionar suporte para backups do iTunes
• Adicionar suporte para MacOS (mande uma mensagem se quiser isso!)

Agradecimentos Especiais

• BlackStone Discovery
• pymobiledevice
• Mathieu Renard por corrigir o bug do iOS 13
• Obrigado, W.E.