Auswertung von Mobiltelefonen

Transkript

1 3. Nationale IT-Ermittler Tagung Auswertung von Mobiltelefonen Dr. Maurizio Tuccillo und Raphael Krütli Hochschule Luzern Wirtschaft Information Security and IT-Forensics Seite 1

2 Agenda Motivation Vergleich zu andern Speichertypen Aufbau von Mobiltelefonspeichern Logischer Zugang zum internen Telefonspeicher Physischer Zugang zum internen Telefonspeicher Guidance Software Neutrino Projektidee MobyInterpreter Fragen, Bemerkungen und Kontakt Seite 2

3 Forensik-Team der Hochschule Luzern In der Ausbildung tätig: CyberCop (4 x 5 Tage) IT-Ermittler (3 x 2 Tage) Forensik für MAS-Studiengänge (ECI, FI, IS, usw.) Individuelle Schulungen für Untersuchungsorgane Anwendung und Entwicklung: Unterstützung von Untersuchungsorganen bei personellen Engpässen Unterstützung von Untersuchungsorganen bei speziellen Fragestellungen Entwicklung im Bereich der IT-Forensik (Konzepte, Tools, usw.) Seite 3

4 Motivation Geräteklasse mit ausserordentlich grosser Verbreitung Leistungsfähigkeit und Funktionsumfang zunehmend Mögliche Evidenz bei verschiedenen Delikten: Identifikationsmerkmale (IMEI, IMSI, ICCID, ) Kommunikationsdaten (SMS, MMS, ) Verbindungsdaten (Anruflisten) Kontakte (Telefonbuch) Bild- und Videodaten Agenda Weitere Evidenz in Zusammenarbeit mit Provider: Randdaten (Ortung) Seite 4

5 Vergleich zu andern Speichertypen Weitgehend standardisiertes Verfahren bei der Analyse von Speichermedien mit bekanntem Dateisystem: Festplatten Flash-Speicher (USB, SD, ) Bei Mobiltelefonen nur für Speichererweiterungen (MiniSD, MicroSD, ) anwendbar Interner Speicher von Mobiltelefonen mit konventionellen Methoden nicht auswertbar! Seite 5

6 Aufbau von Mobiltelefonspeichern (1) Aufbau abhängig von Hersteller und Modell! Aufbau nicht offengelegt! Analyse bedingt ein reverse engineering Beispiel: Mobiltelefongeneration Nokia DCT-4 Unstrukturierter Speicher Daten mit Tags markiert Identifikation von Block und Record Interpretation der Informationen Seite 6

7 Aufbau von Mobiltelefonspeichern (2) Der Heilige Gral ( ): Google Phone als reine Software-Lösung nicht vermarktungsfähig Zitat: Die Vorstellung, dass die Hersteller sich auf ein fremdes Betriebssystem einlassen, ist absurd. Diese Software wird von Firmen wie Nokia oder Sony Ericsson gehütet wie der heilige Gral, deshalb sind auch alle bisherigen Standardisierungsbemühungen gescheitert. [ ] Problem: Interpretation der Daten im internen Speicher Quelle: Seite 7

8 Nokia DCT-4: Identifikation Block / Record Nokia 6310: F4 Block Type 00 Record Number 55 FF FF FF 00 Record Length?? Block Content Nokia 7250i: FF Block Type 00 Record Number FF FF Identifikation spezifischer Informationen Record Length???? Block Content IMEI Record Length Block Content Phone Book Entry 3A 00 - FF Record Length Block Content Dialed # 3B 00 - FF Record Length Block Content Seite 8

9 Nokia DCT-4: IMEI, ICCID & IMSI IMEI: Block 5 / Record 0 ASCII coded byte stream F F F / 2 0 / / 2 ICCID: Block 117 / Record 5 2 digit reversed decimal representation IMSI: Block 117 / Record 6??? EC 9F E 45 A Seite 9

10 Nokia DCT-4: Dialed # Dialed #: Block 59 / Records D E006E A0B01000A00000AA4142A D508170A0E1B D508170A0C # of Fields D E006E0065 Field Length Field Type Field # Field Content 16 Unicode Name 4 Marianne 000A 0B A00000AA4142A3393 Field Length Field Type Field # Field Content 10 Phone # 1 000A0000 0A A4142A3393 Phone # Tag Phone # Length (Digits) Phone # 000A D508170A0E1B01 Field Length Field Type Field # Field Content 8 Time Stamp 2 07D A0E1B 01 YYYY/MM/DD HH:MM:SS TAG 2005/08/23 10:14: D508170A0C1601 Field Length Field Type Field # Field Content 8 Time Stamp 3 YYYY/MM/DD HH:MM:SS TAG 2005/08/23 10:12:22 01 Seite 10

11 Logischer Zugang zum internen Speicher (1) Zugang über die vom Hersteller vorgesehene Schnittstelle Dediziertes Adapterkabel, IrDA, Bluetooth, WLAN Spezialisierte Hardware mit Adapterkabeln (z.b. Neutrino, XRY) Zugang mittels vom Hersteller vorgesehenen Funktionen: Dedizierte Hersteller-Software (z.b. Nokia PC-Suite) Standardisierte Protokolle (AT-Befehlssatz) Seite 11

12 Logischer Zugang zum internen Speicher (2) Vorteile: Betriebssystem kontrolliert Zugang zum Speicher Datenstruktur dem Betriebssystem bekannt Nachteile: Nur vorgesehene Funktionen nutzbar Kein Zugriff auf gelöschte Daten Mobiltelefon muss in Betrieb genommen werden Erfordert SIM-Karte (Achtung: Dummy Karte!) Seite 12

13 Physischer Zugang zum internen Speicher (1) Zugang über Service-Schnittstelle auf Platine Spezialisierte Hardware mit Adapterkabeln (z.b. Tornado UFS-3) Memory Dump mittels spezieller Hard- und Software Tornado UFS-3 Software Suite Interpretation mittels geeigneter Software Cell Phone Analyzer by Lifter/BKForensics EnCase/Neutrino by Guidance Software MobyInterpreter by Hochschule Luzern Wirtschaft Seite 13

14 Physischer Zugang zum internen Speicher (2) Vorteile: Zugriff auf gesamten Speicherinhalt (auch gelöschte Daten) Betriebssystem nicht gestartet, Mobiltelefon in Local Mode Auf eine Abschirmung (Shield-Bag) kann verzichtet werden SIM-Karte nicht erforderlich Verfahren teilweise auch bei defekten Geräten anwendbar Nachteil: Datenstruktur nicht offengelegt (Hersteller und Modell abhängig) Verfahren nur bei ausgewählten Mobiltelefonen anwendbar Aufwändige Tüftelarbeit Seite 14

15 Guidance Software Neutrino Grundsätzliches: Forensische Sicherstellung und Analyse von Mobiltelefonen Neutrino umfasst Hardware und Software Erweitert EnCase 6 um NeutrinoAcquisition EnScript NeutrinoReport EnScript Voraussetzungen: EnCase Forensic Edition 6.7 Aktuelle Version und Kosten (Bezug über Arina): Aktuell ist V. 1.3 von Neutrino, Firmwareupdates über EnCase Einmalig ca USD (Package) Subscription p.a. ca USD (Kabel-/Softwareupdates) Seite 15

16 Guidance Software Neutrino Seite 16

17 Guidance Software Neutrino Seite 17

18 Guidance Software Neutrino Seite 18

19 Guidance Software Neutrino Seite 19

20 Guidance Software Neutrino Vorgehen bei der Sicherstellung und Analyse: (1) EnCase 6 mit Dongle starten (2) EnScript NeutrinoAcquisition (es muss kein Fall geöffnet sein) [Sicherstellung über Shield-Bag möglich] (3) SIM-Karte akquirieren LEF (logical evidence file) (4a) Physical Memory akquirieren* LEF (4b) Logical akquirieren LEF (5) Analyse des LEF mittels EnCase 6 (EnScript NeutrinoReport) * Aus den Release-Notes zu Neutrino 1.3: Seite 20

21 Guidance Software Neutrino Sicherstellungsdialog: Momentan unterstützte Hersteller: LG, Motorola, Nokia, Samsung, Siemens, Sony Ericsson, Benfon Seite 21

22 Guidance Software Neutrino Auswertung einer LEF: Seite 22

23 Guidance Software Neutrino Kurzdemo Neutrino : SIM-Karten Sicherstellung und Auswertung Logische Sicherstellung sowie anschliessende Auswertung eines Mobiltelefons mittels EnCase/Neutrino (Nokia 7250i) Physische Sicherstellung mittels UFS-3 Box sowie anschliessende Auswertung mittels EnCase/Neutrino (Nokia 7250i) Analyse des physischen Speichers mittels (Proof of Concept) MobyInterpreter (Demo folgt am Ende) Fazit: Mittels der UFS-3 Box erstellte physische Dumps von Mobiltelefonspeichern lassen sich mit EnCase/Neutrino auswerten Seite 23

24 Guidance Software Neutrino Erfahrungen nach 3 Wochen Neutrino Positives: SIM-Karten Sicherstellung und Analyse sehr gut Shield-Bag funktioniert ordnungsgemäss Arbeiten unter gewohnter Oberfläche (EnCase 6) LEF s von Mobiletelefonen können mit der Mächtigkeit von EnCase untersucht werden (EnScripts, Conditions, usw.) Negatives: Noch keine (oder nur sehr eingeschränkte) Unterstützung für die Sicherstellung des physischen Speichers Installation zusätzlicher Suiten notwendig (Nokia PC Suite, usw.) Stabilität lässt noch etwas zu Wünschen übrig Seite 24

25 Projektidee MobyInterpreter (1) Ziele und Ideen: (1) Applikation: Sämtliche Daten und Informationen auch vermeintlich gelöschte aus Mobiltelefonspeicher-Dump extrahieren, decodieren und interpretieren (2) Online-Wissensdatenbank: Anleitungen zur Sicherstellung sowie Informationen zur korrekten Interpretation der vom betreffenden Mobiltelefon ausgelesenen Daten Begründung: Vorhandene Tools sind nur bedingt in der Lage diese Anforderung(en) zu erfüllen Es existiert kein einheitliches Vorgehen/Methodik Seite 25

26 Projektidee MobyInterpreter (2) Vorgehen: (1) Suche in Online-Wissensdatenbank (2) Beschriebenes Vorgehen durchführen Hochladen des Mobiltelefonspeicher- Abbilds Internet Wissensdatenbank Web-Browser Download des Reports Web-Server (MobyInterpreter Web-Site) MobyInterpreter Seite 26

27 Fragen, Bemerkungen und Kontakt Hochschule Luzern Wirtschaft Institut für Wirtschaftsinformatik: Dr. Maurizio Tuccillo, Raphael Krütli, Seite 27