Android OS von Google aus der Sicht eines IT-Forensikers

Anbieter zum Thema

Fsas Technologies GmbH

FTAPI Software GmbH

Logfiles auswerten

Zur Forensik gehört auch die Analyse von Log-Dateien. Ein durchaus interessantes Beispiel hierfür liefert WhatsApp. Diese App erfreut sich großer Beliebtheit, da sie dem Nutzer eine Alternative zu SMS/MMS bietet und zusätzlich Dateitransfers erlaubt. Wer WhatsApp unter iPhone, Blackberry, Symbian und Android einsetzt, der sollte allerdings über eine Datenflatrate verfügen.

Zunächst einmal sei erwähnt, dass Logfiles grundsätzlich nicht für den Normalanwender sichtbar sind. Mit den richtigen Werkzeugen findet man dann die entsprechenden Informationen. Wie Abbildung 5 der Bildergalerie zeigt, lassen sich ein paar interessante Daten ausfindig machen, die wie beschrieben als gelöscht markiert sind.

Ebenfalls interessant, dass sich selbst gelöschte Datenbanken wiederherstellen lassen und sich somit ältere Konversation lesbar machen lässt. Ein „normaler“ Anwender wiegt sich in Sicherheit, da er meint, seine gelöschten Konversationen/Chats sind gelöscht.

Eine Verschlüsselung der Kommunikation findet nicht statt. Demnach ist das belauschen der Verbindungen in gleichen Netzerksegmenten möglich, wie die in den Logfiles hinterlegte Information xmpp/connection/socket/unencrypted belegt.

Weitere interessante forensische Fakten bietet der Memory Dump. Mittels „chmod 777“ auf „/data/misc“ und dem anschließenden Befehl „ps“ lassen sich aktuelle Prozesse auflisten, wodurch ein Memory Dump möglich wird. Hierbei wird mittels SIGUSR1, ergo „kill -10 PID“ ein Dump (*.hprof) erzeugt, der dann mittels „./adb pull /data/misc/dumpfile.hprof“ entsprechend kopiert und ausgewertet werden kann.

Inhalt

• Seite 1: IT-Forensik unter Android
• Seite 2: Forensik-Tools
• Seite 3: Das Android Software Development Kit
• Seite 4: Logfiles auswerten

Homepage von Marko Rogge

Weitere Beiträge zum Thema Forensik auf dem Smartphone auch auf der Homepage von Marko Rogge, seines Zeichens Hacking-Experte, IT-Sicherheitsberater und Autor dieses Beitrags.

(ID:2051702)