L’acquisizione forense di uno smartphone Android, esaminata attraverso un caso relativo a un Samsung Galaxy Note20 5G, richiede procedure documentate, strumenti specialistici e una corretta catena di custodia. L’uso di Cellebrite UFED ha consentito di recuperare dati WhatsApp, inclusi database, contatti, messaggi, metadati e allegati.
Il valore probatorio dei risultati dipende dalla documentazione delle operazioni, dalla conservazione degli output, dalla verifica dell’integrità e dalla distinzione tra dati acquisiti, interpretati e non disponibili. L’acquisizione costituisce la prima fase dell’analisi delle comunicazioni e dei relativi contenuti.
Digital Forensics | Mobile Forensics | Informatica Forense
Introduzione
L’acquisizione forense di uno smartphone Android rappresenta una delle attività più delicate nell’ambito dell’informatica forense. I dispositivi mobili conservano una grande quantità di informazioni potenzialmente rilevanti per un procedimento giudiziario: messaggi, documenti, fotografie, registrazioni, cronologie e dati delle applicazioni.
In un incarico di consulenza tecnica di parte (CTP) relativo a una controversia civile, ho affrontato l’acquisizione di uno smartphone Samsung Galaxy Note20 5G, con particolare riferimento alla messaggistica WhatsApp.
A differenza di una precedente esperienza su iPhone, nella quale avevo utilizzato un backup locale Apple e strumenti gratuiti, per il dispositivo Android è stato necessario ricorrere a un laboratorio specializzato dotato della piattaforma Cellebrite UFED.
In questo articolo descrivo il percorso tecnico e organizzativo seguito, dalla presa in carico del dispositivo alla disponibilità dei dati acquisiti per le successive analisi.
1. L’obiettivo dell’acquisizione
L’incarico prevedeva l’individuazione e l’analisi di specifiche comunicazioni WhatsApp, comprese quelle presenti in una conversazione di gruppo.
Non era sufficiente produrre una semplice esportazione testuale della chat: era necessario disporre, per quanto tecnicamente acquisibile, dei dati originali dell’applicazione e dei relativi metadati.
Gli obiettivi erano:
- Identificare le conversazioni di interesse.
- Recuperare i messaggi e i relativi riferimenti temporali.
- Identificare gli account associati alle comunicazioni.
- Individuare gli allegati disponibili.
- Conservare la provenienza tecnica dei dati.
- Predisporre evidenze verificabili e utilizzabili nella relazione di parte.
2. Perché utilizzare Cellebrite UFED
I moderni dispositivi Android adottano sistemi di protezione che limitano l’accesso diretto ai dati privati delle applicazioni.
Nel caso di WhatsApp, il database dei messaggi è normalmente conservato nell’area privata dell’applicazione, non accessibile mediante una semplice copia dei file via USB.
Le funzioni standard di trasferimento file non permettono quindi, di regola, di acquisire direttamente l’intero database interno di WhatsApp.
La piattaforma Cellebrite UFED dispone di differenti metodologie di acquisizione, la cui disponibilità dipende dal modello del dispositivo, dalla versione Android, dal livello delle patch di sicurezza e dalle condizioni operative.
È importante distinguere tra acquisizione logica, file system e full file system. La disponibilità di un archivio contenente file dell’area privata dell’applicazione non consente, da sola, di ricostruire ogni dettaglio tecnico del metodo utilizzato.
Per questo motivo il rapporto di acquisizione del laboratorio è un documento essenziale.
3. Il dispositivo oggetto dell’attività
Il dispositivo esaminato era uno smartphone Samsung Galaxy Note20 5G, modello SM-N986B, con memoria interna da 256 GB.
Prima delle operazioni specialistiche sono stati raccolti gli elementi necessari all’identificazione del telefono e alla definizione dell’ambito dell’incarico.
La documentazione di presa in carico deve riportare almeno il modello, i codici identificativi disponibili, le condizioni del dispositivo, la data e l’ora di consegna e le autorizzazioni del legittimo utilizzatore.
I dati identificativi personali e le credenziali di sblocco non vengono riportati in questo articolo per ragioni di riservatezza.
4. Il ruolo del laboratorio specializzato
Per l’acquisizione è stato incaricato un laboratorio esterno specializzato in digital forensics.
La distinzione dei ruoli è particolarmente importante.
Il laboratorio si occupa dell’attività tecnica di estrazione mediante strumentazione specialistica, mentre il consulente tecnico di parte mantiene la responsabilità dell’analisi delle evidenze, della valutazione dei risultati e della redazione della propria relazione.
Questo modello organizzativo permette anche a un consulente indipendente di affrontare incarichi che richiedono strumenti commerciali costosi, senza dover necessariamente acquistare l’intera piattaforma.
La relazione finale deve comunque indicare chiaramente chi ha eseguito l’acquisizione, con quali strumenti e quali verifiche sono state effettuate sui risultati ricevuti.
5. Le operazioni di acquisizione
La procedura comprende una serie di passaggi fondamentali.
Identificazione e presa in carico. Il dispositivo viene identificato e vengono documentate le condizioni nelle quali è stato consegnato.
Verifica della compatibilità. Il laboratorio valuta le metodologie di acquisizione disponibili per lo specifico modello e per la configurazione software presente.
Esecuzione dell’estrazione. L’acquisizione viene eseguita attraverso la piattaforma UFED, secondo il metodo tecnicamente disponibile e ritenuto idoneo.
Produzione degli output. Il laboratorio rende disponibili i dati acquisiti e la documentazione tecnica dell’operazione.
Trasferimento al consulente. Gli output vengono consegnati per le successive attività di analisi, conservazione e repertazione.
Il tipo esatto di estrazione, la versione di UFED e gli eventuali interventi effettuati sul dispositivo devono essere ricavati dal rapporto originale del laboratorio, non dedotti successivamente.
6. La struttura dei dati acquisiti
Nel caso esaminato, i risultati delle analisi comprendevano riferimenti a un archivio denominato:
EXTRACTION_FFS.zip
Al suo interno erano presenti, tra gli altri, file riconducibili all’area privata di WhatsApp.
In particolare, il report riportava riferimenti a:
/data/data/com.whatsapp/databases/msgstore.db
e
/data/data/com.whatsapp/databases/wa.db
Il primo database è utilizzato da WhatsApp per la gestione dei messaggi e delle informazioni correlate.
Il secondo contiene informazioni riconducibili ai contatti WhatsApp, secondo lo schema della versione dell’applicazione acquisita.
Il report riportava inoltre riferimenti a file multimediali presenti in percorsi quali:
/data/media/0/Android/media/com.whatsapp/WhatsApp/Media/
La disponibilità di questi dati ha consentito di proseguire con l’analisi delle conversazioni attraverso gli strumenti di visualizzazione e interpretazione dell’ecosistema Cellebrite.
7. Conservazione e integrità dei reperti
Una volta ricevuti gli output dell’acquisizione, è necessario preservarli evitando modifiche accidentali.
Una procedura corretta prevede la conservazione degli archivi originali e l’utilizzo di copie di lavoro per le successive elaborazioni.
L’integrità può essere verificata attraverso il calcolo di impronte crittografiche SHA-256.
Ad esempio, su Windows:
Get-FileHash -Path "EXTRACTION_FFS.zip" -Algorithm SHA256Il valore ottenuto permette di verificare che l’archivio non abbia subito modifiche rispetto al momento del calcolo.
Quando disponibili, devono essere conservati anche gli hash prodotti dal laboratorio, così da verificare la corrispondenza tra quanto consegnato e quanto successivamente analizzato.
Il calcolo dell’hash non dimostra, da solo, che tutti i dati del dispositivo siano stati acquisiti né che le comunicazioni fossero autentiche prima dell’estrazione.
8. Catena di custodia e documentazione
Nel contesto di una consulenza tecnica di parte, la tracciabilità delle operazioni riveste particolare importanza.
La documentazione dovrebbe permettere di ricostruire:
- Chi ha consegnato il dispositivo.
- Chi lo ha preso in carico.
- Quando e dove è avvenuta l’acquisizione.
- Quale metodologia è stata utilizzata.
- Quali file sono stati prodotti.
- Come sono stati trasferiti e conservati.
- Quali verifiche di integrità sono state effettuate.
- Chi ha svolto le successive analisi.
La catena di custodia non è una semplice formalità: permette di collegare il dispositivo originale ai dati utilizzati per le valutazioni tecniche.
9. I limiti dell’acquisizione
Anche una piattaforma professionale come Cellebrite presenta limiti tecnici.
Non tutte le modalità di estrazione sono disponibili su tutti i dispositivi e non tutte le informazioni presenti in memoria sono necessariamente recuperabili.
I dati cancellati, le informazioni cifrate, i contenuti conservati esclusivamente nel cloud e gli allegati non più disponibili possono non essere acquisibili.
Inoltre, alcune procedure specialistiche possono richiedere operazioni sul dispositivo che devono essere adeguatamente documentate.
È quindi essenziale distinguere tra dati effettivamente acquisiti, dati interpretati dal software e informazioni non disponibili.
10. Conclusioni
L’esperienza descritta dimostra l’utilità di integrare le competenze del consulente tecnico con quelle di un laboratorio specializzato.
L’impiego di Cellebrite UFED ha permesso di ottenere dati WhatsApp che non sarebbero stati normalmente accessibili mediante il semplice trasferimento file Android.
Il valore del risultato dipende tuttavia dalla corretta documentazione dell’acquisizione, dalla conservazione degli output e dalla possibilità di ricondurre ogni informazione analizzata alla propria fonte.
L’acquisizione rappresenta soltanto la prima fase dell’attività forense.
Il passaggio successivo consiste nell’interpretazione dei database, nell’individuazione delle conversazioni rilevanti e nella produzione di risultati tecnicamente verificabili.
Nel prossimo articolo vedremo come analizzare le chat WhatsApp acquisite utilizzando gli strumenti di visualizzazione Cellebrite, con particolare attenzione a messaggi, mittenti, destinatari, timestamp e allegati.
Ing. Andrea Di Dio
Consulente Tecnico di Parte – Digital Forensics e Informatica Forense
