Forense de Android sem root, o que dá para extrair sem alterar o aparelho

Análise forense de celular carrega uma tensão permanente: quanto mais fundo você quer chegar, mais você tende a alterar o aparelho, e alterar o aparelho enfraquece a evidência. Root é o exemplo máximo disso, porque modifica o sistema para obter acesso total.

A boa notícia é que dá para extrair muita coisa relevante sem root, preservando a integridade. A má notícia é saber onde essa abordagem para, para não prometer o que ela não entrega.

Primeiro princípio: isolar o aparelho

Antes de conectar qualquer cabo, o celular precisa parar de se comunicar com o mundo. Enquanto ele tem rede, uma mensagem de apagamento remoto pode destruir a evidência a qualquer segundo.

Ative o modo avião e, idealmente, trabalhe dentro de uma bolsa de bloqueio de sinal. Registre a hora exata em que o isolamento foi feito. Essa anotação vale no laudo, porque delimita a partir de quando nada externo pôde alterar o conteúdo.

Segundo princípio: registrar o estado inicial

Fotografe a tela, anote o nível de bateria, o estado de bloqueio, a versão do sistema. Se o aparelho está desbloqueado quando chega às suas mãos, isso muda tudo, e precisa constar. Aparelho que chega desbloqueado e é deixado bloquear por descuido é evidência que se fecha sozinha.

O que a depuração ADB alcança

Com a depuração por USB ativada e autorizada, o ADB extrai bastante sem root. O ponto central é o backup do que os aplicativos permitem exportar:

adb devices
adb shell getprop ro.build.version.release
adb backup -apk -shared -all -f /caso/backup.ab

Cada aplicativo decide se permite ser incluído nesse backup. Muitos permitem, e aí vêm dados de conversa, contas configuradas e preferências. O que o aplicativo marca como não exportável fica de fora, e essa é a principal limitação do método.

Dá para listar o que está instalado e extrair os pacotes, útil para analisar um aplicativo suspeito à parte:

adb shell pm list packages -f
adb shell dumpsys package com.exemplo.app | grep -i version

O que fica acessível sem root

Metadados: onde e quando

As fotos costumam guardar mais do que a imagem. Data de captura e, quando o serviço de localização estava ativo, coordenadas geográficas:

exiftool -DateTimeOriginal -GPSLatitude -GPSLongitude -Model /caso/fotos/

Esse cruzamento entre horário e lugar frequentemente responde a pergunta central de um caso. Mas trate a data com o mesmo cuidado de qualquer carimbo: ela pode ter sido alterada, e a divergência entre a data do arquivo e a data interna da foto é justamente o indício de manipulação.

Onde a abordagem sem root para

Ser honesto sobre o limite é parte do trabalho. Sem root ou extração física, você não alcança:

• A área interna e privada da maioria dos aplicativos de mensagem
• Conteúdo apagado, que exige leitura do armazenamento bruto
• Bancos de dados protegidos pelo isolamento entre aplicativos

Quando o caso exige esses dados, a decisão passa a ser técnica e jurídica ao mesmo tempo: extração física especializada, que altera o aparelho e precisa de justificativa, ou um método com respaldo específico. Prometer conteúdo apagado com extração sem root é o caminho mais curto para não entregar o que se prometeu.

Registrar cada passo

Do isolamento à extração, cada ação entra no registro com horário. Gere o hash do material extraído no momento da coleta, do mesmo modo que em Análise Forense de Memória RAM com Volatility.

sha256sum /caso/backup.ab | tee /caso/backup.ab.sha256

E, como em Artefatos de navegador em investigação forense, vale a mesma cautela de atribuição: o extraído prova o que estava no aparelho, não quem o operava. Ligar o conteúdo a uma pessoa exige outros elementos.