Mobile forensics

La mobile forensics regola la fase di acquisizione, preservazione, analisi e reporting delle evidenze digitali estraibili da un dispositivo mobile, come telefoni obsoleti o con funzioni elementari, smartphone, sim card, dispositivi GPS portatili, tablet e droni. A differenza della computer forensics convenzionale, dove l’analisi delle “evidenze” avviene post mortem (a dispositivo spento), gli apparati mobili permangono attivi costantemente, anche durante l’acquisizione, e il loro contenuto viene continuamente aggiornato, presupponendo l’utilizzo di tecniche, modalità e strumentazioni idonee al caso specifico, onde scongiurare l’inutilizzabilità della prova eventualmente acquisita.

A seconda del modello, è possibile operare le seguenti tipologie di acquisizione:

• • Acquisizione logica;
• • Acquisizione fisica;
• • Acquisizione del file system;
• • Acquisizione mediante backup del dispositivo;
• • Acquisizione manuale tramite repertamento audio/video o altro;
• • Estrazione del chip (chip-off) e successiva acquisizione dei dati;
• • Estrazione Jtag (Joint Test Action Group).

Altri dettagli esemplativi delle attività espletabili:

• • Estrazione fisica da specifici dispositivi BalckBerry;
• • Decodifica dei dati BBM, App, email, Bluetooth, ecc.;
• • Estrazione fisica e decodifica dei dispositivi Android, inclusi HTC, Motorola, Samsung, etc., con aggiramento (ove possibile) del sistema di blocco (tracciamento segno / password / pin / riconoscimento biometrico);
• • Estrazione fisica dai dispositivi Nokia BB5 (anche estrazione delle password ove possibile);
• • Estrazione dei file di sistema da dispositivi dotati di O.S. Windows, inclusi Nokia, HTC, Samsung, Huawei e ZTE;
• • Estrazione logica e del file system dai dispositivi IOS (ovvero Iphone, Ipad, etc.), con aggiramento (ove possibile) del sistema di blocco (tracciamento segno / password / pin);
• • Decriptazione di TomTom trip-log ed estrazione dei dati da altri dispositivi GPS portatili e droni.

Dagli esiti della fase di acquisizione e decodifica scaturiscono ulteriori accertamenti:

• • Rilevamento dei dati attivi (esistenti in “chiaro”) ed eliminati: app, password, email, contatti, registri chiamate, messaggi SMS, eventi calendario, file multimediali (foto/video/audio), posizioni GPS, celle telefoniche agganciate, ed altro;
• • Rilevamento dei messaggi chat attivi (esistenti in “chiaro”) ed eliminati: Whatsapp, Skype, Facebook Messenger, Imessage, Kik, etc.;
• • Individuazione dei termini adottati come “chiavi di ricerca” internet;
• • Cronologia della navigazione web;
• • Recupero delle password utilizzate (wi-fi, account, etc.);
• • Timeline degli eventi.