{"id":98881,"date":"2023-09-21T11:30:48","date_gmt":"2023-09-21T11:30:48","guid":{"rendered":"https:\/\/securitylab.amnesty.org\/es\/?p=98881"},"modified":"2024-05-16T14:21:57","modified_gmt":"2024-05-16T14:21:57","slug":"fellowship-apkqf-simplificar-el-analisis-forense-de-android","status":"publish","type":"post","link":"https:\/\/securitylab.amnesty.org\/es\/latest\/2023\/09\/fellowship-apkqf-simplificar-el-analisis-forense-de-android\/","title":{"rendered":"Fellowship: APKQF – Simplificar el an\u00e1lisis forense de Android"},"content":{"rendered":"\n

Esta entrada de blog fue escrita en el marco de la \u00abDigital Forensics Fellowship\u00bb por uno de los becarios 2022-2023. <\/em><\/p>\n\n\n\n

Acerca de m\u00ed: Mi nombre es Paul Aguilar, mexicano de nacimiento, Ingeniero en Computaci\u00f3n de profesi\u00f3n y apasionado de la tecnolog\u00eda y la cultura libre por decisi\u00f3n. Actualmente soy Coordinador del \u00e1rea de Seguridad Digital en SocialTIC<\/a>, una ONG mexicana enfocada en el uso estrat\u00e9gico y seguro de la tecnolog\u00eda. En SocialTIC trabajo con periodistas, activistas y personas defensoras de derechos en M\u00e9xico y Am\u00e9rica Latina, habilitando procesos de formaci\u00f3n y acompa\u00f1amiento en seguridad digital, as\u00ed como apoyando en la respuesta r\u00e1pida a incidentes y en el proceso de desarrollo de pol\u00edticas y protocolos. Tambi\u00e9n mantengo (junto con mi equipo) el sitio de Protege.LA<\/a> y los contenidos y recursos de seguridad digital en SocialTIC.<\/em><\/p>\n\n\n\n

Contexto regional<\/strong><\/p>\n\n\n\n

En 2016 y 2022, desde SocialTIC junto a otras organizaciones y medios locales e internacionales hicimos p\u00fablica las campa\u00f1as de #<\/a>GobiernoEsp\u00eda<\/a> y #<\/a>EjercitoEsp\u00eda<\/a> respectivamente, en donde documentamos los ataques a periodistas, activistas y personas defensoras con el spyware Pegasus.<\/p>\n\n\n\n

Con la publicaci\u00f3n de #GobiernoEsp\u00eda M\u00e9xico se convirti\u00f3 en el primer pa\u00eds de Am\u00e9rica Latina en documentar el uso de este tipo de tecnolog\u00edas, mientras que con #EjercitoEsp\u00eda se document\u00f3 el uso de Pegasus en dos gobiernos distintos en el mismo pa\u00eds. Esto pese a las declaraciones del gobierno actual respecto al espionaje<\/a>.<\/p>\n\n\n\n

Existe evidencia de que en 2021 se utiliz\u00f3 Pegasus en El Salvador<\/a> contra distintos periodistas y medios locales, al igual que existe evidencia de que entre 2020 y 2021 se utiliz\u00f3 Pegasus en Rep\u00fablica Dominicana<\/a> contra la periodista Nuria Piera. Con esto se observa un crecimiento en el uso de spyware en la regi\u00f3n, sin mencionar otro tipo de tecnolog\u00edas de vigilancia y espionaje.<\/p>\n\n\n\n

Es as\u00ed que desde SocialTIC he podido observar de primera mano la evoluci\u00f3n del espionaje en el contexto mexicano y latinoamericano. Evaluando este contexto y viendo la necesidad de m\u00e1s profesionales en el tema de forense digital para la defensa de derechos humanos es que decid\u00ed aplicar a la Digital Forensic Fellowship de Amnist\u00eda Internacional<\/a>.<\/p>\n\n\n\n

Estado actual de forense digital para la defensa de derechos humanos<\/strong><\/p>\n\n\n\n

Los primeros ataques con Pegasus requer\u00edan que las v\u00edctimas hicieran clic en un enlace malicioso (ataque 1-click) para comenzar la cadena de explotaci\u00f3n e infecci\u00f3n. Gracias a la existencia de estos enlaces es que se logr\u00f3 la detecci\u00f3n y documentaci\u00f3n de los primeros casos en M\u00e9xico.<\/p>\n\n\n\n

En la actualidad los ataques se realizan a trav\u00e9s de la explotaci\u00f3n de vulnerabilidades de d\u00eda cero (0-day vulnerabilities) los cuales no requieren ninguna interacci\u00f3n por parte de las personas usuarias (zero-click attack) y pueden ser completamente silenciosas.<\/p>\n\n\n\n

Esta evoluci\u00f3n ha implicado que la detecci\u00f3n de los ataques sea m\u00e1s compleja y ha requerido que el nivel de profundizaci\u00f3n en el \u00e1mbito forense para la defensa de los derechos humanos sea mayor, lo cual ha llevado al desarrollo de distintas herramientas como la Mobile Verification Toolkit<\/a> (<\/a>MVT<\/em><\/a>)<\/a> por parte del equipo de Amnesty Tech as\u00ed como una metodolog\u00eda para su uso<\/a>.<\/p>\n\n\n\n

Del lado de las compa\u00f1\u00edas, la situaci\u00f3n es variada. En el caso de Apple, la compa\u00f1\u00eda ha tomado la iniciativa (como resultado del trabajo realizado conjunto a sociedad civil) de enviar notificaciones sobre \u201cAtaques patrocinados por un estado<\/a>\u201d (State sponsored attack<\/a>s), lo cual ha permitido identificar potenciales casos de ataques o infecciones con spyware a dispositivos y cuentas de Apple. Esto a su vez est\u00e1 vinculado a la homogeneidad del ecosistema de productos y servicios de Apple, el cual permite tener un mayor control y estandarizaci\u00f3n de la informaci\u00f3n que se recopila y analiza en un proceso forense.<\/p>\n\n\n\n

En el caso de Android, no existe el mismo nivel de homogeneidad o estandarizaci\u00f3n en la estructura interna de los sistemas o de los dispositivos. Por ejemplo, existe una variedad de versiones del sistema operativo con diferencias entre s\u00ed, o una amplia cantidad de fabricantes que a\u00f1aden una capa de personalizaci\u00f3n extra sobre Android, o que incorporan herramientas adicionales a las que tiene en s\u00ed mismo el sistema de manera nativa. Todo esto implica que el an\u00e1lisis forense de dispositivos Android sea m\u00e1s complejo.<\/p>\n\n\n\n

Si bien Google tambi\u00e9n ha tomado la iniciativa de enviar notificaciones sobre \u201cAlertas de ataques respaldados por gobiernos<\/a>\u201d (Government-backed attack alerts<\/a>), estos est\u00e1n vinculados directamente a los servicios de Google y no necesariamente a los dispositivos m\u00f3viles, y menos a\u00fan a aquellos que son mantenidos por terceros como Samsung, Motorola, Huawei, Xiaomi, etc.<\/p>\n\n\n\n

Otra consideraci\u00f3n importante relacionada a lo anterior es la cuota de uso de dispositivos Android contra la cuota de uso de dispositivos iPhone<\/a>. En el contexto mexicano la informaci\u00f3n reciente indica que esta cuota es de 75% para Android y 23% para iPhone<\/a>, mientras que en la regi\u00f3n de Am\u00e9rica del sur es de 85% para Android y 14% para iPhone<\/a>, ambos datos a fecha de Agosto de 2023.<\/p>\n\n\n\n

Es evidente que Android es el sistema operativo m\u00f3vil mayormente utilizado en la regi\u00f3n, y que al no existir la misma facilidad o estandarizaci\u00f3n para los an\u00e1lisis forenses como en el caso de iPhone se podr\u00eda estar perdiendo una visi\u00f3n m\u00e1s amplia del uso de spyware contra las personas usuarias de Android.<\/p>\n\n\n\n

Para el problema anterior en Android, existen dos herramientas que se pueden considerar para el proceso forense, la ya mencionada MVT<\/em><\/a> y androidqf<\/em><\/a>, ambas desarrolladas por el equipo de Amnesty Tech.<\/p>\n\n\n\n

En t\u00e9rminos generales, androidqf<\/em> permite extraer de manera estandarizada informaci\u00f3n de dispositivos Android como son los logs<\/em> del sistema, informaci\u00f3n relacionada a las aplicaciones instaladas o las configuraciones del sistema. En el caso de MVT<\/em>, la herramienta permite analizar directamente un dispositivo o la informaci\u00f3n extra\u00edda mediante androidqf<\/em>.<\/p>\n\n\n\n

Si bien estas herramientas permiten estandarizar la extracci\u00f3n y an\u00e1lisis de informaci\u00f3n y dispositivos Android, estas requieren un conocimiento t\u00e9cnico b\u00e1sico de computadora y celular, y en el caso de MVT<\/em> de la terminal y la l\u00ednea de comandos. Adem\u00e1s de que se asume que existe un equipo de c\u00f3mputo a disposici\u00f3n de la persona que va a realizar la extracci\u00f3n o el an\u00e1lisis. Y en algunos casos en donde se brinda atenci\u00f3n remota tambi\u00e9n se requiere una conexi\u00f3n de Internet estable y robusta para la comunicaci\u00f3n y la transferencia de la informaci\u00f3n extra\u00edda para el an\u00e1lisis.<\/p>\n\n\n\n

Lo anterior en algunos casos se vuelve complicado, por ejemplo, cuando la persona que requiere apoyo se encuentra f\u00edsicamente en otro lugar y requiere atenci\u00f3n remota. En situaciones as\u00ed cabe la posibilidad de que la persona no cuente con un equipo de c\u00f3mputo para realizar la extracci\u00f3n mediante androidqf<\/em>, o que no cuente con una conexi\u00f3n estable para enviar la informaci\u00f3n por Internet, o que no tenga las habilidades en el manejo de un equipo de c\u00f3mputo para realizar todo el proceso incluso con el apoyo remoto o en videollamada cuando se requiera su intervenci\u00f3n.<\/p>\n\n\n\n

Propuesta de soluci\u00f3n<\/strong><\/p>\n\n\n\n

Contemplando todo lo mencionado hasta el momento, es que surge la idea de experimentar con el desarrollo de una herramienta que haga lo mismo que androidqf<\/em> o MVT<\/em> para extracci\u00f3n de informaci\u00f3n pero sin la dependencia de un equipo de c\u00f3mputo y con mayor facilidad para compartir la informaci\u00f3n.<\/p>\n\n\n\n

Este experimento tiene el nombre de apkq<\/em><\/a>f<\/em><\/a> o \u201cAPK Quick Forensics<\/a>\u201d en honor a androidqf<\/em>.<\/p>\n\n\n\n

El objetivo es desarrollar una aplicaci\u00f3n para dispositivos Android que pueda extraer la misma informaci\u00f3n que androidqf<\/em> y en el mismo formato, de tal modo que se pueda analizar mediante MVT<\/em> como si fuera una extracci\u00f3n realizada con androidqf<\/em>. Con esto se evita la necesidad de utilizar un equipo de c\u00f3mputo y todo se realiza desde el dispositivo m\u00f3vil de la persona.<\/p>\n\n\n\n

Tambi\u00e9n se propone que la informaci\u00f3n extra\u00edda sea empaquetada en un archivo comprimido y que este se pueda compartir mediante aplicaciones de mensajer\u00eda instant\u00e1nea como WhatsApp o mediante aplicaciones de nube como Google Drive, de tal modo que el compartir la informaci\u00f3n sea relativamente sencillo.<\/p>\n\n\n\n

Desarrollo<\/strong><\/p>\n\n\n\n

Las funciones con las que cuenta la <\/a>versi\u00f3n<\/a> de <\/a>androidqf<\/em><\/a> sobre la que se bas\u00f3 el experimento son:<\/p>\n\n\n\n