[모바일 포렌식] 8_안드로이드 포렌식 셋업과 데이터 사전 추출 기법

해당 도서의 8장_안드로이드 포렌식 셋업과 데이터 사전 추출 기법 (217p-243p) 내용 정리

---

포렌식 환경 구축

안드로이드 포렌식 환경 구축은 아래 항목들을 포함

• 새롭거나 포렌식적으로 깨끗한 컴퓨터 환경(다른 데이터가 시스템에서 존재하지 않거나 데이터가 존재하더라도 진행 중인 조사를 오염시키지 않는 환경)에서 시작
• 기기에 접속할 때 필요한 기본적인 소프트웨어를 설치 → 안드로이드 포렌식 도구와 방법은 윈도우, 리눅스, OS X 플랫폼에서 동작
• 기기에 대한 권한 얻기. 조사관은 안드로이드 기기에서 데이터를 추출하기 위해 설정에 접근하거나 우회할 수 있어야 함

안드로이드 소프트웨어 개발 킷(SDK)

개발자가 안드로이드에서 동작하는 애플리케이션을 빌드, 테스트, 디버그할 수 있도록 도와주는 역할

애플리케이션을 생성할 수 있는 도구를 제공

안드로이드 기기의 조사 과정에서 큰 도움이 될 수 있는 유용한 문서와 다른 도구를 함께 제공

 

안드로이드 SDK 구성 요소(http://developer.android.com/ 에서 무료로 다운로드 가능)

•  소프트웨어 라이브러리
• API
• 도구
• 에뮬레이터
• 기타 참고 자료

포렌식 조사 과정에서 SDK는 안드로이드 기기에 있는 데이터에 연결하고 접근하는 데 도움을 줌

 

안드로이드 SDK 설치 (in 윈도우 7 컴퓨터)

1. 안드로이드 SDK는 JDK(Java SE Development Kit)에 의존적이기 때문에 JDK 설치되어 있는지 먼저 확인해야 함 ( http://www.oracle.com/technetwork/java/javase/downloads/index.html 에서 다운로드 가능)
2. http://devloper.android.com/ 에서 최신 안드로이드 SDK 다운로드(SDK 설치 버전을 권장)
3. 다운로드한 설치 파일을 실행
4. 설치될 위치는 사용자가 정할 수 있음. Install 버튼 클릭 후 위치 선택하면 필요한 파일들이 해당 폴더에 추출됨
5. 디렉토리를 열어 설치된 파일 중 SDK Manager.exe 더블클릭하여 업데이트 과정을 시작. 안드로이드 SDK 플랫폼 도구와 출시된 안드로이드 플랫폼 버전 중 반드시 하나를 선택, 라이선스에 동의하고 설치

위 과정을 통해 안드로이드 SDK 설치를 완료

실행 파일 경로에 대한 시스템 환경 변수를 설정할 수 있음

모든 기능 사용 위해서 SDK와 함께 제공되는 과정을 반드시 따라야 함

 

안드로이드 가상 기기

안드로이드 SDK가 플랫폼과 함께 설치되면 에뮬레이터라고 불리기도 하는 안드로이드 가상 기기(AVD, Android Virtual Device)를 생성할 수 있음.

AVD는 보통 개발자들이 새로운 애플리케이션을 생성할 때 사용, 애플리케이션이 기기에서 어떻게 동작하고 실행되는지 이해하는 데 도움을 줌

→ 포렌식 조사 과정에서 발견한 것을 확인하는 데 도움 + 구 버전의 플랫폼에서 동작하는 기기에서 작업을 하면서 같은 플랫폼을 운영하는 에뮬레이터 설계 가능 + 실제 기기에 포렌식 도구 설치하기 전 포렌식 도구가 어떻게 동작하고 기기의 내용을 바꾸는지 확인 가능

 

새로운 AVD 생성 위해 수행하는 과정

1. 명령 프롬프트(cmd.exe)를 열기. 명령행에서 AVD 매니저를 시작하기 위해 SDK가 설치된 곳으로 이동해 다음 명령행에 나와 있는 것과 같이 안드로이드 툴을 avd 옵션과 함께 호출 → AVD 매니저를 자동으로 열어 줌

C:\android-sdk\tools>android avd

안드로이드 가상 기기 매니저

2. AVD 매니저 창에서 New를 클릭해 새로운 가상 기기 생성. 아래 사진처럼 Edit 클릭해 기존 가상 기기의 환경설정 변경 가능

가상 기기 환경설정

3. 아래 정보들을 입력

• AVD Name: 가상 기기에 ForensicsAVD와 같은 이름 부여 시 사용
• Device: 화면 크기에 기반해 사용 가능한 기기들 중 하나 선택
• Target: 기기의 플랫폼 선택 시 사용. SDK 설치 과정에서 선택되고 설치된 버전들만 목록에 표시
• 내부 저장소 공간, SD 카드의 크기 등 에뮬레이터 커스터마이즈하기 위한 하드웨어 기능 선택 가능

4. 기기가 성공적으로 생성되면 확인 메시지 나타남. AVD 선택하고 Start 클릭해서 실행 옵션 나타나면 옵션 선택해 Launch 클릭

5. 에뮬레이터 실행 (워크스테이션의 CPU와 RAM에 따라 오랜 시간 걸릴 수 있음. 에뮬레이터는 상당량의 시스템 자원을 소모)

안드로이드 에뮬레이터 실행 화면

 

에뮬레이터 사용해 이메일 계정 설정, 애플리케이션 설치, 인터넷 검색, 문자 메시지 전송 등 작업 가능

에뮬레이터 작업 통해 생성된 데이터는 홈 디렉토리의 .android 폴더에 저장됨

 

디렉토리에 생성되는 파일 중 중요 폴더

• cache.img: /cache 파티션의 디스크 이미지
• sdcard.img: SD 카드 파티션의 디스크 이미지
• Userdata-qemu.img: /data 파티션의 디스크 이미지

 

안드로이드 기기를 워크스테이션에 연결

오픈소스 도구를 사용한 안드로이드 기기의 포렌식 수집을 위해 기기를 포렌식 워크스테이션에 연결해야 함.

해당 워크스테이션은 포렌식적으로 깨끗해야 하며 포렌식 용도 외의 다른 개인적 용도로는 사용되지 않아야 됨을 의미.

기기가 컴퓨터에 연결되어 있을 때 기기에 변경사항 생길 수 있음을 명심.

 

기기를 워크스테이션에 연결하기 위한 과정

1. 기기 케이블 확인
   • 안드로이드 기기의 물리적 USB 인터페이스는 기기를 컴퓨터에 연결시켜 여러 유형의 데이터를 공유할 수 있게 함
   • USB 인터페이스는 제조사와 기기에 따라 다를 수 있어 안드로이드 기기 조사 시에는 어떤 케이블이 필요한 지 알아내는 것이 첫 단계.
2. 기기 드라이버 설치
   • 기기 인식을 위해 컴퓨터에 특정 드라이버 설치해야 할 수도 있음
   • 제조사에 의해 안드로이드가 수정되고 커스터마이즈되기 때문에 모든 안드로이드 기기에 대해 동작하는 일반 드라이버는 존재하지 않음. 장치에 따라 설치해야 할 특정 장치 드라이버를 아는 것이 중요(제조사의 웹사이트에서 찾을 수 있음)

 

연결된 기기에 접근

USB 케이블을 사용해 안드로이드 기기를 컴퓨터에 연결

일부 구형 안드로이드 기기에서는 폰에서 USB 저장소 옵션 켜지 않으면 접근 못할 수도 있음

일부 안드로이드 폰(특히 HTC폰)은 USB 케이블로 연결되었을 때 하나 이상의 기능 보여줄 수도 있음

→ Ex) 아래 스크린샷은 HTC 기기의 모습, 연결됐을 시 네 가지 타입 선택 가능. 기본 옵션은 Charge only이지만 Disk drive 옵션 선택 시 기기가 디스크 드라이브로 마운트되고 기기의 SD 카드에 접근 가능해짐

HTC 모바일 USB 옵션

 

안드로이드 디버그 브릿지 (adb, Android Debug Bridge)

adb는 명령행 도구로 안드로이드 기기와 통신하고 기기를 제어할 수 있게 함. 

'<sdk>/platform-tools/'에서 사용 가능

USB 디버깅 옵션에 대한 이해가 우선되어야 함

• USB 디버깅 옵션
  • 안드로이드 기기와 안드로이드 SDK가 설치된 워크스테이션 사이에 통신 가능하게 해 주는 것이 주 기능
  • 삼성 폰에서는 '설정>개발자 옵션'에서 해당 옵션에 접근 가능
  • USB 디버깅 옵션이 선택되면 기기는 adb 데몬(adbd)를 백그라운드로 실행하고 USB 연결을 지속적으로 확인
  • 데몬은 비특권 셸 유저 계정으로 실행되기 때문에 전체 데이터를 제공하지 않지만 루팅된 폰에서는 adbd가 루트 계정으로 실행되며 모든 데이터에 대한 접근 제공함

삼성 모바일 폰에서의 USB 디버깅 옵션

 

안드로이드 SDK가 설치된 워크스테이션에서 adbd는 백그라운드 프로세스로 동작

같은 워크스테이션 셸에서 adb 명령어를 사용해 클라이언트 프로그램 호출 가능

adb 클라이언트가 실행될 때, adb는 adb 데몬이 이미 동작 중인지 확인하고 만약 동작 중이지 않다면 adb 데몬을 시작하기 위한 새로운 프로세스를 초기화. adb 클라이언트 프로그램은 로컬 adbd와 5037 포트로 통신

 

adb를 사용하여 기기에 접근

환경설정 완료되고 안드로이드 기기가 USB 디버깅 모드로 들어가면 올바른 USB 케이블 사용해 안드로이드 기기를 포렌식 워크스테이션에 연결하고 adb를 시작

 

연결된 기기 탐지

• 위 명령어는 포렌식 워크스테이션에 연결된 모든 기기의 목록을 보여줌
• 명령어 실행 시점에 에뮬레이터 동작 중이라면 에뮬레이터 목록도 나타남
• 필요한 드라이버 설치되지 않았다면 위 명령어는 아무런 결과도 보여주지 않음

로컬 adb 서버 종료

• 위 명령어는 로컬 adb 서버를 종료시킴
• 로컬 adb 서비스를 종료한 이후, adb devices 명령어를 실행해서 서버가 시작되는지 확인

adb 셸에 접속

• 위 명령어는 포렌식 조사관이 안드로이드 기기의 셸에 접근하여 기기와 통신할 수 있게 함
• adb 셸에 접근하여 기본 ls 명령어를 사용해 현재 디렉토리의 내용 보여줌

 

안드로이드 기기 제어

의도하지 않은 행동이 데이터 변경 등 원치 않은 결과 초래할 수 있기 때문에 주의해야 함.

분석할 안드로이드 기기에 최초 접속 시 기기가 계속 활성화(잠금 해제) 상태인지 확인

→ 활성화 상태라면 다음 과정을 수행

• USB 디버깅 활성화
  • 이 옵션이 활성화되면 adb 연결을 통해 기기에 대한 더 많은 접근을 제공
  • 기기에서 데이터 추출 시 큰 중요성을 가짐
  • USB 디버깅 활성화하는 옵션의 위치는 기기마다 다를 수 있으나 대부분 '설정>개발자 옵션'에 위치
  • 안드로이드 기기에서 물리적 수집 위한 대부분의 방법은 USB 디버깅 활성화를 요구 
• "켜진 상태로 유지(Stay awake)" 설정 활성화
  • 이 옵션 선택되고 기기가 충전기에 연결되어 있으면 기기는 절대 잠기지 않음
• 화면 타임아웃 늘이기
  • 기기의 잠금이 풀렸을 때 기기가 활성화되는 시간을 늘이는 옵션
  • 갤럭시 S3 폰 기준, '설정>디스플레이>화면 자동 꺼짐'에 위치

위와 별개로 네트워크와 분리시켜 원격 삭제 옵션이 기기에서 동작하지 않도록 해야 함. 

안드로이드 기기 매니저(Android Device Managers)

• 폰을 원격으로 삭제하거나 잠그는 것을 가능하게 함.
• 안드로이드 디바이스의 원격 삭제 기능 활성화되어 있지 않으면 기기는 안드로이드 기기 매니저를 통해서만 잠길 수 있음

또한 다양한 모바일 기기 관리(MDM, Mobile Device Management) 소프트웨어가 시장에 나와 있어 이들을 통해 안드로이드 기기 원격으로 잠그거나 삭제 가능

네트워크와의 분리를 위해 기기를 비행기 모드로 두가나 와이파이를 비활성화시키는 방법도 존재

폰에서 SIM 카드 제거하는 것은 선택적이지만 기기를 와이파이/셀룰러 네트워크 통해 통신하는 것을 효과적으로 방지하진 못함.

---

화면 잠금 우회 기법

사용자 인식 증가&기능의 편리함 때문에 안드로이드 기기 잠금을 위한 패스코드 옵션 사용이 기하급수적으로 증가

→ 포렌식 조사에서 기기의 스크린 잠금 우회하는 것이 중요해짐

 

현재 안드로이드에서 제공하는 화면 잠금 방법

• 패턴 잠금
  • 사용자는 폰에 패턴이나 디자인을 설정하고 기기를 잠금 해제하기 위해 같은 패턴 그려야 함
• PIN 코드
  • 가장 일반적인 잠금 옵션
  • 네 자리 숫자로 기기 잠금해제하기 위해 입력됨
• 패스코드(알파벳+숫자)
  • 알파벳과 숫자로 이루어진 패스코드
  • 네 자리 숫자인 PIN과 달리 숫자 이외의 문자도 포함

 

adb 사용한 스크린 잠금 우회

안드로이드 기기에서 USB 디버깅 옵션 활성화되어 있다면 USB 사용하여 adb 기기를 연결하는 것이 좋음

조사관은 기기를 포렌식 워크스테이션에 연결하여 adb devices 명령 내려야 함

해당 명령 시 기기가 나타난다 → USB 디버깅이 활성화되어 있다

안드로이드 기기 잠겨있을 시 스크린 잠금 우회 시도를 반드시 해야 함

 

스크린 잠금 우회를 위한 방법들:

 

gesture.key 파일 삭제

1. 기기를 포렌식 궈크스테이션에 USB 케이블 사용하여 연결

2. 명령 프롬프트를 열어 아래 명령을 실행

3. 기기 재부팅. 여전히 패턴 락 나타난다면 랜덤한 패턴을 그려 기기가 문제없이 잠금 해제되는지 관찰

 

해당 방법은 기기가 루팅된 경우 동작되며, 루팅되지 않은 기기에서는 동작하지 않을 수 있음

올바른 승인 없이 안드로이드 기기 루팅하는 건 기기에 변화 줄 수 있기 때문에 시도 X

 

settings.db 파일 업데이트

1. USB 케이블 사용해 기기를 포렌식 워크스테이션에 연결

2. 명령 프롬프트 열어 다음 명령을 실행

3. 종료하고 기기를 재부팅

4. 안드로이드 기기가 잠금 해제되었을 것. 만약 그렇지 않으면 gesture.key 파일 삭제

 

수정된 복구 모드와 adb 연결 확인

안드로이드에서 복구는 복구 콘솔이 존재하는 전용 파티션을 의미함

복구의 중요한 두 가지 기능: 데이터 삭제 & 업데이트 설치

보통은 볼륨 버튼+전원 버튼 등 다른 키들을 함께 눌러 복구 모드에 진입

복구 모드에 진입하면 기기를 워크스테이션에 연결하고 adb 접속을 시도. 만약 기기의 복구 모드 수정되지 않았다면 adb 접속 불가

 

새로운 복구 파티션 플래싱

Fastboot 유틸리티

• 수정된 이미지로 안드로이드 기기의 복구 파티션을 플래싱할 수 있음
• SDK 패키지에 포함된 진단 프로토콜로 컴퓨터와의 USB 연결을 통해 플래시 파일 시스템을 수정하는 데 사용

기본적인 하드웨어 초기화 과정만 수행되는 부트로더 모드로 기기를 시작

기기에 프로토콜 활성화되면 USB 케이블을 통해 전송되는 특정 명령어(컴퓨터에 저장된 바이너리 이미지로 파티션을 플래싱 또는 다시 쓰는 것 등) 받아들임

복구 모드 플래시되면, 기기를 복구 모드로 부팅시키고 /data와 /system 파티션을 마운트하고 adb 사용해 gesture.key 파일을 삭제

 

이후 폰 재부팅하면 화면 잠금 우회 가능

 

스머지(Smudge) 공격

터치스크린 모바일 기기에서 패스워드 추론 위해 사용될 수 있음

사용자의 손가락이 남긴 자국을 알아내는 방식

조사 과정에서 기기를 처음 만질 때 화면을 건드리지 않도록 주의

 

기본 지메일 계정 사용

기기에 설정된 기본 Gmail 주소의 아이디와 패스워드 알고 있다면 기기에서 PIN, 패스워드, 스와이프 변경 가능

일정 횟수의 잠금 해제 실패하면 안드로이드는 패턴 분실 or 패스워드 분실이라는 옵션 제공

나타난 링크를 클릭하고 Gmail 아이디와 패스워드 사용하여 로그인하면 새로운 패턴 락이나 패스코드 설정 가능

 

다른 기법들

• 칩 오프(chip-off)
  • 회로에서 메모리 칩을 분리하여 읽는 시도
  • 기기로부터 칩 제거되면 기기를 원상복구시키는 것이 어렵기 때문에 더 파괴적인 방법
  • 오픈소스나 상용 도구로부터 데이터 추출하지 못하거나 수리 불가능할 정도로 기기가 손상되었을 때만 고려되어야 함
• JTAG
  • JTAG Test Access Ports를 찾아 커넥터를 JTAG 포트에 연결시켜 기기 메모리로부터 데이터 읽음
  • JTAG 포트는 조사관이 칩을 제거하지 않고 데이터의 물리적 이미지를 메모리 칩으로부터 얻을 수 있게 도와줌

셀레브라이트(Cellebrite)와 같은 상용 도구들은 칩 오프와 JTAG 수집에서 얻은 .bin 파일을 받아들여 잠금 코드를 해제할 수 있음

---

루트 권한 얻기

안드로이드 폰을 루팅하는 것은 일반적이며 포렌식 조사 과정에서 루팅된 폰을 다룰 수 있음

가능한 환경에서 조사관은 포렌식 조사를 위한 데이터 수집을 위해 기기를 루팅해야 할 수 있음

 

루팅의 의미

루트(root)

• 유닉스 기반의 운영체제에서 기본 관리자 계정
• 리눅스에서는 루트 사용자가 모든 시스템 서비스를 시작/중지하고 모든 파일을 수정/삭제하며, 다른 사용자의 권한 변경하는 등의 작업 수행 가능 
• 그러나 안드로이드 폰에서는 기본적으로 루트 사용자로 로그인 불가함 

안드로이드 폰을 루팅하는 것은 일반적으로 '허용되지 않은 행위를 기기 상에 수행할 수 있는 권한 획득'을 의미. 

제조사들은 일반 사용자들에게 기기가 특정한 방식으로 동작하길 원하는데 기기 루팅하면 시스템을 취약점에 노출시킬 수 있고, 사용자에게 슈퍼유저 기능 부여되면 더 이상 보증받지 못함.

 

안드로이드에서는 각 애플리케이션이 별개의 사용자로 여겨져서 UID가 부여됨

→ 애플리케이션은 제한된 자원에 접근할 수 있고, 애플리케이션 격리 개념이 적용됨

근본적으로 안드로이드 기기 루팅은 슈퍼유저 기능 허용하고 안드로이드 기기에 대한 열린 접근(Open access)을 제공

 

안드로이드 기기 루팅

모든 기기에 대한 루팅은 기기 펌웨어의 보안 허점을 공격하여 su(superuser) 바이너리를 현재 프로세스의 경로(/system/xbin/su)에 복사하고 chmod 명령어를 사용해 실행 권한 부여하는 것으로 이뤄짐

 

설명을 위한 가정:

안드로이드 기기가 세 개~네 개의 파티션으로 이뤄져있고 안드로이드와 전적으로 연관되지 않은 프로그램을 실행

위와 같은 상황에서,

• 부트로더
  • 첫 번째 파일 시스템에 존재하며 폰이 켜질 때 첫 번째로 실행되는 프로그램
  • 다른 파티션 부팅시키고 ROM이라고 보통 여겨지는 안드로이드 파티션 읽어들임
  • 복구 파티션 등 다른 파티션으로 부팅하는 옵션 제공
• 복구 파티션
  • 폰에 업그레이드 설치하는 것을 다루며 업그레이드는 안드로이드 ROM 파티션에 직접 기록됨
  • 기기의 공식 업데이트 설치할 때 사용됨
  • 이 제약 우회하는 것을 통해 모든 unlock된 안드로이드 ROM을 설치/플래시할 수 있음
  • 수정된 복구 프로그램은 루팅 과정 쉽게 만들어주며 일반 복구 모드에서는 볼 수 없는 다양한 옵션 제공
  • 안드로이드 세계에서 가장 많이 사용되는 복구 프로그램은 Clockwork recovery며 ClockworkMod로도 불림
  • 대부분의 루팅 방법은 수정된 복구 프로그램을 복구 파티션에 플래시하는 것으로 시작 이후 업데이트 명령 수행하여 기기를 루팅 → 그러나 대부분 모델에 대해 한 번의 클릭으로 폰을 루팅할 수 있는 소프트웨어가 존재해서 수동으로 수행할 필요 없음

일반 안드로이드 시스템 복구 모드

수정된 복구 모드

루팅의 장단점

• 장점
  • 기기에 존재하는 소프트웨어를 가장 깊숙한 수준까지 수정할 수 있음 (ex. 기기 CPU를 오버/언더클락 가능)
  • 통신사, 제조사 등이 걸어놓은 제약 우회 가능
  • 새롭게 커스터마이즈된 ROM 다운로드해 설치 가능
• 단점
  • 루팅 과정에서 발생한 오류로 고칠 수 없는 손상을 폰에 입혀 기기를 쓸모없는 벽돌로 만들 수 있기 때문에 루팅 시에는 극도의 주의 필요
  • 루팅으로 인해 기기에 대한 보증 받지 못할 수 있음
  • 멀웨어와 다른 공격에 대한 노출 높아짐, 안드로이드 시스템에 대한 전체 권한 가진 멀웨어는 큰 피해 만들어낼 수 있음

기기 루팅되면 Superuser 앱과 같은 애플리케이션이 루트 권한 제공하거나 거부 가능.

Superuser 앱은 기기에 슈퍼유저 권한 부여하고 관리하는 데 도움을 줌

 

루트 권한: adb 셸

일반적인 안드로이드 폰은 특정 파일과 디렉토리에 대한 접근 허용하지 않음

 

루팅되지 않은 안드로이드 기기에서 /data/data 폴더 접근 시 아래와 같은 메시지 나옴

 

루팅된 폰에서 adb 셸 실행하려면 아래와 같은 커맨드 사용해야 함

 

폰을 루팅하면 기존에 접근하지 못했던 폴더와 데이터에 접근할 수 있게 됨.

#은 슈퍼유저나 루트 나타내고, $는 일반 사용자를 나타냄