Forense. Extraer datos con TWRP (android)

Cada teléfono Android tiene una partición de "recuperación" que se utiliza de forma predeterminada para realizar restablecimientos de fábrica utilizando herramientas precargadas de un OEM (fabricante). Sin embargo, esta partición se puede modificar para reemplazar las herramientas predeterminadas por otras de terceros como TWRP.

Estas recuperaciones son (a diferencia de las de stock) capaces de modificar todas las particiones del sistema interno de teléfono (necesitan esta capacidad para actualizar el firmware personalizado).

TWRP incluso viene con un administrador de archivos incorporado con acceso ilimitado a la raíz para que pueda modificar, agregar o eliminar cualquier archivo del sistema manualmente. Este proceso le permite crear una imagen física, por lo que evita la protección del dispositivo que de otro modo estaría bloqueado.

Lo más importante es que TWRP tiene una conexión MTP en funcionamiento y ADB habilitado, lo que nos permite extraer casi todos los datos almacenados en el dispositivo y crear imágenes físicas a partir de ellos.


Del siguiente link https://twrp.me/Devices/ puede seleccionar la marca del dispositivo, modelo y seguir la guía de instalación.

 

Tips

  • El dispositivo debe tener su cargador de arranque desbloqueado para continuar con este método.
  • Si la imagen está cifrada por el propio sistema, solo podemos obtener la imagen física cifrada.
  • Los teléfonos Samsung son diferentes. Tienen "modo de descarga" en lugar de fastboot normal. Por lo tanto, se pueden controlar usando Odin, una herramienta para flashear software desarrollada por Samsung, o su alternativa de código abierto llamada Heimdall.
  • Los teléfonos Samsung tampoco tienen su propia partición de recuperación como otros teléfonos inteligentes Android. En su lugar, tienen un disco RAM especial (una pequeña partición IMG montada por el kernel antes y durante el arranque del sistema) como parte de "boot.img" dedicado específicamente para la recuperación.
  • Procedimientos como este pueden causar daños irreversibles al dispositivo; proceda con mayor precaución.
  • Antes de comenzar este tipo de procedimiento, tenga en cuenta que todo lo que hace conlleva un cierto riesgo, cada dispositivo se comporta de manera diferente.