03- Análisis forense iPhone – Parte III – Copia bit a bit a través de SSH

Después de mostrar las rutas donde se almacenan los datos importantes voy a mostrar como hacer una copia bit a bit del interior del iPhone.

Atención: Esta técnica solo funciona para las versiones anteriores al “iPhone 4″ ya que Apple a partir de entonces introdujo un cifrado Hardware. Podemos extraer la imágen igualmente pero hasta que no haya un criptoanálisis que lo rompa por ahora no podremos abrirla.

/******************************

1. Requisitos

2. Pasos previos

3. Realizando la copia

******************************/

1. Requisitos

1.1 Jailbreak

Para realizar esta copia es necesario tener realizado el Jailbreak al iPhone.

1.2 OpenSSH

Para poder conectarse al iPhone es necesario que éste, tenga habilitado OpenSSH. Recordar que el par ususario/contraseña por defecto es: “root” / “alpine”.

1.3 Ordenador GNU/Linux con servidor ssh

El ordenador no es estrictamente necesario que tenga GNU/Linux instalado, pero en mi caso lo prefiero para realizar el resto de tareas. Más allá del sistema operativo, es necesario que tenga un servidor ssh. Para las personas que no sepan de distribuciones GNU/Linux, pueden coger el Live-CD de Kali que podéis descargar aquí. (Grabáis la ISO, y arrancáis desde CD)

1.4 Misma Red wifi para ordenador y iPhone

Para que puedan comunicarse el ordenador y el iPhone es necesario que se encuentren dentro de las misma subred (que en este caso es wifi) y que no haya un antivirus/firewall/IPS que bloquee el tráfico SSH a través de ella.

Como se muestra en la imágen, la IP del iPhone es 192.168.1.6 .

2. Pasos previos

En mi caso, he realizado las pruebas con un iPhone 4S con versión iOS 6.1.1.

2.1 Conectar a la corriente el iPhone

Es muy recomendable conectar el iPhone a la corriente para que no nos quedemos sin batería en medio de la copia.

2.2 Bloque automático: Nunca

Tanto si el teléfono tiene passcode como si no, vamos a modificar la frecuencia en que se bloquea seleccionando “Nunca”. Este paso lo realizamos para que mientras se esté realizando la copia bit a bit a través del wifi, el terminal no se bloquee y no se nos desconecte de la red, dejándonos la copia a medias (me ha pasado varias veces mientras hacia las pruebas =S).

Preferencias -> General -> Bloqueo automático -> Nunca

2.3 Activando servidor SSH

Para aquellos que estéis usando Kali u otro sistema operativo GNU/Linux que no tenga el servidor SSH arrancado, tendréis que hacerlo mediante los comandos:

Ver el status actual:

service ssh status

Arrancar:

service ssh start

Comprobación de que el servidor SSH esta arrancado:

service ssh status

ssh 127.0.0.1

exit

3. Realizando la copia

3.1 Ping

Vamos a comenzar haciendo ping al iPhone para ver que es alcanzable desde la red wifi.

3.2 Cambio de contraseña root

Seguidamente vamos a establecer una conexión SSH con el iPhone para cambiar la contraseña por defecto y que no nos afecten algunos de los virus que circulan por la red.

Para ello, una vez establecida la conexión a través de ssh con la password “alpine” tecleamos lo siguiente:

passwd

Introduciremos la nueva contraseña 2 veces, y ya tendremos nuestra propia contraseña root en el iPhone y no la Defecto.

3.3 Copia de datos mediante dd

Vamos a proceder a realizar la copia bit a bit. Para ello vamos a usar el sencillo pero potente comando “dd”. La idea es invocar el comando dd desde el iPhone haciendo una llamada al ssh del ordenador destino. De esta manera la copia del iPhone se irá pasando por wifi, a través del protocolo ssh a nuestro ordenador.

El comando a teclear dentro del iPhone es el siguiente:

dd if=/dev/rdisk0 bs=4096 | ssh -C <USUARIO>@<IP_DEL_PORTATIL_DESTINO> ‘dd of=<NOMBRE_IMAGEN>.img

Utilizamos bs=4096 para determinar que la unidad de bloque lectura/escritura es de 4KB (podríamos usar otro tamaño si queremos).

Usamos la opción -C para comprimir los datos con gzip y así tardar menos en el proceso (si disponemos de más tiempo podemos realizarlo sin esta opción).

Como se observa en la captura, el ordenador que va a recibir la imágen tiene la IP 192.168.1.10

El proceso de copiado es bastante largo. En mi caso duró unas 2 horas siendo el iPhone de 16GB, por lo que si vuestro almacenamiento es superior tendréis que tener bastante paciencia.

Y bueno, hasta aquí la copia bit a bit del iPhone.

Espero que os sirva

Un saludo!

Carlos Rebollo – @Charliesec

Carlos@highsec.es