Learning Android Forensics

Manual introductorio y procedimental centrado en el peritaje y la investigación forense digital en dispositivos móviles con el sistema operativo Android, abarcando principalmente desde Android 4.4 (KitKat) hasta Android 5.0 (Lollipop). Donnie Tindall y Rohit Tamma conciben la obra para peritos informáticos, analistas de respuesta a incidentes, miembros de fuerzas de seguridad y especialistas en ciberseguridad que necesitan extraer, preservar y analizar evidencia digital sin alterar su integridad, partiendo de conocimientos generales en sistemas operativos y uso elemental de la consola Linux.

El temario profundiza en la arquitectura interna del sistema: el kernel Linux, las máquinas virtuales Dalvik y ART, la jerarquía de particiones, el modelo de permisos, el sandboxing de aplicaciones y las etapas del arranque del dispositivo. Enseña a estructurar una estación de trabajo forense con distribuciones y utilidades especializadas como Santoku Linux, FTK Imager, Autopsy y The Sleuth Kit, conectándose al terminal mediante Android Debug Bridge (ADB). Se detallan las metodologías de adquisición lógica (a través de respaldos con adb backup) y adquisición física bit a bit mediante dd y netcat aprovechando privilegios de root o custom recoveries, la reconstrucción y tallado (carving) de registros eliminados en bases de datos SQLite, la ingeniería inversa de aplicaciones con APKTool, dex2jar y JD-GUI, y el análisis estático y dinámico de malware en archivos APK.

El texto no construye aplicaciones comerciales, sino que propone ejercicios de laboratorio forense: adquisición de imágenes forenses, evasión de pantallas de bloqueo (patrones y PIN), rastreo de huellas dejadas por aplicaciones de mensajería, navegación y llamadas, y disección de binarios maliciosos. Su mayor aporte es la rigurosidad en la preservación de la cadena de custodia y la comprensión del almacenamiento interno; sin embargo, conviene saber que las técnicas de rooteo y extracción física descritas han cambiado sustancialmente frente a los mecanismos de cifrado de disco completo y arranque seguro introducidos en versiones modernas de Android.