Forense de SQLite: extraindo mais evidência dos bancos de aplicativos
Bancos SQLite estão por trás de quase todo aplicativo de celular. O artigo mostra como recuperar registros apagados e explorar estruturas internas (WAL, freelist) que as ferramentas automáticas costumam ignorar.
Praticamente todo aplicativo móvel — e boa parte dos de desktop — guarda seus dados em SQLite. Dominar a forense desse formato é dominar a fonte primária de mensagens, históricos e registros de atividade. O artigo mostra o que as ferramentas automáticas costumam deixar para trás.
Os pontos de recuperação são as entranhas do formato: páginas na freelist que ainda contêm registros apagados, o WAL (write-ahead log) com versões de dados anteriores ao último checkpoint, e slack de células dentro das páginas. Um registro "apagado" em SQLite frequentemente continua legível por completo para quem examina a estrutura em vez de consultar a API.
A prática recomendada: nunca confiar apenas na exportação da ferramenta comercial. Verificar WAL e freelist manualmente — ou com tooling que os examine explicitamente — em qualquer caso onde a existência (ou inexistência) de uma mensagem específica seja material para a investigação.