Round-up de forense digital reúne SQLite móvel, forense serverless, decodificação do Signal e novidades em iLEAPP/ALEAPP
Edição semanal do Forensic Focus reúne avanços práticos em diversas frentes da perícia digital: análise de bancos SQLite em iOS Powerlogs, desafios de aquisição em ambientes serverless (AWS Lambda e Azure Functions), decodificação do banco de dados do Signal em Android 15 e novidades nas ferramentas open-source iLEAPP/ALEAPP para sinalização de imagens geradas por IA. O compilado também traz uma ferramenta de timeline para Linux e uma atualização de triagem para macOS.
O round-up funciona como um termômetro do estado da arte em forense digital, agregando em um único texto atualizações de ferramentas e técnicas que normalmente estariam espalhadas por dezenas de blogs e repositórios. Isso tem valor prático real para peritos: boa parte do trabalho de manter uma bancada forense atualizada consiste exatamente em acompanhar releases pontuais como as citadas aqui, que isoladamente pareceriam pequenas mas em conjunto mudam o que é viável investigar.
Dois destaques técnicos merecem atenção. Primeiro, o tratamento de Powerlogs no iOS via DB Browser for SQLite — um banco com mais de 700 tabelas usado em sysdiagnose threat hunting, onde técnicas como colorização de células e conversão de timestamps epoch fazem diferença real na velocidade de triagem. Segundo, o reconhecimento de que ambientes serverless (AWS Lambda, Azure Functions) mudam fundamentalmente o modelo de aquisição: não existe mais um disco ou processo persistente para coletar, e a reconstrução de um incidente (como um cryptominer rodando em Lambda) depende inteiramente de CloudTrail, CloudWatch Logs e do pacote de deployment — fontes que muitas organizações sequer têm configuradas por padrão.
A decodificação do banco do Signal em dispositivos Android 15 a partir de chaves recuperadas de imagens de sistema de arquivos completo é outro ponto sensível: mensageiros com criptografia forte são um dos maiores gargalos de investigações envolvendo suspeitos com boa higiene operacional, e qualquer avanço replicável nessa área tem impacto direto em casos reais. Já as atualizações do iLEAPP/ALEAPP — com detecção de metadados C2PA Content Credentials e IPTC Digital Source Type para sinalizar imagens geradas por IA, além de novos parsers de Biome gerados com apoio de LLM que desbloquearam milhares de linhas de dados antes não interpretadas — mostram como IA generativa está sendo usada tanto do lado ofensivo (criação de conteúdo sintético) quanto do lado defensivo (parsing automatizado de artefatos pouco documentados).
O valor prático disso para quem trabalha na ponta é cumulativo: nenhuma dessas novidades isoladamente resolve um caso, mas a soma de timeline unificado no Linux (TraceQuarry, com normalização UTC e mapeamento para MITRE ATT&CK) e triagem nativa de bundles .app no macOS (MalChela 4.2) reduz o tempo de setup manual que hoje consome uma fração desproporcional do trabalho pericial.