Primeiro estudo forense peer-reviewed sobre o HackRF One com firmware PortaPack Mayhem
Um pesquisador mapeou, a partir do código-fonte do firmware Mayhem v2.0.1, onde e como ficam gravados os dados forensicamente relevantes no cartão microSD de dispositivos HackRF One/PortaPack usados para captura e replay de sinais de rádio. Usando a imagem real de um dispositivo com quatro meses de uso, o estudo demonstra a recuperação de capturas IQ apagadas e aparadas, além de atribuir seis gravações a um único transmissor OOK de código rolante por meio de um identificador de 32 bits. É o primeiro trabalho revisado por pares sobre forense desse tipo de SDR portátil, preenchendo uma lacuna importante para peritos que lidam com spoofing, jamming ou replay attacks.
SDRs (software-defined radios) baratos e portáteis como o HackRF One, quando acoplados à placa PortaPack e ao firmware open-source Mayhem, tornaram-se ferramentas de bolso capazes de capturar, editar e retransmitir sinais de rádio sem depender de um computador. Isso os torna atraentes tanto para pesquisa legítima em segurança quanto para ataques de replay, spoofing de localização e jamming contra sistemas como controles de portão, chaves veiculares e sensores IoT. Apesar da popularidade crescente desses dispositivos em casos de perícia, nenhum estudo revisado por pares havia até então documentado como os vestígios de uso ficam armazenados internamente, o que deixava os peritos sem uma base metodológica consistente para extrair e interpretar evidências.
O trabalho aborda essa lacuna analisando, no nível do código-fonte do Mayhem v2.0.1, exatamente onde, em que formato e em que momento o firmware grava dados no cartão microSD. A partir dessa análise estática, o autor constrói uma metodologia de aquisição e a aplica a uma imagem forense extraída do próprio dispositivo após quatro meses de uso real — ou seja, todas as conclusões partem exclusivamente da imagem, sem acesso a logs externos ou ao histórico real de uso, simulando as condições de um exame pericial típico. Entre os achados técnicos estão regras de timestamp que dependem do estado da bateria do RTC (relógio de tempo real) — um detalhe crítico, pois sem bateria o dispositivo pode gravar timestamps incorretos ou zerados, afetando a linha do tempo de qualquer investigação —, rastros de operações de corte (trimming) e edição de texto feitas diretamente no dispositivo, e a recuperação, em nível de cluster, de capturas IQ (in-phase/quadrature) que haviam sido deletadas ou parcialmente sobrescritas.
Um dos resultados mais relevantes na prática é a decodificação cruzada dos sinais recuperados: o autor valida os dados recuperados com um decodificador independente e consegue atribuir seis capturas distintas a um único transmissor OOK (on-off keying) de código rolante, todas compartilhando o mesmo identificador de 32 bits. Esse tipo de correlação é exatamente o que um perito precisaria para, por exemplo, ligar múltiplas capturas de um controle remoto ou chave veicular ao mesmo emissor físico em uma investigação de furto de veículo ou intrusão por relay attack — convertendo um amontoado de arquivos binários em uma linha de evidência coerente.
O artigo entrega, como produto final, um catálogo de artefatos forenses do Mayhem, regras de interpretação para cada tipo de vestígio e recomendações concretas de aquisição (como preservar a integridade do cartão e lidar com a dependência do RTC). A limitação mais evidente é que o estudo se baseia em uma única imagem de um único dispositivo com um padrão de uso específico, o que restringe a generalização dos achados — mas, por ser o primeiro trabalho do tipo, estabelece uma base replicável que outros peritos e pesquisadores podem validar e expandir para diferentes versões de firmware e padrões de uso, preenchendo uma lacuna real na forense de dispositivos SDR portáteis.