"Alexa, tell me …" - A forensic examination of the Amazon Echo Dot 3 rd Generation

1. Introdução

A introdução contextualiza a crescente relevância dos alto-falantes inteligentes e assistentes pessoais (como a Alexa) como evidência em investigações criminais, citando que esses dispositivos já contribuíram para o esclarecimento de casos nos Estados Unidos. Com milhões de unidades ativas mundialmente, há uma alta probabilidade de que esses dispositivos registrem comportamentos criminosos.

O objetivo do estudo é realizar uma análise forense focada especificamente na 3ª geração do Amazon Echo Dot, utilizando uma abordagem multinível.

2. Pontos de Partida

Esta seção identifica quatro pontos de partida principais para uma investigação forense no dispositivo:

Análise de Tráfego de Rede: É mencionada como uma possibilidade, já que o dispositivo mantém conexão constante com a nuvem. No entanto, a maior parte desse tráfego é criptografada (SSL) e a quebra dessa criptografia não faz parte do escopo deste artigo.
Análise de Hardware: Trabalhos anteriores focaram nas gerações 1 e 2, usando métodos como portas de depuração, JTAG ou ISP para extrair firmware. O artigo destaca que a Amazon muda o design de hardware a cada geração, tornando esses resultados não diretamente transferíveis para o Echo Dot de 3ª geração. Observa-se também que a interface USB externa foi removida nesta geração.
Análise de Nuvem e Cliente: Menciona que a comunicação com a nuvem ocorre via APIs predefinidas, mas que essa lista de APIs não é pública.

3. Metodologia

Esta parte do artigo detalha a metodologia adotada no estudo: utilizando uma abordagem forense multinível para analisar o Amazon Echo Dot de 3ª geração, dividida em três etapas principais:

1. Análise de Hardware

O foco inicial é obter acesso físico ao chip de memória do dispositivo. Os pesquisadores testam métodos conhecidos de versões anteriores (eMMC root, JTAG, portas de depuração) para verificar sua aplicabilidade na nova geração. O objetivo é extrair artefatos de configuração e dados do usuário armazenados localmente, examinando as partições e sistemas de arquivos do Echo Dot.

2. Análise no Nível do Cliente

Esta etapa visa recuperar informações dos dispositivos complementares (smartphones e laptops usados para controlar a Alexa). A busca foca em IDs de dispositivos, informações de usuário, tokens de autenticação e a localização de artefatos locais, como listas de tarefas e compras, armazenados nos aplicativos clientes.

3. Análise da Nuvem

A análise final envolve criar uma sessão web com a Alexa usando credenciais válidas (userID e senha) para adquirir dados diretamente da nuvem. Isso inclui informações sobre contas registradas, configurações de Wi-Fi salvas, calendários vinculados e, crucialmente, as gravações de voz dos últimos comandos.

Para realizar esses testes, foi criado um ambiente controlado com os seguintes componentes:

Tabela 1: Componentes do Sistema de Teste

Objeto	Descrição
Dispositivos com Alexa	2x Amazon Echo 3ª Geração
Clientes Complementares	1x Smartphone ZTE BLADE L110 (Android 5.1) + App Alexa
	1x Smartphone Google Pixel 3A (Android 9) + App Alexa
	1x Laptop HP (Windows 10 Pro) + Firefox

Esta metodologia abrangente visa obter um quadro forense completo do dispositivo, embora a análise de tráfego de rede tenha sido omitida por ter valor forense limitado neste contexto.

4. Resultados e Discussão

4.1. Análise de Hardware (Método Destrutivo)

Devido à falta de interfaces não destrutivas conhecidas (como JTAG ou pinagem ISP pública) para a 3ª geração, os pesquisadores optaram pelo método Chip-off para acessar os dados diretamente do chip de memória.

Processo: O dispositivo foi aberto e, devido a mudanças no design da placa de circuito (agora duas placas e mais espessas), foi necessário usar temperaturas elevadas e cortes com Dremel para remover o chip de memória eMMC (Samsung KMFN60012M-B214) sem danificá-lo.
Resultados: A imagem forense do chip revelou 16 partições. A análise da partição de dados do usuário (user_data, 5.1 GB) permitiu recuperar arquivos de configuração importantes.

Principais Artefatos de Hardware:

Arquivo/Local	Informação Recuperada
`shared_prefs/network_deregistration.handler.xml`	SSID do Wi-Fi e tipo de criptografia.
Vários arquivos XML	UserID da conta Amazon e timestamps Unix.
Conclusão	Permite vínculo físico do dispositivo a uma conta, mas sem histórico detalhado de conexões ou geolocalização.

4.2. Análise do Lado do Cliente (Smartphone)

A extração física dos dados do aplicativo Amazon Alexa no smartphone Android provou ser uma fonte rica de evidências, mesmo sem acesso direto à nuvem.

Processo: Foi realizado um backup físico do smartphone para garantir acesso a todos os dados, incluindo arquivos potencialmente deletados.
Resultados: A análise da pasta do aplicativo (\data\com.amazon.dee.app) revelou bancos de dados e arquivos XML cruciais.

Principais Artefatos do Cliente:

Arquivo/Banco de Dados	Informação Recuperada
`service.identity.xml`	Nome de usuário e e-mail da conta Amazon.
`RKStorage.db` (tabela `catalystLocalStorage`)	Contém "Cards" em formato JSON com transcrições de comandos de voz, respostas da Alexa, e URLs para os arquivos de áudio na nuvem.
`map_data_storage.db`	Coordenadas de geolocalização e endereços salvos.
Cache do App	Potencial para encontrar arquivos de áudio (`sound.wav`) se reproduzidos recentemente pelo usuário.

4.3. Análise da Nuvem (Com Credenciais)

O acesso à nuvem da Amazon, requerendo userID e senha, forneceu o maior volume de dados forenses.

Processo: Acesso via interface web (alexa.amazon.de e amazon.de/alexaprivacy) usando as credenciais recuperadas ou fornecidas.
Resultados: Acesso completo ao histórico de interações do usuário com a Alexa.

Principais Artefatos da Nuvem:

Categoria	Informação Recuperada
Gravações de Voz	Arquivos de áudio reproduzíveis de todos os comandos (exceto os deletados manualmente), com transcrição exata, data, hora e dispositivo usado. Inclui ativações acidentais.
Dispositivos	Lista de todos os dispositivos Echo vinculados à conta, seus números de série (DSN) e status.
Configurações Pessoais	Listas de tarefas, compras, alarmes, timers e contatos sincronizados.

Em resumo, enquanto a análise de hardware fornece um vínculo físico básico, a análise do cliente oferece metadados ricos (transcrições, geolocalização) sem precisar de senha, e a análise da nuvem entrega o conteúdo completo, incluindo os áudios originais.

5. Conclusões e Trabalhos Futuros

Conclusões Principais:

Análise de Hardware: Foi determinado que métodos não destrutivos usados em gerações anteriores não são aplicáveis à 3ª geração, exigindo métodos destrutivos (chip-off) para acesso aos dadoS. Esta análise forneceu o UserID, informações sobre contas registradas e a última rede sem fio usada, mas não forneceu geocoordenadas. Timestamps Unix permitiram rastrear a configuração do dispositivo e o último login.
Análise do Cliente: Exige um backup físico do dispositivo móvel. Foi possível identificar um arquivo de áudio (sound.wav) no cache do aplicativo apenas se o usuário tivesse ouvido a gravação anteriormente através da aba de atividades. Mesmo sem acesso à conta Amazon, esta análise revelou informações sobre os últimos comandos de voz através do banco de dados RKStorage.
Análise da Nuvem: Fornece a maior quantidade de dados, mas requer as credenciais da conta.

Trabalhos Futuros: Os autores sugerem investigar se a exclusão manual das gravações de áudio na nuvem também remove os "Cards" correspondentes no aplicativo. Se não forem removidos, esses cards podem fornecer informações sobre comandos que foram deletados pelo usuário.