Guia Completo: Hash, Cadeia de Custódia

Guia Completo: Hash, Cadeia de Custódia, MOBILedit e Auditoria Pericial | OSINT Brasil

Guia Completo: Hash, Cadeia de Custódia, MOBILedit e Auditoria Pericial

Investigação defensiva de ponta a ponta — OSINT Brasil / RDS

Neste guia: 1. Gerando hash — o primeiro passo da evidência 2. Ferramentas de hash (nativas, GUI, nível pericial) 3. Preservando a cadeia de custódia 4. Apps para preservar custódia sem ata notarial 5. Verificando quebra de procedimento 6. Bibliografia técnica e legal 7. Auditando laudos de polícia científica e Cellebrite 8. MOBILedit na prática — passo a passo 9. Leitura complementar explicada: NIST SP 800-86 e SWGDE

1. Gerando hash — o primeiro passo da evidência

Hash criptográfico (SHA-256, no mínimo — evite MD5/SHA-1) é a impressão digital do arquivo: qualquer alteração de um bit muda o resultado por completo. Ele prova integridade, não autoria — isso fica a cargo da cadeia de custódia e de outros elementos (metadados, testemunhas, ata notarial ou timestamp de terceira parte).

Regra de ouro: gere o hash no momento da coleta, antes de qualquer manipulação, cópia ou análise.

2. Ferramentas de hash

Nativas do sistema (uso em campo)

Windows — certutil:
certutil -hashfile "C:\caminho\arquivo.mp4" SHA256

Windows — PowerShell:
Get-FileHash -Algorithm SHA256 "C:\caminho\arquivo.mp4"

Linux/Mac — sha256sum:
sha256sum arquivo.mp4 > arquivo.mp4.sha256
Conferência: sha256sum -c arquivo.mp4.sha256

Interface gráfica

HashMyFiles (NirSoft) — nirsoft.net/utils/hash_my_files.html — selecione a pasta inteira, gera MD5/SHA-1/SHA-256 de todos os arquivos; exporta lista em .txt/.html/.xml.

QuickHash GUI — quickhash-gui.org — hash de pastas, discos inteiros e comparação lado a lado.

Nível pericial

Hashdeep/md5deep — github.com/jessek/hashdeep
Gerar manifesto: hashdeep -c sha256 -r ./pasta_evidencia > manifesto.txt
Auditar depois: hashdeep -a -k manifesto.txt -r ./pasta_evidencia — aponta o que mudou, sumiu ou foi adicionado.

FTK Imager — exterro.com/ftk-imager — imagem forense de disco com hash automático (MD5+SHA1) embutido na aquisição.

Autopsy — sleuthkit.org/autopsy — valida hash de aquisição contra hash de verificação e sinaliza divergência.

3. Preservando a cadeia de custódia

Cadeia de custódia é o registro documentado e ininterrupto de quem teve acesso à evidência, quando, onde, por quê e o que fez com ela (CPP, art. 158-B).

Timestamping de terceira parte

OpenTimestamps — opentimestamps.org — ancora o hash na blockchain do Bitcoin (gratuito). ots stamp arquivo.mp4 → ots verify depois.

Carimbo ICP-Brasil — prestadores credenciados em gov.br/iti — recomendado para instruir processo judicial no Brasil.

Ata notarial (quando aplicável)

Tabelionato habilitado para ata notarial digital, citando URL/origem, data/hora, e o hash gerado — art. 384 CPC e Provimento CNJ nº 100/2020.

Armazenamento com controle de alteração

Google Drive/Microsoft 365 com histórico de versão ativo · AWS S3 Object Lock (modo Compliance) — docs.aws.amazon.com — WORM verdadeiro.

4. Apps para preservar custódia sem ata notarial

Captura forense de conteúdo web/redes sociais

Hunchly — hunch.ly — captura páginas automaticamente durante a navegação, gera hash + timestamp + relatório de custódia com linha do tempo.

Page Vault — pagevaultapp.com — voltado a escritórios de advocacia, certificado de autenticidade técnico embutido.

PageFreezer — pagefreezer.com — arquivamento de sites/redes sociais com hash-chain e trilha de auditoria.

X1 Social Discovery — x1.com — nível pericial, preserva metadados originais das redes sociais.

Timestamping/notarização em blockchain

OriginStamp — originstamp.com — hash local no navegador + ancoragem em blockchain.

Bernstein — bernstein.io — trilha de auditoria e certificado de timestamp corporativo.

Proof — proof.com — verificação de identidade + timestamp com cadeia de custódia do documento.

Gestão de evidência ponta a ponta

Cellebrite — cellebrite.com · Magnet AXIOM — magnetforensics.com · Evidence.com (Axon) — evidence.com — hash e log de custódia embutidos na extração/gestão.

Combinação recomendada sem cartório: Hunchly/Page Vault na captura → hash automático → OpenTimestamps ancorando o hash em blockchain pública → storage com versionamento (Drive/S3).

5. Verificando quebra de procedimento

Objetivo	Ferramenta	Site
Recalcular/comparar hash em lote	Hashdeep	github.com/jessek/hashdeep
Checagem visual rápida	QuickHash GUI	quickhash-gui.org
Metadados originais (data, GPS, dispositivo)	ExifTool	exiftool.org
Verificar timestamp público	OpenTimestamps	opentimestamps.org
Auditar logs de acesso em nuvem	Drive/O365 versioning, AWS CloudTrail	docs.aws.amazon.com/awscloudtrail
Analisar imagem forense de disco	Autopsy	sleuthkit.org/autopsy
Esteganografia/dados ocultos	Aperi'Solve	aperisolve.com

Checklist rápido de quebra formal:

Hash da coleta original documentado?
Hash atual bate com o original?
Responsável identificado em cada etapa?
Sem gaps temporais não explicados?
Metadados compatíveis com a linha do tempo declarada?
Armazenamento impede alteração silenciosa (WORM/versionamento)?
Existe timestamp de terceira parte ou ata notarial?

6. Bibliografia técnica e legal

Normas técnicas: ISO/IEC 27037:2012, ISO/IEC 27042:2015 — iso.org

Legislação brasileira: CPP arts. 158-A a 158-F (Lei 13.964/2019) · CPC art. 384 · LGPD (Lei 13.709/2018) · Marco Civil da Internet (Lei 12.965/2014) · Provimento CNJ nº 100/2020 — planalto.gov.br

Leitura complementar: NIST SP 800-86 — nvlpubs.nist.gov · SWGDE Best Practices for Digital Evidence — swgde.org

7. Auditando laudos de polícia científica e Cellebrite

Checklist do laudo em si

Perito credenciado e habilitado em perícia digital?
Cita metodologia seguida (ISO 27037/27042)?
Descreve ferramenta e versão usada na extração?
Hash de aquisição documentado e batendo com cópias posteriores?
Cadeia de custódia anexada sem gaps?

Auditoria específica de relatório Cellebrite (UFED)

Tipo de extração importa: lógica (mais rasa), sistema de arquivos, ou física (bit-a-bit, inclui dados deletados — mais completa, mais sujeita a interpretação de fragmentos).

Verifique a versão do software usada — há histórico de bugs de parsing conhecidos por versão
Confirme o hash da extração (.ufd/.ufdr) documentado e correspondente ao usado em juízo
Confira os timestamps — Cellebrite costuma exibir em UTC; erro de conversão de fuso é o erro mais comum e mais útil para a defesa
Questione a origem de dados "deletados/recuperados": área alocada (confiável) vs. espaço não alocado (reconstrução probabilística)
Verifique se a versão do app periciado é compatível com a que o Cellebrite sabia interpretar corretamente na época

Contraponto técnico independente

Cellebrite Reader (gratuito) — cellebrite.com/en/reader — reabre .ufdr sem licença completa.

DB Browser for SQLite — sqlitebrowser.org — verifica bancos brutos direto na fonte.

ALEAPP (Android) — github.com/abrignoni/ALEAPP · iLEAPP (iOS) — github.com/abrignoni/iLEAPP — extração open source para comparação de parsing.

Sempre peça o .ufdr completo, não só o PDF final — o PDF é a interpretação selecionada do perito, não a evidência bruta.

8. MOBILedit na prática — passo a passo

Software de extração forense móvel (Compelson), testado periodicamente pelo NIST — extrai chamadas, contatos, SMS/MMS, arquivos, dados de apps (WhatsApp, Telegram, Instagram, Signal, Skype, Viber, Slack), IMEI/IMSI/ICCID, e dados deletados quando possível.

Extração lógica — Android

Baixe/instale a partir de mobiledit.com e ative a licença
Ative depuração USB no aparelho (Opções do desenvolvedor → USB Debugging)
Connect → Phone → Cable Connection → conecte o cabo
Confirme a instalação do app "Connector" na tela do celular
Preencha investigador, número da evidência, proprietário — entra automaticamente no relatório
Escolha escopo: Whole File System ou tipos específicos
Acompanhe o dump; ao final confira o hash gerado automaticamente do arquivo .med
Gere o relatório em Report, revisando antes de exportar

iOS bloqueado — via lockdown file

Localize o lockdown file salvo no computador já pareado com o iPhone
No assistente, importe o lockdown file em vez de conectar direto
Prossiga com a extração mesmo sem digitar o código de bloqueio
Documente no relatório que o método usado foi via lockdown file

Smart Screenshots (Android, sem interação no aparelho)

Captura automática de conversas de apps com segurança reforçada (Instagram, Signal, Telegram, WhatsApp, Skype, Viber, Slack) quando a extração de banco bruto está bloqueada.

Auditoria: exija sempre método usado, versão do software, e hash do .med no relatório final — mesmo critério aplicado a laudos Cellebrite.

9. Leitura complementar explicada

NIST SP 800-86

Em uma frase: manual do governo americano sobre como aplicar técnica forense dentro de resposta a incidente — coletar sem destruir a prova.

Coletar — mapeie todas as fontes antes de tocar em qualquer uma
Preservar — hash de cada fonte assim que adquirida
Examinar — processo repetível, com ferramenta e versão documentadas
Analisar — interpretação só depois do exame técnico
Reportar — relatório expõe a metodologia, não só a conclusão

Ao revisar laudo pericial, confira se essas cinco etapas aparecem separadas — mistura de coleta com conclusão sem processo intermediário é brecha metodológica.

SWGDE Best Practices for Digital Evidence

Em uma frase: diretrizes escritas por peritos reais sobre como manusear evidência digital do início ao fim — parâmetro objetivo para medir se o laudo oficial seguiu o padrão da própria comunidade forense.

Fotografe o estado original antes de tocar no dispositivo
Isole o dispositivo (modo avião/Faraday) contra alteração remota
Priorize o método menos invasivo que atenda ao objetivo
Verificação dupla de hash — na aquisição e antes da análise
Documentação contínua de cada ação sobre a evidência
Revisão por pares antes de fechar o relatório final

Pergunte sempre se houve revisão por pares no laudo — sua ausência já é ponto legítimo de questionamento técnico.

Precisa de uma investigação profissional?

Diagnóstico OSINT Estratégico — avaliação inicial gratuita do seu caso.

Falar no WhatsApp

Investigação Defensiva Inteligência Corporativa Perícia Digital

☏

Compartilhe