Análisis Forense en Evernote Parte III – Android

Hace unos días decidí redactar una serie de entradas dónde os revelaba la forma en la que Evernote almacena los datos en el equipo.
Empezamos analizando la aplicación bajo Mac Snow Leopard, puesto que es el sistema operativo que uso diariamente, continuando con el análisis de Evernote en Windows 7, para hoy dar paso al análisis de Evernote en Android, uno de los sistemas operativos más utilizado hoy en día en los dispositivos móviles de última generación.

Antes de continuar me gustaría que leyéseis los dos anteriores posts, puesto que se explican estructuras y directorios de Evernote, que aunque aquí no varíen demasiado, sólo se detallará lo que no se ha contado hasta ahora.

Bien, para empezar tenemos que instalar la aplicación Evernote desde la Android Market. Todas las pruebas las realizaremos sin que sea obligatorio tener acceso root en Android.

Para examinar los archivos de datos de Evernote, podemos conectar el dispositivo móvil al equipo en modo “Almacenamiento masivo”, puesto que los datos en mi caso están en la tarjeta sd interna que dispone mi móvil, un Samsung Galaxy S, o bien instalar en nuestro Android el software ES Explorador de Archivos de EStrongs Inc.

Lo hagamos de la forma que más nos guste, al final vamos a ver un directorio llamado Evernote con la siguiente estructura:

• notes
• notethumbs
• Temp

Podemos ver que hay tres directorios, dónde “Temp” en mi caso está vacío, aunque los más interesantes son los otros dos:

notes
Contiene un directorio por cada nota, en dónde a su vez se almacena un directorio cuyo nombre es un identificador que alberga los tan ansiados archivos: content.enml con el contenido de la nota en formato enml y content.html, también con el contenido de la nota pero esta vez en formato html

notethumbs
Contiene un directorio por cada nota, almacenando para cada una de ellas la nota en formato jpg. En este caso, a los archivos les falta la extensión, pero si examinamos el fichero con el comando file vemos que nos indica que es de tipo JPEG image data, JFIF standard 1.02

¿Entonces por qué en el directorio notes hay menos notas que en el directorio notethumbs?
Buena pregunta :) … haciendo pruebas me di cuenta de que en Android las notas se almacenan por defecto en formato jpeg (por lo menos las descargadas) y luego, si seleccionamos la opción “editar nota” desde Evernote, es cuándo nos genera la nota en formato texto (enml y html)

A pesar de no haber encontrado ningún archivo de SQLite pudimos ver que se pudo tener acceso a las notas, ¿por qué? Por lo mismo de simpre, porque las notas no están cifradas, por lo tanto, cualquiera que tenga acceso al dispositivo podría obtenerlas sin ningún problema.

Mucho cuidado con el móvil … ahora ya no está de moda espiar los sms, sino el WhatsApp, el DropBox y ahora el Evernote :)