Você recebeu a extração completa de um celular ou apenas um relatório produzido a partir dela? Essa distinção é essencial quando arquivos extraídos por ferramentas como Cellebrite são utilizados em uma investigação ou processo criminal.
Uma extração forense não é necessariamente um único arquivo. O fluxo pode envolver o dispositivo examinado, o método de aquisição, arquivos de imagem ou outros dados extraídos, metadados, logs, hashes, processamento em software especializado, artefatos interpretados e relatórios ou exportações entregues às partes.
Cada camada responde a perguntas diferentes. Por isso, a existência de um PDF, UFDR, ZIP, BIN, IMG ou TAR não permite concluir, sozinha, que a aquisição integral do celular foi disponibilizada, que todos os dados estão presentes ou que a análise pode ser reproduzida.
A extensão do arquivo não revela, sozinha, o que foi entregue
Extensões de arquivo são um ponto de partida, não uma conclusão técnica. Um arquivo .IMG ou .BIN pode estar relacionado a uma imagem ou a um componente de aquisição, mas sua extensão não demonstra que ele contém todos os bytes do armazenamento, que foi gerado diretamente do dispositivo ou que permite reprocessamento.
Da mesma forma, .ZIP e .TAR podem funcionar como contêineres de arquivos, pacotes de exportação ou partes de um conjunto maior. Formatos como RAW, DD e E01 também podem aparecer em fluxos de aquisição, mas a natureza e a completude do material devem ser confirmadas pela estrutura interna, pela documentação do software, pelos manifestos e pela relação com o método utilizado.
O mesmo cuidado é necessário com arquivos UFD e UFDX. Eles podem atuar como elementos de controle, metadados ou apontadores dentro de uma cadeia de extração, mas sua presença isolada não comprova que todos os arquivos necessários à análise ou ao reprocessamento foram entregues.
A pergunta adequada não é apenas “qual é a extensão?”. É preciso perguntar: quem gerou o arquivo, a partir de qual dispositivo, por qual método, em qual versão da ferramenta e com quais arquivos complementares?
As camadas de uma extração forense de celular
A melhor forma de compreender uma extração forense de celular é organizá-la por camadas. Essa visão evita confundir o dado originalmente armazenado com o resultado processado ou com a apresentação final do achado.
Dispositivo examinado e definição do escopo
O celular é a fonte examinada. Antes de avaliar os arquivos, é necessário identificar, conforme os registros disponíveis, fabricante, modelo, número de série ou outros identificadores, sistema operacional, estado de desbloqueio, condições de preservação e finalidade do exame.
Também deve ser conhecido o escopo autorizado: quais dados deveriam ser buscados, em qual período, quais aplicativos ou categorias foram incluídos e se houve restrições de acesso ou de processamento. Sem essa contextualização, torna-se difícil avaliar se a entrega corresponde ao exame realizado.
A perícia em celulares e cópia forense do dispositivo ajuda a compreender a diferença entre o aparelho, a cópia de aquisição, a extração de dados e a materialização das evidências.
Aquisição lógica, de sistema de arquivos e física
A aquisição é o processo pelo qual determinados dados são copiados ou coletados do dispositivo. O método adotado influencia diretamente as informações disponíveis.
Na aquisição lógica, o foco costuma estar em objetos e artefatos acessíveis por meio do sistema e das interfaces disponíveis. Ela pode coletar arquivos, bases de dados e outros elementos acessíveis, mas não deve ser presumida como capaz de reproduzir áreas não alocadas ou informações apagadas que não estejam disponíveis logicamente.
A aquisição de sistema de arquivos busca preservar a estrutura de diretórios, arquivos e metadados em nível de sistema de arquivos, dentro das possibilidades técnicas do aparelho e da ferramenta. Ainda assim, não equivale automaticamente a uma cópia física de todo o armazenamento.
A aquisição física, quando tecnicamente possível, relaciona-se a uma cópia mais diretamente ligada ao armazenamento físico. Isso pode ampliar as possibilidades de examinar áreas não alocadas ou localizar fragmentos por carving, mas não significa que todo dispositivo possa ser adquirido dessa forma, que todo o armazenamento será alcançado ou que todos os dados apagados serão recuperados.
O NIST SP 800-101 Rev. 1 diferencia esses níveis de aquisição e mostra por que o método escolhido define quais perguntas podem ser respondidas.
Imagem, cópia de aquisição e arquivos nativos
A expressão “dados brutos” deve ser usada com cautela. Uma imagem ou cópia de aquisição pode preservar uma camada técnica do armazenamento ou de uma aquisição lógica, mas sua transformação em informação legível pode exigir reconstrução do sistema de arquivos, parsing, decodificação e interpretação.
Assim, mesmo uma imagem não deve ser tratada como uma resposta pronta. Ela pode ampliar a possibilidade de conferência e reprocessamento, mas o examinador ainda precisa compreender o formato, os metadados, a estrutura e as limitações do procedimento utilizado.
Também é importante distinguir arquivos nativos, como bancos de dados de aplicativos, de artefatos apresentados pela ferramenta. Um banco original pode conter contexto, registros e relações que não aparecem integralmente em uma exportação ou em uma tela de relatório.
Artefatos processados, carving e relatório
Depois da aquisição, o software pode reconstruir estruturas, decodificar bases de dados, relacionar eventos e apresentar artefatos como mensagens, chamadas, contatos, imagens e dados de aplicativos. O que aparece na interface já é resultado de processamento e interpretação.
Itens identificados como recuperados por carving exigem cautela adicional. O carving procura fragmentos a partir de assinaturas ou padrões, muitas vezes em áreas que não mantêm a mesma organização dos arquivos ativos. O resultado pode apresentar fragmentação, perda de contexto, ausência de metadados originais ou dificuldade para relacionar o item ao banco de dados de origem.
Por isso, um artefato “carved” não deve ser tratado automaticamente como registro íntegro, completo e plenamente contextualizado. É necessário verificar sua origem, estrutura, fragmentação, metadados e a forma como foi apresentado no relatório.
O que é um UFDR e o que ele permite revisar
O UFDR é utilizado no ecossistema Cellebrite como formato ou pacote de relatório, revisão e compartilhamento de resultados processados. Sua abrangência depende da versão do software, da aquisição de origem, do processamento realizado e das opções adotadas na geração do material.
Um UFDR pode permitir a navegação e a busca por artefatos incluídos no pacote, como mensagens, contatos, registros de chamadas, imagens e dados de aplicativos. Isso pode ser útil para revisão por terceiros, especialmente quando o objetivo é consultar os resultados já processados.
Contudo, o UFDR não deve ser presumido como sinônimo de imagem forense, aquisição integral ou conjunto completo de dados originalmente armazenados. Também não deve ser considerado automaticamente inválido. A questão é identificar qual camada ele representa e quais elementos ficaram fora do pacote.
UFDR, Cellebrite Reader e Physical Analyzer não cumprem necessariamente a mesma função
O Cellebrite Reader pode permitir a visualização, pesquisa e revisão do conteúdo disponibilizado em um UFDR. Isso não significa que ele reproduza todas as funções do ambiente utilizado para a aquisição e o processamento, como o Physical Analyzer ou soluções relacionadas.
Visualizar um artefato no Reader é diferente de acessar a aquisição original, reconstruir um sistema de arquivos, consultar bancos nativos ou reaplicar o parsing com outras configurações. Além disso, configurações de visualização, filtros, seleção de itens e opções de exportação podem influenciar o que aparece para o usuário.
A própria documentação pública da Cellebrite sobre o Reader e o UFDR deve ser interpretada de acordo com a versão e com o fluxo efetivamente utilizado no caso. Ela é útil para compreender a finalidade de revisão e compartilhamento, mas não autoriza generalizar a estrutura ou a abrangência de todos os UFDRs.
Visualização, exportação e reprocessamento são operações diferentes
Abrir um arquivo não é o mesmo que reprocessar uma extração. Pesquisar um artefato não equivale a consultar todos os dados de origem. Exportar mensagens, imagens ou planilhas também não preserva necessariamente a mesma estrutura, os metadados e as relações presentes nos arquivos nativos.
O reprocessamento deve ser investigado de forma concreta. É necessário verificar se o material contém a aquisição correspondente, os arquivos auxiliares, os apontadores, as dependências, os manifestos e as informações necessárias para reconstruir a análise. Um UFDR pode permitir revisão ampla do que foi incluído, mas isso não significa automaticamente que seja possível reaplicar todo o processamento desde a origem.
Como avaliar se a entrega é auditável
A auditabilidade deve ser analisada como um conjunto. Nenhum arquivo isolado, nem mesmo um hash, responde sozinho a todas as perguntas sobre origem, completude e correção metodológica.
Inventário dos arquivos e estrutura interna
O primeiro passo é elaborar um inventário de tudo o que foi recebido:
- nome, extensão, tamanho e localização de cada arquivo;
- diretórios e subdiretórios;
- arquivos divididos ou fragmentados;
- manifestos e arquivos auxiliares;
- dependências indicadas pelo software;
- relatórios em PDF, planilhas e exportações;
- mídias, bancos de dados ou arquivos nativos disponíveis.
Também é importante examinar a estrutura interna, quando tecnicamente possível, e comparar o inventário com o que o relatório afirma ter sido produzido. A ausência de um arquivo é uma constatação; sua relevância precisa ser avaliada em relação ao método, ao escopo e às conclusões apresentadas.
Método, ferramenta, versão, operador e condições do exame
A documentação deve indicar, conforme disponível, qual equipamento e software foram utilizados, suas versões, o método de aquisição, a data e hora do exame, o operador, o dispositivo examinado e as condições relevantes do procedimento.
Essas informações permitem compreender limitações de compatibilidade, diferenças de parsing e mudanças de comportamento entre versões. O uso da marca Cellebrite não garante, por si só, autenticidade, completude ou exatidão. A confiabilidade depende também da execução, da preservação, da documentação, do processamento e da interpretação.
Hashes, manifestos e registros de integridade
Hashes criptográficos ajudam a verificar se determinado arquivo permaneceu igual ao conteúdo sobre o qual o valor foi calculado. Manifestos podem relacionar arquivos, tamanhos, identificadores e valores de verificação.
Essa documentação é relevante, mas um hash não prova sozinho que o arquivo é uma aquisição integral, que o dispositivo foi corretamente identificado ou que o processamento foi tecnicamente correto. Também é necessário saber quando o hash foi calculado, sobre qual arquivo, por quem, com qual algoritmo e como o material foi armazenado e transferido.
A cadeia de custódia em evidências digitais deve ser compreendida como o histórico de reconhecimento, coleta, armazenamento, acesso, processamento, cópia e disponibilização do vestígio — não apenas como a existência de um hash no arquivo final.
O Código de Processo Penal, nos arts. 158-A a 158-F, disciplina a cadeia de custódia como o conjunto de procedimentos destinado a manter e documentar a história cronológica do vestígio. Essa disciplina reforça a importância dos registros, mas não estabelece que uma extensão específica seja obrigatória para toda extração de celular.
Escopo, filtros, exclusões e redações
É preciso investigar se houve seleção de categorias, filtros de período, exclusões manuais, redações, ocultação de conteúdo ou exportação apenas de itens destacados. Um relatório pode representar uma seleção do material processado, e não a totalidade da aquisição.
Também deve ser verificado se a ausência de um item decorre de inexistência na aquisição, falha de parsing, filtro de visualização, opção de exportação, redação ou limitação do pacote entregue. Sem essa diferenciação, não é seguro afirmar que determinado dado nunca esteve presente no dispositivo ou na aquisição.
O método define quais perguntas podem ser respondidas
Uma aquisição lógica pode ser suficiente para responder a determinadas perguntas sobre arquivos e artefatos acessíveis, mas não sustenta automaticamente conclusões sobre áreas não alocadas ou dados apagados.
Uma aquisição de sistema de arquivos pode oferecer contexto adicional sobre diretórios, arquivos e metadados, mas suas possibilidades dependem do dispositivo, do sistema operacional, da criptografia e da técnica empregada.
Uma aquisição física, quando disponível, pode ampliar a análise de armazenamento e fragmentos, mas ainda exige reconstrução, interpretação e avaliação das limitações. A existência de dados recuperados por carving não significa, por si só, que o conteúdo esteja completo ou contextualizado.
A SWGDE alerta que uma única ferramenta pode não extrair ou apresentar todos os dados disponíveis em um dispositivo móvel. Em situações específicas, métodos complementares ou uma segunda ferramenta podem fornecer dados adicionais ou corroborar resultados. Isso não significa que toda extração esteja incompleta, mas demonstra por que a ferramenta utilizada não deve ser tratada como garantia autônoma de abrangência.
Três exemplos hipotéticos de entrega
Considere três situações meramente ilustrativas.
Na primeira, é entregue apenas um PDF com algumas mensagens e imagens. Esse material pode comunicar achados específicos, mas oferece acesso limitado à origem, aos dados não selecionados, aos bancos originais e ao processamento realizado.
Na segunda, é entregue um UFDR que permite navegar por determinados artefatos no Reader. A revisão é mais estruturada, mas continua dependente do conteúdo incluído, das opções de geração, da documentação e dos limites do pacote. Não se deve presumir, sem exame, que todos os artefatos da aquisição estejam disponíveis.
Na terceira, é disponibilizado um conjunto de aquisição acompanhado de inventário, manifestos, hashes, logs, método, versão da ferramenta, identificação do operador e documentação de escopo. Esse material pode ampliar a possibilidade de comparação, reprocessamento e auditoria, desde que esteja completo e tecnicamente consistente.
Os três materiais podem ter utilidade. Eles simplesmente não oferecem o mesmo nível de conferência.
A ausência da imagem forense gera nulidade automaticamente?
Não. A ausência da imagem original, a entrega de um UFDR ou a falta de determinados logs podem representar limitações de auditabilidade e de reprocessamento, mas não demonstram automaticamente adulteração, fraude, quebra da cadeia de custódia, inadmissibilidade ou nulidade.
A análise responsável deve separar quatro planos:
- Constatação técnica: o que foi entregue, qual estrutura existe e quais arquivos estão acessíveis.
- Limitação técnica: o que não pode ser conferido, reproduzido ou comparado com o material de origem.
- Possível impacto: como essa limitação pode afetar a interpretação, a completude ou o contraditório técnico.
- Consequência jurídica: questão dependente do caso concreto, da legislação, da decisão judicial aplicável e da demonstração de eventual prejuízo.
A mera existência de um PDF, UFDR ou pacote compactado não prova irregularidade. Da mesma forma, a falta da imagem não deve ser ignorada quando impede uma conferência técnica relevante. O ponto é documentar precisamente a limitação e explicar o que ela impede de verificar.
Checklist para receber uma extração forense de celular
Antes de aceitar ou questionar os resultados, procure confirmar:
- qual dispositivo foi examinado e como foi identificado;
- qual método de aquisição foi utilizado;
- qual ferramenta e versão foram empregadas;
- quais arquivos foram gerados e quais foram entregues;
- se o conjunto possui inventário, manifesto e arquivos auxiliares;
- quais hashes foram calculados, sobre quais arquivos e em que momento;
- se existem logs de aquisição, processamento e exportação;
- qual foi o escopo do exame;
- se houve filtros, seleção, exclusão ou redação de itens;
- se o relatório corresponde aos arquivos de aquisição disponíveis;
- quais dados são originais, processados, exportados ou recuperados por carving;
- se o material permite apenas visualização ou também reprocessamento;
- quais limitações foram registradas pelo examinador.
Quando a análise exigir revisão independente, a contra perícia técnica em informática e análise de logs pode contribuir para comparar arquivos, documentação, hashes, registros de processamento e correspondência entre o relatório e o material de origem.
Também pode ser necessário formular perguntas objetivas no processo. Os quesitos técnicos para perícias em celulares devem buscar respostas verificáveis sobre método, escopo, arquivos, filtros, integridade, limitações e possibilidade de reprocessamento, sem pressupor previamente fraude ou validade jurídica.
Perguntas frequentes
O que é um arquivo UFDR na extração de um celular?
É um formato ou pacote utilizado no ecossistema Cellebrite para revisão e compartilhamento de resultados processados. Sua abrangência depende da versão do software, da aquisição de origem, do processamento e das opções de geração.
UFDR é a mesma coisa que uma imagem forense?
Não deve ser tratado automaticamente assim. O UFDR normalmente representa uma camada processada e apresentada para revisão. A confirmação sobre o que ele contém exige exame do pacote e da documentação correspondente.
O UFDR permite reprocessar toda a extração?
Não necessariamente. Abrir, pesquisar ou filtrar um UFDR é diferente de reconstruir a aquisição e reaplicar o processamento. A possibilidade depende dos arquivos, dependências, apontadores, metadados e documentação disponíveis.
Um arquivo BIN, IMG, TAR ou ZIP comprova que a extração é completa?
Não. A extensão não determina sozinha a natureza, a origem, a completude ou a capacidade de reprocessamento. É necessário examinar a estrutura, os manifestos, os hashes e a relação com o método de aquisição.
Para que servem os hashes?
Eles ajudam a verificar se determinado conteúdo permaneceu correspondente ao material sobre o qual o valor foi calculado. Não comprovam, isoladamente, autenticidade, completude, origem lícita ou correção metodológica.
A ausência da imagem forense original prova adulteração?
Não. Pode limitar a auditabilidade e o reprocessamento, mas não demonstra automaticamente adulteração, fraude ou nulidade. É necessário examinar o conjunto documental e técnico e avaliar o possível prejuízo no caso concreto.
O Cellebrite Reader mostra tudo o que existe no celular?
Não se deve fazer essa presunção. O Reader apresenta o conteúdo disponibilizado no pacote, sujeito ao processamento, às configurações, aos filtros, às seleções e às limitações da versão utilizada.
Conclusão
A pergunta mais útil não é apenas “qual arquivo foi entregue?”, mas “qual camada da extração ele representa e o que pode ser comprovado a partir dela?”.
Um UFDR pode ser útil para revisão e compartilhamento, mas não deve ser presumido como imagem forense ou aquisição integral. Um PDF pode comunicar achados, mas não substitui necessariamente os dados de origem. Um arquivo BIN, IMG, TAR ou ZIP pode integrar uma aquisição, mas sua extensão não revela sozinha o conteúdo. E até uma imagem pode exigir reconstrução, validação e interpretação pericial.
A confiabilidade da análise depende da combinação entre dispositivo identificado, método, escopo, arquivos, documentação, hashes, logs, versão da ferramenta, processamento e possibilidade de conferência independente. A ausência de um elemento pode representar uma limitação importante, mas seus efeitos precisam ser descritos tecnicamente e separados de qualquer conclusão jurídica automática.
Ao receber uma extração de celular, advogados, peritos assistentes e partes devem primeiro inventariar o material, compreender sua origem e verificar o que pode ser revisado ou reprocessado. A partir daí, torna-se possível formular quesitos, solicitar documentos complementares e avaliar a evidência digital com maior precisão.
A LOPES PERÍCIAS realiza análise técnica especializada de extrações forenses, arquivos UFDR, imagens, hashes, logs e documentação, apoiando perícias digitais e assistência técnica judicial com independência, rigor metodológico e clareza sobre o que o material permite — e não permite — demonstrar.
