O Que São Microondas

O que são microondas

Microwave é a sigla para Microwave Offense, uma ferramenta de análise forense e extração de dados em dispositivos móveis Android. Ela funciona fazendo upload de um arquivo ELF (compilado para Linux ARM/MIPS) via adb ou diretamente no dispositivo, e esse binary então coleta informações do sistema — logs, configurações, arquivos do usuário, dados de aplicativos, certificados e muito mais, tudo compactado em um output organizado. Não tem interface gráfica. É linha de comando, puramente. O resultado é um diretório com subpastas para cada categoria de dado extraída.

Como funciona na prática

O bino é tipicamente executado assim: adb push microondas /data/local/tmp/
adb shell chmod 755 /data/local/tmp/microondas
adb shell /data/local/tmp/microondas -d /data -e -u -t timelog O flag -d define o root directory a partir do qual a varredura acontece, -e pega também dados do ambiente do usuário, -u coleta informações do usuário atual, e -t timelog gera um relatório de timeline dos eventos. Esses são os mais comuns no dia a dia.

Um detalhe que muita gente ignora: o microondas precisa rodar com privilégios elevados para acessar certos diretórios. Se você não tiver root, ainda consegue uma quantidade razoável de dados, mas vai perder acesso a parts importantes do sistema. No meu caso,Working com dispositivos empresariais MDM-managed, muitas vezes o root não está disponível e aí o dump fica incompleto. A workaround que eu uso é combined com um backup ADB completo antes, porque o adb backup ainda consegue extrair dados de apps que não permitem conteúdo compartilhado diretamente.

Por que usar microondas em vez de outras ferramentas

A vantagem real do microondas é velocidade e abrangência. Enquanto ferramentas como Android Forensic Toolkit (AFT) ou Autopsy precisam de uma imagem completa do disco, o microondas roda diretamente no dispositivo e coleta o que existe em tempo real. Num cenário de triagem inicial, isso pode economizar horas. Eu já vi casos onde um ADB backup levou 40 minutos para um device com 64GB de storage cheio, e o microondas levou cerca de 8 minutos para coletar o mesmo nível de evidência relevante. O output é estruturado de forma decente também — cada app tem sua própria pasta, logs estão agrupados por data, e o timelog é particularmente útil para reconstruir linhas do tempo de atividades do usuário.

Limitações que ninguém menciona

O microondas não resolve tudo. Dispositivos com Android 11+ têm restrições mais fortes de acesso a diretórios de outros apps, então mesmo com root, alguns dados podem estar inacessíveis por enforcement do SELinux. Além disso, se o dispositivo estiver encriptado e a sessão não estiver desbloqueada, a ferramenta não consegue acessar o conteúdo criptografado — isso é óbvio, mas sempre vejo gente esquecendo e perdendo tempo. Também não funciona em dispositivos iOS. Obvio, mas vale lembrar porque às vezes as pessoas tentam. Outro ponto: o tool não faz preservação de cadeia de custódia nativamente. Se você está trabalhando em um caso que precisa de integridade forense comprovada, vai precisar complementar com hash verification externo e logging detalhado do processo.

Onde conseguir

O projeto é open source e está disponível no GitHub. Basta buscar por "microondas android forensics" que encontra o repositório oficial. O bino é mantido pela comunidade e recebe atualizações regulares para compatibilidade com versões mais recentes do Android. Dica prática: baixe a última release binária compilada em vez de compilar você mesmo, a menos que precise de alguma flag customizada. As builds oficiais já cobrem as arquiteturas mais comuns e economizam tempo.

Edge case que me deu trabalho

Tive um caso recente onde o dispositivo alvo tinha um app de mensagens corporativas com armazenamento cifrado internamente. O microondas coletou os metadados do app, paths dos bancos de dados, timestamps de criação e acesso, mas os arquivos em si estavam ilegíveis porque a cifragem era baseada em key armazenada na Trusted Execution Environment. A solução foi cross-reference com logs do sistema que mostravam sessões de descriptografia ativas, e aí consegui inferir padrões de uso sem precisar quebrar a cifragem diretamente. Não é ideal, mas em forense muitas vezes você trabalha com o que consegue, não com o que gostaria. Se você está começando nessa área, recomendo praticar primeiro em devices seus ou em emuladores. O aprendizado prático de como cada flag se comporta e o que cada seção do output representa é muito mais rápido do que ler documentação.