Trucos para hacer un análisis forense a un android

Buenos días.

Sea por motivos de curiosidad o simplemente motivos laborales nos hemos encontrado con una pregunta interna! ¿Donde almacenara android las contraseñas?, si bien podemos notar cuando usamos un móvil con este sistema operativo que automáticamente programas como facebook, gmail, what'sapp entre muchos otros, no solicitan credenciales una vez logeados la primer vez y siempre están allí conectados esperando a ser usados.

Bueno es simple saberlo, el ahorro de la "pereza" de estar ingresando credenciales de autenticación tiene sus riesgos de seguridad, pero en este caso para saber las contraseñas prácticamente necesitaríamos acceso físico lo cual reduce a cierto punto el robo de información personal.

La siguiente tabla va ser muy útil cuando hacemos estas búsquedas, si no eres informático y no entiendes la tabla es de seguro que debas buscar estos dos temas: Root android y Sqlite.

System	Synchronised Accounts	Android (E,D)	Use file '/data/system/users/0/accounts.db'. Profile picture is also supported for Extraction.
System	Phonebook Contacts	Android (E,D)	Use file '/data/data/com.android.providers.contacts/databases/contacts2.db'.
System	Call logs register	Android (E,D)	Use file '/data/data/com.android.providers.contacts/databases/contacts2.db'.
System	Call logs register (Samsung)	Android (E,D)	Use file '/data/data/com.sec.android.provider.logsprovider/databases/logs.db'.
System	Samsung SMS snippets	Android (E,D)	Use file '/data/data/com.sec.android.provider.logsprovider/databases/logs.db'.
System	SMS messages	Android (E,D)	Use file '/data/data/com.android.providers.telephony/databases/mmssms.db'.
System	Wi-Fi passwords (WPA-PSK/WEP)	Android (E,D)	Use file'/data/misc/wifi/wpa_supplicant.conf' from rooted extraction, or 'flattened-data' from backup extraction.
System	Default Browser Passwords	Android (E,D)	Use file '/data/data/com.android.browser/databases/webview.db'.
System	Default Browsers History	Android (E,D)	Use file '/data/data/com.android.browser/databases/browser2.db'.
System	Emails (Default application)	Android (E)	-
App	Chrome History / Archived History	Android (E,D) iOS (D)	Use files '/data/data/com.android.chrome/app_chrome/Default/History', '/data/data/com.android.chrome/app_chrome/Default/Archived History'. Databases from other operating systems (Ubuntu/Linux/Windows/Mac OSX) are supported for decoding the data.
App	Chrome Login Data (Passwords)	Android (E,D) iOS (D)	Use file '/data/data/com.android.chrome/app_chrome/Default/Login Data'. Databases from other operating systems (Ubuntu/Linux/Windows/Mac OSX) are supported for decoding the data.
App	Blackberry Messenger (BBM) Chat Messages	Android (E,D) iOS (D)	Use file '/data/data/com.bbm/files/bbmcore/master.db'.
App	Facebook chat / messenger messages	Android (E,D)	Use files '/data/data/com.facebook.katana/databases/threads_db2', '/data/data/com.facebook.orca/databases/threads_db2'
App	Skype Calls / Messages	Android (EAB,D)	Use files '/data/data/com.skype.raider/files/<account_name>/main.db'
App	Facebook user notifications	Android (E,D)	Use file '/data/data/com.facebook.katana/databases/notifications_db'.
App	Facebook viewed photographs	Android (E,D)	Use file '/data/data/com.facebook.katana/databases/photos_db'.
App	Kik Messenger chat messages	Android (E,D)	Use file '/data/data/kik.android/databases/kikDatabase.db'.
App	WhatsApp Contacts	Android (E,D)	Use file '/data/data/com.whatsapp/databases/wa.db'.
App	WhatsApp Calls	Android (E,D)	Use file '/data/data/com.whatsapp/databases/msgstore.db'.
App	WhatsApp Messages	Android (E,D)	Use file '/data/data/com.whatsapp/databases/msgstore.db'.
App	Grindr messages and users	iOS (D)	Use file 'Grindr.sqlite'
App	Viber calls register	Android (E,D)	Use file '/data/data/com.viber.voip/databases/viber_data'.
App	Viber chat messages	Android (E,D)	Use file '/data/data/com.viber.voip/databases/viber_messages'.
App	Tinder Matched Users	Android (E,D)	Use file '/data/data/com.tinder/databases/tinder.db'.
App	Tinder Messages	Android (E,D)	Use file '/data/data/com.tinder/databases/tinder.db'.
App	MeowChat Messages	Android (E,D)	Use file '/data/data/mobi.mgeek.TunnyBrowser/db/browser.db'.
App	Dolphin Web Browser History	Android (E,D)	Use file '/data/data/com.minus.android/databases/com.minus.android'.

Legend: E = data can be extracted and automatically decoded
E^AB = data can be extracted and automatically decoded via AB method only
D = data can be decoded through "Decoders"

Ya con esto tenemos todos los datos en nuestro poder :)

Fuentes:

http://andriller.com/decoders
https://www.androidpit.com/app/fahrbot.apps.undelete
https://gist.github.com/jbinto/8876658
http://www.higherpass.com/android/tutorials/accessing-data-with-android-cursors/
http://www.dunkelheit.com.br/android/forense/curso/curso/Android%20Forensics%20-%20A.%20Hoog%20(Syngress,%202011)%20WW-%20blz146.pdf