Rádios definidos por software são aparelhos baratos e portáteis que podem ser usados para ataques de repetição de sinais, falsificação de localização e bloqueio de transmissões. O HackRF One, quando acoplado a uma placa de interface PortaPack rodando o firmware de código aberto Mayhem, consegue funcionar sozinho, sem computador. Até agora, nenhum estudo revisado por pares tinha tratado da perícia forense nesse tipo de equipamento.

Os autores analisaram, a partir do código-fonte, onde ficam os dados com valor forense no cartão microSD de um aparelho com o Mayhem versão 2.0.1, em que formato são gravados, quando são escritos e como devem ser interpretados. A metodologia foi aplicada a uma imagem do cartão obtida de um aparelho usado por quatro meses, e todas as conclusões vieram somente da imagem.

Entre os pontos estudados estão as regras de data e hora, que dependem do estado da bateria do relógio de tempo real, os vestígios de cortes e edições de texto feitos no próprio aparelho, e a recuperação, por agrupamento de setores do disco, de capturas de sinal apagadas em formato IQ. Os sinais gravados também foram decodificados e conferidos com um decodificador independente.

No exemplo analisado, foi possível recuperar o final de uma captura apagada e um trecho cortado. Além disso, seis capturas foram atribuídas a um mesmo transmissor de código rolante com modulação on-off (OOK) que usa um único identificador de 32 bits. O trabalho entrega um catálogo de artefatos, regras de interpretação e recomendações de aquisição para quem faz perícia nessa área.