The goal of this work was to determine what kind of traces of user activity is left by the most popular filemanagers available on Android. This was determined by investigating their functionality, deciding onappropriate data and actions to test them and then go through them one app at a time, saving the state of filescreated by the app in-between different actions.Investigating the files that were generated by apps showed that there is a wide variety of traces depending onwhich app it was and what features it had. Some apps focus on device information while others are moreaimed at the files themselves, some even cataloguing all of the files, their sizes and location on the device.Many of them save thumbnails of pictures the user has viewed, which are kept even when that picture itselfis deleted.Not all information used in the app features was able to be gathered since the exact location they are storedwas not determined before the end of the work. However the information that was gathered was enough tostate that there is potential value in including this kind of application during a forensics investigation.
Målet med detta arbete var att avgöra vilken sorts spår som lämnas efter användning av de mest populärafilhanterarna för Android. Detta undersöktes genom att gå igenom deras funktioner, bestämma passande dataoch handlingar att utföra med apparna och sedan gå igenom dem en och en. Mellan de olika stegen sparadesfilerna skapade av apparna som testades för att se vad som ändrats i vilket steg.Undersökningen av dessa filer visade att det är många olika sorters spår som lämnas beroende på appensfunktioner. Vissa fokuserar på information om enheten i sig medan andra är mer inställda på information omfilerna på enheten. Vissa katalogiserar till och med alla filer, deras storlekar och var på enheten de fanns.Många av apparna sparade även ikoner av bilder som användaren hade tittat på, och behöll dessa ikoner ävenom bilden själv har tagits bort.All information använd av apparna kunde inte samlas in eftersom platsen där den lagrades inte hann påträffasinnan arbetets slut. Informationen som gick att få ut är dock tillräcklig för att kunna konstatera att det finnspotentiellt värde i att inkludera denna typ av appar när man utför en forensisk undersökning.