Android Sparse Image
| Format | Android Sparse Image |
|---|---|
| Kurzname | simg |
| Kategorie | Datenträgerabbild |
| Plattformen | Android |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Platzsparendes Flash-Image-Format von Android, das leere und sich wiederholende Blöcke durch Metadaten-Chunks ersetzt und so die Image-Größe für Übertragung und Flashen per fastboot verringert. Verwendet in Factory Images (Google, Samsung, OEMs), OTA-Updatepaketen und Distributionen von Custom ROMs. Ein 28-Byte-Header (Magic 0xED26FF3A) gibt Blockgröße (meist 4096 Bytes), Gesamtzahl der Ausgabeblöcke und Anzahl der Chunks an. Vier Chunk-Typen: RAW (Daten), FILL (wiederholtes 4-Byte-Muster), DONT_CARE (leere/ungeschriebene Blöcke) und CRC32 (Prüfsumme). Muss vor dem Mounten oder der forensischen Analyse in ein rohes Image (z. B. ext4/f2fs) umgewandelt werden. Große Images werden manchmal in mehrere Sparse-Chunks aufgeteilt, die vor der Umwandlung zusammengesetzt werden müssen. Forensisch relevant als Auslieferungscontainer für Android-Systempartitionen (system.img, vendor.img, product.img), nützlich für den Vergleich von Partitionen eines verdächtigen Geräts mit dem Werkszustand als Referenz.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 3A FF 26 ED | :.&. | Magic eines Android-Sparse-Images (0xED26FF3A Little-Endian) |
Bekannte Dateiendungen
.img, .simg
Referenzen
- Android sparse image format (libsparse — AOSP source) https://android.googlesource.com/platform/system/core/+/refs/heads/main/libsparse/
- Android sparse image format explained (2net.co.uk, csimmonds, 2014) https://2net.co.uk/tutorial/android-sparse-image-format
- Formal sparse format specification (Kaitai Struct) https://formats.kaitai.io/android_sparse/
- simg2img — standalone converter (anestisb/android-simg2img) https://github.com/anestisb/android-simg2img
Diesen Eintrag zitieren
Crush-Format-Referenz, „Android Sparse Image“. https://kalink0.github.io/crush-forensics/formats/de/simg/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden