🥇Съдебномедицински анализ на резервни копия на HiSuite

Извличането на данни от устройства с Android става все по-трудно всеки ден – понякога дори по-трудноотколкото от iPhone. Игор Михайлов, специалист в Лабораторията по компютърна криминалистика Group-IB, ви казва какво да правите, ако не можете да извлечете данни от вашия смартфон с Android чрез стандартни методи.

Преди няколко години с моите колеги обсъждахме тенденциите в развитието на механизмите за сигурност в устройствата с Android и стигнахме до извода, че ще дойде време, когато тяхното криминалистично изследване ще стане по-трудно, отколкото за устройства с iOS. И днес можем да кажем с увереност, че това време е настъпило.

Наскоро прегледах Huawei Honor 20 Pro. Какво мислите, че успяхме да извлечем от резервното му копие, получено с помощната програма ADB? Нищо! Устройството е пълно с данни: информация за обаждания, телефонен указател, SMS, незабавни съобщения, имейл, мултимедийни файлове и др. И не можете да извадите нищо от това. Ужасно чувство!

Какво да правим в такава ситуация? Добро решение е да използвате собствени помощни програми за архивиране (Mi PC Suite за смартфони Xiaomi, Samsung Smart Switch за Samsung, HiSuite за Huawei).

В тази статия ще разгледаме създаването и извличането на данни от смартфони Huawei с помощта на помощната програма HiSuite и техния последващ анализ с помощта на Belkasoft Evidence Center.

Какви типове данни са включени в резервните копия на HiSuite?

Следните типове данни са включени в резервните копия на HiSuite:

данни за акаунти и пароли (или токени)
данни за контакт
предизвикателства
SMS и MMS съобщения
електронна поща
мултимедийни файлове
База данни
документация
архиви
файлове с приложения (файлове с разширения.dex, .така, . Apk)
информация от приложения (като Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube и др.)

Нека разгледаме по-подробно как се създава такъв архив и как да го анализираме с помощта на Belkasoft Evidence Center.

Архивиране на смартфон Huawei с помощната програма HiSuite

За да създадете резервно копие със собствена помощна програма, трябва да я изтеглите от уебсайта Huawei и инсталирайте.

Страница за изтегляне на HiSuite на уебсайта на Huawei:

За сдвояване на устройството с компютър се използва режим HDB (Huawei Debug Bridge). На уебсайта на Huawei или в самата програма HiSuite има подробни инструкции как да активирате HDB режим на вашето мобилно устройство. След като активирате HDB режим, стартирайте приложението HiSuite на вашето мобилно устройство и въведете кода, показан в това приложение, в прозореца на програмата HiSuite, работещ на вашия компютър.

Прозорец за въвеждане на код в настолната версия на HiSuite:

По време на процеса на архивиране ще бъдете помолени да въведете парола, която ще се използва за защита на данните, извлечени от паметта на устройството. Създаденото резервно копие ще бъде разположено по пътя C:/Потребители/%Потребителски профил%/Документи/HiSuite/backup/.

Архивиране на смартфон Huawei Honor 20 Pro:

Анализиране на резервно копие на HiSuite с помощта на Belkasoft Evidence Center

За да анализирате полученото архивиране с помощта на Доказателствен център Belkasoft създайте нов бизнес. След това изберете като източник на данни Мобилно изображение. В менюто, което се отваря, посочете пътя до директорията, където се намира резервното копие на смартфона, и изберете файла info.xml.

Посочване на пътя към резервното копие:

В следващия прозорец програмата ще ви подкани да изберете типовете артефакти, които трябва да намерите. След като започнете сканирането, отидете на раздела Task Manager и щракнете върху бутона Конфигуриране на задача, защото програмата очаква парола за декриптиране на шифрованото архивиране.

Бутон Конфигуриране на задача:

След дешифриране на резервното копие Belkasoft Evidence Center ще ви помоли да посочите отново типовете артефакти, които трябва да бъдат извлечени. След приключване на анализа информацията за извлечените артефакти може да се види в разделите Case Explorer и Overview .

Резултати от анализ на резервно копие на Huawei Honor 20 Pro:

Анализ на резервно копие на HiSuite с помощта на програмата Mobile Forensic Expert

Друга криминалистична програма, която може да се използва за извличане на данни от резервно копие на HiSuite, е "Мобилен съдебен експерт".

За да обработите данни, съхранени в резервно копие на HiSuite, щракнете върху опцията Импортиране на резервни копия в главния прозорец на програмата.

Фрагмент от главния прозорец на програмата „Мобилен криминалист“:

Или в секцията вноса изберете типа данни за импортиране Архивиране на Huawei:

В прозореца, който се отваря, посочете пътя до файла info.xml. Когато стартирате процедурата за извличане, ще се появи прозорец, в който ще бъдете помолени да въведете известна парола, за да дешифрирате резервното копие на HiSuite, или да използвате инструмента Passware, за да опитате да познаете тази парола, ако е неизвестна:

Резултатът от анализа на резервното копие ще бъде прозорецът на програмата „Mobile Forensic Expert“, който показва видовете извлечени артефакти: обаждания, контакти, съобщения, файлове, канал за събития, данни от приложения. Обърнете внимание на количеството данни, извлечени от различни приложения от тази криминалистична програма. Просто е огромно!

Списък на извлечените типове данни от резервно копие на HiSuite в програмата Mobile Forensic Expert:

Декриптиране на резервни копия на HiSuite

Какво да направите, ако нямате тези прекрасни програми? В този случай ще ви помогне Python скрипт, разработен и поддържан от Франческо Пикасо, служител на Reality Net System Solutions. Можете да намерите този скрипт на GitHub, а по-подробното му описание е в Статия „Huawei backup decryptor.“

След това декриптираният архив на HiSuite може да бъде импортиран и анализиран с помощта на класически криминалистични помощни програми (напр. Аутопсия) или ръчно.

Данни

По този начин, използвайки помощната програма за архивиране HiSuite, можете да извлечете порядък повече данни от смартфоните на Huawei, отколкото когато извличате данни от същите устройства с помощта на помощната програма ADB. Въпреки големия брой помощни програми за работа с мобилни телефони, Belkasoft Evidence Center и Mobile Forensic Expert са сред малкото криминалистични програми, които поддържат извличането и анализа на резервни копия на HiSuite.

източници

Източник: www.habr.com

Съдебномедицински анализ на резервни копия на HiSuite