🥇Криминалистически анализ на резервни копия HiSuite

Извличането на данни от Android устройства става все по-сложно - понякога дори по-сложно, отколкото от iPhone. Игор Михайлов, специалист в Лабораторията по компютърна криминалистика на Group-IB, обяснява какво да правите, ако не можете да извлечете данни от смартфон на Android с обичайните методи.

Преди няколко години обсъждахме с колегите тенденциите в развитието на механизмите за сигурност в Android устройствата и осъзнахме, че ще дойде време, когато криминалистичното им проучване ще стане по-сложно, отколкото за iOS устройства. Днес може с увереност да се каже, че това време е дошло.

Наскоро проучвах Huawei Honor 20 Pro. Как мислите, какво успях да извлека от резервната му копие, получена с помощта на утилита ADB? Нищо! Устройството е пълно с данни: информация за обаждания, телефонен указател, SMS, разговори в месинджъри, имейли, мултимедийни файлове и т.н. Но не можете да извлечете нищо от тях. Ужасно усещане!

Какво да правим в такава ситуация? Добър вариант е използването на фирмени резервни утилити (Mi PC Suite за смартфони Xiaomi, Samsung Smart Switch за Samsung, HiSuite за Huawei).

В тази статия ще разгледаме как се създава и извлича данни от смартфони Huawei с помощта на HiSuite и тяхният последващ анализ с Belkasoft Evidence Center.

Какви типове данни попадат в резервните копия на HiSuite?

В резервните копия на HiSuite попадат следните типове данни:

данни за акаунти и пароли (или токени)
контакти
обаждания
SMS и MMS съобщения
имейли
мултимедийни файлове
бази данни
документи
архиви
файлове от приложения (файлове с разширения.odex, .so, .apk)
информация от приложения (като Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube и др.)

Нека разгледаме по-подробно как се създава такава резервна копия и как да я анализираме с помощта на Belkasoft Evidence Center.

Създаване на резервна копия на смартфон Huawei с помощта на утилитата HiSuite

За да създадете резервна копия с фирмената утилита, трябва да я изтеглите от сайта Huawei и да я инсталирате.

Страница за изтегляне на програмата HiSuite на сайта на Huawei:

За свързване на устройството с компютър се използва режим HDB (Huawei Debug Bridge). На сайта на Huawei или в самото приложение HiSuite има подробна инструкция как да активирате режима HDB на мобилното устройство. След активиране на режима HDB стартирайте приложението HiSuite на мобилното устройство и въведете кода, показан в това приложение, в прозореца на програма HiSuite, стартирана на компютъра.

Прозорец за въвеждане на код в десктоп версията на HiSuite:

По време на създаването на резервно копие ще бъде необходимо да въведете парола, която ще се използва за защита на данните, извлечени от паметта на устройството. Създаденото резервно копие ще бъде разположено по пътя C:/Users/%User profile%/Documents/HiSuite/backup/.

Резервно копие на смартфон Huawei Honor 20 Pro:

Анализ на резервното копие на HiSuite с помощта на Belkasoft Evidence Center

За анализ на полученото резервно копие с помощта на Belkasoft Evidence Center създайте нов случай. След това като източник на данни изберете елемента Mobile Image. В отворилото се меню посочете пътя до директорията, където е разположено резервното копие на смартфона, и изберете файла info.xml.

Указание за пътя до резервното копие:

В следващия прозорец програмата ще предложи да изберете типовете артефакти, които да бъдат намерени. След стартиране на сканирането преминете към раздела Task Manager и кликнете върху бутона Configure task, тъй като програмата очаква подаване на парола за декриптиране на криптираното резервно копие.

Бутон Configure task:

След декриптиране на резервното копие Belkasoft Evidence Center ще поиска повторно да посочите типовете артефакти, които да бъдат извлечени. След края на анализа информацията за извлечените артефакти може да бъде прегледана в разделите Case Explorer и Общ преглед .

Резултати от анализа на резервното копие на Huawei Honor 20 Pro:

Анализ на резервното копие на HiSuite с помощта на програмата „Мобилен Криминалист Експерт“

Друга криминалистична програма, с помощта на която може да се извлекат данни от резервното копие на HiSuite, — „Мобилен Криминалист Експерт“.

За да обработите данните, находящи се в резервното копие на HiSuite, кликнете на опцията Импорт на резервни копия в главното прозорец на програмата.

Фрагмент от главното прозорец на програмата „Мобилен Криминалист Експерт“:

Или в раздела Импорт изберете типа на импортируемите данни Резервно копие на Huawei:

В отворилото се прозорец посочете пътя до файла info.xml. При стартиране на процедурата по извличане ще се появи прозорец, в който ще бъде предложено или да въведете известна парола за декриптиране на резервното копие HiSuite, или да използвате инструмента на компанията Passware, за да опитате да подберете тази парола, ако е неизвестна:

Резултатът от анализа на резервното копие ще бъде прозорец на програмата «Мобилен Криминалист Експерт», в който са показани типовете извлечени артефакти: обаждания, контакти, съобщения, файлове, хронология на събитията, данни от приложения. Обърнете внимание на количеството данни, извлекли се от различни приложения с тази криминалистична програма. То е просто огромно!

Списък на извлечените типове данни от резервното копие HiSuite в програмата «Мобилен Криминалист Експерт»:

Декриптиране на резервни копия HiSuite

Какво да правите, ако нямате тези страхотни програми? В такъв случай ще ви помогне Python-скрипт, разработен и поддържан от Франческо Пикассо (Francesco Picasso), служител на Reality Net System Solutions. Този скрипт можете да намерите на GitHub, а неговото по-подробно описание — в статията «Huawei backup decryptor».

Впоследствие декриптираното резервно копие HiSuite може да бъде импортирано и анализирано с помощта на класически криминалистични инструменти (например, Autopsy) или ръчно.

Изводи

По този начин, използвайки утилитата за резервно копиране HiSuite, може да се извлече много повече данни от смартфони на Huawei, отколкото при извличането на данни от същите устройства с помощта на утилитата ADB. Въпреки голямото количество утилити за работа с мобилни телефони, Belkasoft Evidence Center и «Мобилен Криминалист Експерт» са едни от малкото криминалистични програми, които поддържат извличането и анализа на резервни копия HiSuite.

Източници