WhatsApp в дланта ви: къде и как можете да намерите криминалистични артефакти?

Ако искате да знаете какви видове криминалистични артефакти на WhatsApp съществуват в различни операционни системи и къде точно могат да бъдат намерени, тогава това е мястото за вас. Тази статия е от специалист от лабораторията по компютърна криминалистика Group-IB Игор Михайлов започва поредица от публикации за криминалистиката на WhatsApp и каква информация може да бъде получена чрез анализиране на устройството.

Нека незабавно да отбележим, че различните операционни системи съхраняват различни типове артефакти на WhatsApp и ако един изследовател може да извлече определени типове данни на WhatsApp от едно устройство, това не означава, че подобни типове данни могат да бъдат извлечени от друго устройство. Например, ако бъде премахнат системен модул, работещ под Windows OS, чатовете WhatsApp вероятно няма да бъдат намерени на неговите дискове (с изключение на резервни копия на iOS устройства, които могат да бъдат намерени на същите дискове). Изземването на лаптопи и мобилни устройства ще има свои собствени характеристики. Нека поговорим за това по-подробно.

Артефакти на WhatsApp в устройство с Android

За да извлече артефакти на WhatsApp от устройство с Android, изследователят трябва да има права на суперпотребител ("корен") на изследваното устройство или да можете по друг начин да извлечете дъмп на физическата памет на устройството или неговата файлова система (например, като използвате софтуерни уязвимости на конкретно мобилно устройство).

Файловете на приложението се намират в паметта на телефона в секцията, в която се съхраняват потребителските данни. По правило този раздел е наименуван 'потребителски данни'. Поддиректориите и програмните файлове са разположени по пътя: '/data/data/com.whatsapp/'.

Основните файлове, които съдържат криминалистични артефакти на WhatsApp в операционната система Android, са бази данни 'wa.db' и 'msgstore.db'.

В базата данни 'wa.db' съдържа пълния списък с контакти на потребител на WhatsApp, включително телефонен номер, показвано име, времеви клейма и всяка друга информация, предоставена при регистрацията за WhatsApp. Файл 'wa.db' разположени по пътеката: '/data/data/com.whatsapp/databases/' и има следната структура:

Най-интересните таблици в базата данни 'wa.db' за изследователя са:

• 'wa_contacts'
  Тази таблица съдържа информация за контакт: идентификационен номер на контакт в WhatsApp, информация за състоянието, показвано име на потребителя, времеви клейма и др.

  Външен вид на масата:

  
  Структура на таблицата

  Име на полето	Стойност
  _документ за самоличност	пореден номер на запис (в SQL таблица)
  джид	ID на контакт в WhatsApp, написан във формат <телефонен номер>@s.whatsapp.net
  is_whatsapp_user	съдържа „1“, ако контактът съответства на действителен потребител на WhatsApp, „0“ в противен случай
  статус	съдържа текста, показан в статуса на контакта
  състояние_времево клеймо	съдържа клеймо за време във формат Unix Epoch Time (ms).
  брой	телефонен номер, свързан с контакта
  raw_contact_id	сериен номер на контакт
  DISPLAY_NAME	показвано име на контакта
  phone_type	тип телефон
  телефонен_етикет	етикет, свързан с номера за контакт
  unseen_msg_count	брой съобщения, които са изпратени от контакт, но не са прочетени от получателя
  photo_ts	съдържа клеймо за време във формат Unix Epoch Time
  thumb_ts	съдържа клеймо за време във формат Unix Epoch Time
  photo_id_timestamp	съдържа клеймо за време във формат Unix Epoch Time (ms).
  собствено име	стойността на полето съответства на 'display_name' за всеки контакт
  wa_name	Име на контакт в WhatsApp (показва се името, посочено в профила на контакта)
  име_на_сортиране	име на контакт, използвано при операции за сортиране
  прякор	псевдоним на контакта в WhatsApp (показва се псевдонимът, посочен в профила на контакта)
  компания	фирма (показва се фирмата, посочена в профила на контакта)
  заглавие	заглавие (г-жа/г-н; показва се заглавие, конфигурирано в профила за контакт)
  офсет	пристрастие

• 'sqlite_sequence'
  Тази таблица съдържа информация за броя на контактите;
• 'android_metadata'
  Тази таблица съдържа информация за езиковата локализация на WhatsApp.

В базата данни 'msgstore.db' съдържа информация за изпратените съобщения, като номер за контакт, текст на съобщението, състояние на съобщението, времеви клеймца, подробности за прехвърлените файлове, включени в съобщенията и др. Файл 'msgstore.db' разположени по пътеката: '/data/data/com.whatsapp/databases/' и има следната структура:

Най-интересните таблици във файла 'msgstore.db' за изследователя са:

• 'sqlite_sequence'
  Тази таблица съдържа обща информация за тази база данни, като общия брой съхранени съобщения, общия брой чатове и т.н.

  Външен вид на масата:

  

• 'message_fts_content'
  Съдържа текста на изпратените съобщения.

  Външен вид на масата:

  

• "съобщения"
  Тази таблица съдържа информация като номер за контакт, текст на съобщението, състояние на съобщението, времеви клейма, информация за прехвърлени файлове, включени в съобщенията.

  Външен вид на масата:

  
  Структура на таблицата

  Име на полето	Стойност
  _документ за самоличност	пореден номер на запис (в SQL таблица)
  key_remote_jid	WhatsApp ID на партньор за комуникация
  ключ_от_мен	посока на съобщението: '0' – входящо, '1' – изходящо
  key_id	уникален идентификатор на съобщението
  статус	състояние на съобщението: '0' – доставено, '4' – чакащо на сървъра, '5' – получено на дестинацията, '6' – контролно съобщение, '13' – съобщение, отворено от получателя (прочетено)
  need_push	има стойност '2', ако е излъчено съобщение, в противен случай съдържа '0'
  данни	текст на съобщението (когато параметърът „media_wa_type“ е „0“)
  клеймото	съдържа клеймо за време във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството
  media_url	съдържа URL адреса на прехвърления файл (когато параметърът „media_wa_type“ е „1“, „2“, „3“)
  media_mime_type	MIME тип на прехвърления файл (когато параметърът „media_wa_type“ е равен на „1“, „2“, „3“)
  media_wa_type	тип съобщение: '0' - текст, '1' - графичен файл, '2' - аудио файл, '3' - видео файл, '4' - карта за контакт, '5' - геоданни
  media_size	размер на прехвърления файл (когато параметърът 'media_wa_type' е '1', '2', '3')
  име_на_медия	име на прехвърления файл (когато параметърът 'media_wa_type' е '1', '2', '3')
  media_caption	Съдържа думите „audio“, „video“ за съответните стойности на параметъра „media_wa_type“ (когато параметърът „media_wa_type“ е „1“, „3“)
  media_hash	base64 кодиран хеш на предадения файл, изчислен чрез алгоритъма HAS-256 (когато параметърът 'media_wa_type' е равен на '1', '2', '3')
  media_duration	продължителност в секунди за медийния файл (когато 'media_wa_type' е '1', '2', '3')
  произход	има стойност '2', ако е излъчено съобщение, в противен случай съдържа '0'
  ширина	геоданни: географска ширина (когато параметърът „media_wa_type“ е „5“)
  дължина	геоданни: дължина (когато параметърът „media_wa_type“ е „5“)
  thumb_image	сервизна информация
  отдалечен_ресурс	ID на изпращача (само за групови чатове)
  получено_времево клеймо	време на получаване, съдържа клеймо във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството (когато параметърът „key_from_me“ има „0“, „-1“ или друга стойност)
  изпрати_времево клеймо	не се използва, обикновено има стойност '-1'
  разписка_сървър_времево клеймо	време, получено от централния сървър, съдържа клеймо във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството (когато параметърът „key_from_me“ има „1“, „-1“ или друга стойност
  receipt_device_timestamp	когато съобщението е получено от друг абонат, съдържа клеймо във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството (когато параметърът „key_from_me“ има „1“, „-1“ или друга стойност
  времево_клеймо_на_устройство	време на отваряне (четене) на съобщението, съдържа клеймо във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството
  времево клеймо_на_устройство	време за възпроизвеждане на съобщение, съдържа клеймо във формат Unix Epoch Time (ms), стойността се взема от часовника на устройството
  необработени данни	миниатюра на прехвърления файл (когато параметърът „media_wa_type“ е „1“ или „3“)
  брой_получатели	брой получатели (за излъчвани съобщения)
  участник_хеш	използва се при предаване на съобщения с геоданни
  участва	не се използва
  цитиран_ред_id	неизвестен, обикновено съдържа стойността '0'
  споменатите_jids	не се използва
  multicast_id	не се използва
  офсет	пристрастие

  Този списък с полета не е изчерпателен. За различни версии на WhatsApp някои полета може да присъстват или да липсват. Освен това може да има полета 'media_enc_hash', 'edit_version', 'payment_transaction_id' и т.н.

• 'messages_thumbnails'
  Тази таблица съдържа информация за прехвърлените изображения и клеймото за време. В колоната „timestamp“ времето е посочено във формат Unix Epoch Time (ms).
• 'списък за чат'
  Тази таблица съдържа информация за чатове.

  Външен вид на масата:

  

Освен това, когато разглеждате WhatsApp на мобилно устройство с Android, трябва да обърнете внимание на следните файлове:

• досие 'msgstore.db.cryptXX' (където XX е една или две цифри от 0 до 12, например msgstore.db.crypt12). Съдържа криптирано архивиране на съобщения в WhatsApp (архивен файл msgstore.db). Файл(ове) 'msgstore.db.cryptXX' разположени по пътеката: '/data/media/0/WhatsApp/Databases/' (виртуална SD карта), '/mnt/sdcard/WhatsApp/Бази данни/ (физическа SD карта)“.
• досие "ключ". Съдържа криптографски ключ. Намира се по пътеката: '/data/data/com.whatsapp/files/'. Използва се за декриптиране на криптирани резервни копия на WhatsApp.
• досие 'com.whatsapp_preferences.xml'. Съдържа информация за вашия профил в WhatsApp акаунт. Файлът се намира по пътя: '/data/data/com.whatsapp/shared_prefs/'.

  Фрагмент от съдържанието на файла

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• досие 'registration.RegisterPhone.xml'. Съдържа информация за телефонния номер, свързан с акаунта в WhatsApp. Файлът се намира по пътя: '/data/data/com.whatsapp/shared_prefs/'.

  Съдържанието на файла

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• досие 'axolotl.db'. Съдържа криптографски ключове и други данни, които са необходими за идентифициране на собственика на акаунта. Намира се по пътеката: '/data/data/com.whatsapp/databases/'.
• досие 'chatsettings.db'. Съдържа информация за конфигурацията на приложението.
• досие 'wa.db'. Съдържа данни за контакт. Много интересна (от криминалистична гледна точка) и информативна база данни. Може да съдържа подробна информация за изтрити контакти.

Трябва също да обърнете внимание на следните директории:

• указател '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Съдържа прехвърлени графични файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Съдържа гласови съобщения във файлове във формат .OPUS.
• указател '/data/data/com.whatsapp/cache/Profile Pictures/'. Съдържа графични файлове – изображения на контакти.
• указател '/data/data/com.whatsapp/files/Avatars/'. Съдържа графични файлове – миниатюрни изображения на контакти. Тези файлове имат разширение „.j“, но въпреки това са JPEG (JPG) файлове с изображения.
• указател '/data/data/com.whatsapp/files/Avatars/'. Съдържа графични файлове - изображение и миниатюра на изображението, зададено като аватар от собственика на акаунта.
• указател '/data/data/com.whatsapp/files/Logs/'. Съдържа дневника на работата на програмата (файл 'whatsapp.log') и резервни копия на дневниците на работата на програмата (файлове с имена във формат whatsapp-yyyy-mm-dd.1.log.gz).

Регистрационни файлове на WhatsApp:

Фрагмент от дневник2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] файл с парола липсва или е нечетим
2017-01-10 09:37:09.782 LL_I D [1:main] статистика Текстови съобщения: 59 изпратени, 82 получени / Медийни съобщения: 1 изпратени (0 байта), 0 получени (9850158 байта) / Офлайн съобщения: 81 получени ( 19522 msec средно забавяне) / Услуга за съобщения: 116075 изпратени байта, 211729 получени байта / Voip повиквания: 1 изходящи повиквания, 0 входящи повиквания, 2492 изпратени байта, 1530 получени байта / Google Drive: 0 изпратени байта, 0 получени байта / Роуминг: 1524 изпратени байта, получени 1826 байта / Общо данни: изпратени 118567 байта, получени 10063417 байта
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/версия 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/таймер/стоп: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | прекарано време: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• указател '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Съдържа получените аудио файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Съдържа изпратени аудио файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Съдържа получените графични файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Съдържа изпратени графични файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Съдържа получени видео файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Съдържа изпратени видео файлове.
• указател '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Съдържа графични файлове, свързани със собственика на акаунта в WhatsApp.
• За да спестите място в паметта на вашия смартфон с Android, някои данни от WhatsApp могат да се съхраняват на SD карта. На SD картата в основната директория има директория "Whatsapp", където могат да бъдат намерени следните артефакти на тази програма:

  

• указател '.Дял' ('/mnt/sdcard/WhatsApp/.Share/'). Съдържа копия на файлове, които са били споделени с други потребители на WhatsApp.
• указател ".trash" ('/mnt/sdcard/WhatsApp/.trash/'). Съдържа изтрити файлове.
• указател "бази данни" ('/mnt/sdcard/WhatsApp/Databases/'). Съдържа криптирани резервни копия. Те могат да бъдат дешифрирани, ако файлът е наличен "ключ", извлечени от паметта на анализираното устройство.

  Файлове, разположени в поддиректория "бази данни":

  

• указател "Половината" ('/mnt/sdcard/WhatsApp/Media/'). Съдържа поддиректории „Тапет“, „WhatsApp Audio“, „Изображения на WhatsApp“, „Снимки на профил в WhatsApp“, „WhatsApp Video“, „WhatsApp гласови бележки“, които съдържат получени и предадени мултимедийни файлове (графични файлове, видео файлове, гласови съобщения, снимки, свързани с профила на собственика на акаунта в WhatsApp, тапети).
• указател 'Профилна снимка' ('/mnt/sdcard/WhatsApp/Профилни снимки/'). Съдържа графични файлове, свързани с профила на собственика на акаунта в WhatsApp.
• Понякога на SD картата може да има директория "файлове" ('/mnt/sdcard/WhatsApp/Files/'). Тази директория съдържа файлове, които съхраняват програмни настройки и потребителски предпочитания.

Характеристики на съхранение на данни в някои модели мобилни устройства

Някои модели мобилни устройства, работещи с Android OS, може да съхраняват артефакти на WhatsApp на друго място. Това се дължи на промени в пространството за съхранение на данни от приложението от системния софтуер на мобилното устройство. Например мобилните устройства Xiaomi имат функция за създаване на второ работно пространство („SecondSpace“). Когато тази функция е активирана, местоположението на данните се променя. Така че, ако в обикновено мобилно устройство с операционна система Android потребителските данни се съхраняват в директорията '/data/user/0/' (което е препратка към обичайното '/данни/данни/'), тогава във второто работно пространство данните на приложението се съхраняват в директорията '/data/user/10/'. Тоест, използвайки примера за местоположението на файла 'wa.db':

• в обикновен смартфон с Android OS: /data/user/0/com.whatsapp/databases/wa.db' (което е еквивалентно '/data/data/com.whatsapp/databases/wa.db');
• във второто работно пространство на смартфона Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

Артефакти на WhatsApp в iOS устройство

За разлика от Android OS, в iOS данните от приложението WhatsApp се прехвърлят в резервно копие (iTunes архивиране). Следователно извличането на данни от това приложение не изисква извличане на файловата система или създаване на дъмп на физическата памет на изследваното устройство. Повечето от съответната информация се съдържа в базата данни „ChatStorage.sqlite“, който се намира по пътеката: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (в някои програми този път се появява като „AppDomainGroup-group.net.whatsapp.WhatsApp.shared“).

Структура „ChatStorage.sqlite“:

Най-информативните таблици в базата данни „ChatStorage.sqlite“ са „ZWAMESSAGE“ и „ZWAMEDIAITEM“.

Външен вид на масата „ZWAMESSAGE“:

Структура на таблица "ZWAMESSAGE"

Име на полето	Стойност
Z_PK	пореден номер на запис (в SQL таблица)
Z_ENT	идентификатор на таблица, има стойност '9'
Z_OPT	неизвестен, обикновено съдържа стойности от '1' до '6'
ZCHILDMESSAGESDELIVEREDCOUNT	неизвестен, обикновено съдържа стойността '0'
ZCHILDMESSAGESPLAYEDCOUNT	неизвестен, обикновено съдържа стойността '0'
ZCHILDMESSAGESREADCOUNT	неизвестен, обикновено съдържа стойността '0'
ZDATAITEMVERSION	неизвестен, обикновено съдържа стойността '3', вероятно индикатор за текстово съобщение
ЗДОЦИД	неизвестен
ZENCRETRYCOUNT	неизвестен, обикновено съдържа стойността '0'
ZFILTEREDRECIPIENTCOUNT	неизвестен, обикновено съдържа стойностите '0', '2', '256'
ZISFROMME	посока на съобщението: '0' – входящо, '1' – изходящо
ZMESSAGEERRORSTATUS	състояние на предаване на съобщението. Ако съобщението е изпратено/получено, тогава то има стойност '0'
ZMESSAGETYPE	вид предавано съобщение
ZSORT	неизвестен
ZSPOTLIGHSTATUS	неизвестен
ZSTARRED	неизвестен, не е използван
ZCHATSESSION	неизвестен
ZGROUPMEMBER	неизвестен, не е използван
ЗЛАСТСЕСИЯ	неизвестен
ZMEDIAITEM	неизвестен
ZMESSAGEINFO	неизвестен
ZPARENTMESSAGE	неизвестен, не е използван
ZMESSAGEDATE	клеймо във формат OS X Epoch Time
ZSENTDATE	времето, когато съобщението е изпратено във формат OS X Epoch Time
ZFROMJID	ID на изпращача в WhatsApp
ZMEDIASECTIONID	съдържа годината и месеца на изпращане на медийния файл
ZPHASH	неизвестен, не е използван
ZPUSHPAME	име на контакта, изпратил медийния файл във формат UTF-8
ZSTANZID	уникален идентификатор на съобщението
ZTEXT	Текст на съобщението
ZTOJID	WhatsApp ID на получателя
ИЗМЕСТВАНЕ	пристрастие

Външен вид на масата „ZWAMEDIAITEM“:

Структура на таблица "ZWAMEDIAITEM"

Име на полето	Стойност
Z_PK	пореден номер на запис (в SQL таблица)
Z_ENT	идентификатор на таблица, има стойност '8'
Z_OPT	неизвестен, обикновено съдържа стойности от '1' до '3'.
ZCLOUDSTATUS	съдържа стойността '4', ако файлът е зареден.
ZFILESIZE	съдържа дължината на файла (в байтове) за изтеглените файлове
ZMEDIAORIGIN	неизвестен, обикновено има стойност '0'
ZMOVIEDURATION	продължителност на медийния файл, за pdf файлове може да съдържа броя на страниците на документа
ZMESSAGE	съдържа сериен номер (номерът е различен от посочения в колона „Z_PK“)
ЗАСПЕКТРАЦИЯ	аспектно съотношение, не се използва, обикновено е зададено на „0“
ТОЧНОСТ	неизвестен, обикновено има стойност '0'
ЗЛАТИЕ	ширина в пиксели
ДЪЛГОСТ	височина в пиксели
ZMEDIAURLDATE	клеймо във формат OS X Epoch Time
ZAUTHORNAME	автор (за документи може да съдържа името на файла)
ZCOLLECTIONNAME	не се използва
ZMEDIALOCALPATH	име на файл (включително път) във файловата система на устройството
ZMEDIAURL	URL адресът, където се намира медийният файл. Ако даден файл е прехвърлен от един абонат на друг, той е криптиран и неговото разширение ще бъде посочено като разширение на прехвърления файл - .enc
ZTHUMBNAILLLOCALPATH	път до миниатюрата на файла във файловата система на устройството
ZTITLE	заглавка на файла
ZVCARDNAME	хеш на медийния файл; когато прехвърляте файла към група, той може да съдържа идентификатора на подателя
ZVCARDSTRING	съдържа информация за вида на файла, който се прехвърля (например изображение/jpeg); когато прехвърляте файл към група, той може да съдържа идентификатора на получателя
ZXMPPTHUMBPATH	път до миниатюрата на файла във файловата система на устройството
ZMEDIAKEY	неизвестен, вероятно съдържа ключа за дешифриране на шифрования файл.
ZMETADATA	метаданни на предаденото съобщение
Офсет	пристрастие

Други интересни таблици на бази данни „ChatStorage.sqlite“ са:

• „ZWAPROFILEPUSHNAME“. Съвпада WhatsApp ID с името на контакта;
• „ZWAPROFILEPICTUREITEM“. Съвпада с WhatsApp ID с аватара на контакта;
• „Z_PRIMARYKEY“. Таблицата съдържа обща информация за тази база данни, като общ брой съхранени съобщения, общ брой чатове и др.

Освен това, когато разглеждате WhatsApp на мобилно устройство с iOS, трябва да обърнете внимание на следните файлове:

• досие „BackedUpKeyValue.sqlite“. Съдържа криптографски ключове и други данни, които са необходими за идентифициране на собственика на акаунта. Намира се по пътеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• досие „ContactsV2.sqlite“. Съдържа информация за контактите на потребителя, като пълно име, телефонен номер, статус на контакт (в текстова форма), WhatsApp ID и др. Намира се по пътеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• досие 'consumer_version'. Съдържа номера на версията на инсталираното приложение WhatsApp. Намира се по пътеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• досие 'current_wallpaper.jpg'. Съдържа текущия фонов тапет на WhatsApp. Намира се по пътеката: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. По-старите версии на приложението използват файла "тапет", който се намира по пътеката: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• досие 'blockedcontacts.dat'. Съдържа информация за блокирани контакти. Намира се по пътеката: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• досие 'pw.dat'. Съдържа криптирана парола. Намира се по пътеката: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• досие 'net.whatsapp.WhatsApp.plist' (или файл 'group.net.whatsapp.WhatsApp.shared.plist'). Съдържа информация за вашия профил в WhatsApp акаунт. Файлът се намира по пътя: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

Съдържание на файла „group.net.whatsapp.WhatsApp.shared.plist“
Трябва също да обърнете внимание на следните директории:

• указател '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Съдържа миниатюри на контакти, групи (файлове с разширение .палец), аватари за контакти, аватар на собственика на акаунт в WhatsApp (файл „Снимка.jpg“).
• указател '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Съдържа мултимедийни файлове и техните миниатюри
• указател '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Съдържа дневника на работата на програмата (файл 'calls.log') и резервни копия на регистрационните файлове за работа на програмата (файл 'calls.backup.log').
• указател '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Съдържа стикери (файлове във формат ".webp").
• указател '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Съдържа регистрационни файлове за работа на програмата.

Артефакти на WhatsApp в Windows

Артефактите на WhatsApp в Windows могат да бъдат намерени на няколко места. На първо място, това са директории, съдържащи изпълними и помощни програмни файлове (за Windows 8/10):

• „C:Програмни файлове (x86)WhatsApp“
• „C:Users%User profile% AppDataLocalWhatsApp“
• „C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp“

В каталога „C:Users%User profile% AppDataLocalWhatsApp“ лог файлът се намира „SquirrelSetup.log“, който съдържа информация за проверка за актуализации и инсталиране на програмата.

В каталога 'C:Users%Потребителски профил% AppDataRoamingWhatsApp' Има няколко поддиректории:

досие 'main-process.log' съдържа информация за работата на програмата WhatsApp.

Поддиректория "бази данни" съдържа файл „Бази данни.db“, но този файл не съдържа информация за чатове или контакти.

Най-интересни от криминалистична гледна точка са файловете, намиращи се в директорията „Кеш“. Това са основно файлове с имена 'f_******' (където * е число от 0 до 9), съдържащи криптирани мултимедийни файлове и документи, но сред тях има и некриптирани файлове. Особен интерес представляват файловете 'данни_0', 'данни_1', 'данни_2', 'данни_3', разположен в същата поддиректория. файлове 'данни_0', 'данни_1', 'данни_3' съдържат външни връзки към предадени криптирани мултимедийни файлове и документи.

Пример за информация, съдържаща се във файл „data_1“
Също така файл 'данни_3' може да съдържа графични файлове.

досие 'данни_2' съдържа аватари за контакт (може да се възстанови чрез търсене по заглавки на файлове).

Аватари, съдържащи се във файла 'данни_2':

По този начин самите чатове не могат да бъдат намерени в паметта на компютъра, но можете да намерите:

• мултимедийни файлове;
• документи, предавани чрез WhatsApp;
• информация за контактите на собственика на акаунта.

Артефакти на WhatsApp на MacOS

В MacOS можете да намерите типове артефакти на WhatsApp, подобни на тези в Windows OS.

Програмните файлове се намират в следните директории:

• „C:ApplicationsWhatsApp.app“
• „C:Applications._WhatsApp.app“
• „C:Users%Потребителски профил%LibraryPreferences“
• „C:Users%Потребителски профил%LibraryLogsWhatsApp“
• „C:Users%Потребителски профил%LibrarySaved Application StateWhatsApp.savedState“
• „C:Users%Потребителски профил%LibraryApplication Scripts“
• „C:Users%Потребителски профил%LibraryApplication SupportCloudDocs“
• 'C:Users%Потребителски профил%LibraryApplication SupportWhatsApp.ShipIt'
• „C:Users%Потребителски профил%LibraryContainerscom.rockysandstudio.app-for-whatsapp“
• „C:Users%User profile% Library Mobile Documents <text variable> WhatsApp Accounts“
  Тази директория съдържа поддиректории, чиито имена са телефонни номера, свързани със собственика на акаунта в WhatsApp.
• „C:Users%Потребителски профил%LibraryCachesWhatsApp.ShipIt“
  Тази директория съдържа информация за инсталирането на програмата.
• 'C:Users%Потребителски профил%PicturesiPhoto Library.photolibraryMasters', 'C:Users%Потребителски профил%PicturesiPhoto Library.photolibraryThumbnails'
  Тези директории съдържат сервизни файлове на програмата, включително снимки и миниатюри на контакти в WhatsApp.
• „C:Users%Потребителски профил%LibraryCachesWhatsApp“
  Тази директория съдържа няколко SQLite бази данни, които се използват за кеширане на данни.
• „C:Users%Потребителски профил%LibraryApplication SupportWhatsApp“
  Тази директория съдържа няколко поддиректории:

  
  В каталога „C:Users%Потребителски профил%LibraryApplication SupportWhatsAppCache“ има файлове 'данни_0', 'данни_1', 'данни_2', 'данни_3' и файлове с имена 'f_******' (където * е число от 0 до 9). За информация каква информация съдържат тези файлове, вижте Артефакти на WhatsApp в Windows.

  В каталога „C:Users%Потребителски профил%LibraryApplication SupportWhatsAppIndexedDB“ може да съдържа мултимедийни файлове (файловете нямат разширения).

  досие 'main-process.log' съдържа информация за работата на програмата WhatsApp.

източници

1. Съдебномедицински анализ на WhatsApp Messenger на смартфони с Android, от Козимо Англано, 2014 г.
2. Съдебна медицина на Whatsapp: Изследване на системи и бази данни в приложения за Android и iOS от Ахмад Пратама, 2014 г.

В следващите статии от тази серия:

Декриптиране на криптирани бази данни WhatsAppСтатия, която ще предостави информация за това как се генерира ключът за шифроване на WhatsApp и практически примери, показващи как да декриптирате шифрованите бази данни на това приложение.
Извличане на данни на WhatsApp от облачно хранилищеСтатия, в която ще ви кажем какви данни на WhatsApp се съхраняват в облаците и ще опишем методите за извличане на тези данни от облачните хранилища.
Извличане на данни от WhatsApp: Практически примериСтатия, която ще опише стъпка по стъпка какви програми и как да извличате данни от WhatsApp от различни устройства.

Източник: www.habr.com