Extrakce dat z Android zařízení se každým dnem stává stále složitější — někdy dokonce , než z iPhonů. Igor Michajlov, specialista Laboratoře počítačové kriminalistiky Group-IB, vysvětluje, co dělat, pokud nemůžete extrahovat data ze smartphonu na Android standardními způsoby.
Před několika lety jsme s kolegy diskutovali o trendech vývoje bezpečnostních mechanismů v Android zařízeních a dospěli jsme k názoru, že nastane čas, kdy jejich kriminalistické vyšetřování bude složitější než pro iOS zařízení. A dnes můžeme s jistotou říci, že tento čas přišel.
Nedávno jsem zkoumal Huawei Honor 20 Pro. Jak si myslíte, co se mi podařilo extrahovat z jeho zálohy získané pomocí nástroje ADB? Nic! V zařízení je spousta dat: informace o hovorech, telefonní seznam, SMS, korespondence v messenger aplikacích, e-maily, multimediální soubory atd. A vy nemůžete nic z toho extrahovat. Hrozný pocit!
Co dělat v takové situaci? Dobré řešení — použití specializovaných zálohovacích nástrojů (Mi PC Suite — pro smartphony Xiaomi, Samsung Smart Switch pro — Samsung, HiSuite pro — Huawei).
V tomto článku se podíváme na vytváření a extrakci dat ze smartphonů Huawei pomocí nástroje HiSuite a jejich následnou analýzu s pomocí Belkasoft Evidence Center.
Jaké typy dat se dostávají do záloh HiSuite?
Do záloh HiSuite se dostávají následující typy dat:
- data o účtech a heslech (nebo tokeny)
- kontakty
- hovory
- SMS a MMS zprávy
- e-maily
- multimediální soubory
- databáze
- dokumenty
- archivy
- souborové aplikace (soubory s příponami.odex, .so, .apk)
- informace z aplikací (takových jako Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube atd.)
Podíváme se podrobněji, jak se taková záloha vytváří a jak ji analyzovat pomocí Belkasoft Evidence Center.
Vytváření zálohy smartphonu Huawei pomocí nástroje HiSuite
Pro vytváření zálohy je třeba stáhnout specializovaný nástroj z webu a nainstalovat.
Stránka stáhnutí programu HiSuite na webu Huawei:
Pro spárování zařízení s počítačem se používá režim HDB (Huawei Debug Bridge). Na stránkách Huawei nebo v samotném programu HiSuite je podrobný návod, jak aktivovat režim HDB na mobilním zařízení. Po aktivaci režimu HDB spusťte na mobilním zařízení aplikaci HiSuite a zadejte kód zobrazený v této aplikaci do okna programu HiSuite spuštěného na počítači.
Okno pro zadání kódu v desktopové verzi HiSuite:
Během procesu vytváření zálohy budete muset zadat heslo, které se použije k ochraně dat extrahovaných z paměti zařízení. Vytvořená záloha bude umístěna na cestě C:/Users/%User profile%/Documents/HiSuite/backup/.
Záloha smartphonu Huawei Honor 20 Pro:
Analýza zálohy HiSuite pomocí Belkasoft Evidence Center
Pro analýzu získané zálohy pomocí vytvořte nový případ. Poté v jako zdroj dat vyberte položku Mobile Image. V otevřeném menu zadejte cestu k adresáři, kde se nachází záloha smartphonu, a vyberte soubor info.xml.
Uvedení cesty k záloze:
V dalším okně program nabídne výběr typů artefaktů, které je třeba najít. Po spuštění skenování přejděte na záložku Task Manager a klikněte na tlačítko Configure task, protože program očekává zadání hesla pro dešifrování šifrované zálohy.
Tlačítko Configure task:
Po dešifrování zálohy vás Belkasoft Evidence Center požádá, abyste znovu určili typy artefaktů, které je třeba extrahovat. Po skončení analýzy můžete informace o extrahovaných artefaktech zobrazit na kartách Case Explorer a Přehled .
Výsledky analýzy zálohy Huawei Honor 20 Pro:
Analýza zálohy HiSuite pomocí programu 'Mobilní Kriminalista Expert'
Další kriminalistický program, který lze použít pro extrakci dat ze zálohy HiSuite, je .
Pro zpracování dat obsažených v záloze HiSuite klikněte na možnost Import záloh v hlavním okně programu.
Fragment hlavního okna programu 'Mobilní Kriminalista Expert':
Nebo v sekci Import vyberte typ importovaných dat Záloha Huawei:
V otevřeném okně zadejte cestu k souboru info.xml. Při spuštění procesu extrakce se zobrazí okno, ve kterém budete vyzváni k zadání známého hesla pro dešifrování zálohy HiSuite, nebo k použití nástroje společnosti Passware k pokusu o nalezení tohoto hesla, pokud není známo:
Výsledkem analýzy zálohy bude okno programu „Mobilní Kriminalista Expert“, ve kterém budou zobrazeny typy extrahovaných artefaktů: hovory, kontakty, zprávy, soubory, časová osa událostí, data aplikací. Všimněte si množství dat extrahovaných z různých aplikací tímto kriminalistickým programem. Je to obrovské!
Seznam typů extrahovaných dat ze zálohy HiSuite v programu „Mobilní Kriminalista Expert“:
Dešifrování záloh HiSuite
Co dělat, pokud tyto skvělé programy nemáte? V tom případě vám pomůže Python skript vyvinutý a udržovaný Francescem Piccassem, zaměstnancem Reality Net System Solutions. Tento skript najdete na , a jeho podrobnější popis — v „Huawei backup decryptor“.
V budoucnu může být dešifrovaná záloha HiSuite importována a analyzována pomocí klasických kriminalistických nástrojů (například ) nebo ručně.
Závěry
Tímto způsobem, pomocí nástroje pro zálohování HiSuite, lze z chytrých telefonů Huawei extrahovat mnohem více dat než při extrakci dat z těchto zařízení pomocí nástroje ADB. Navzdory velkému počtu nástrojů pro práci s mobilními telefony jsou Belkasoft Evidence Center a „Mobilní Kriminalista Expert“ jedny z mála kriminalistických programů, které podporují extrakci a analýzu záloh HiSuite.
Zdroje
Zdroj: habr.com
