At udtrække data fra Android-enheder bliver stadig mere kompliceret - nogle gange endda , end fra iPhone. Igor Mikhailov, specialist i Group-IB's Computer Forensics Lab, forklarer, hvad du skal gøre, hvis du ikke kan udtrække data fra en Android-smartphone ved hjælp af standardmetoder.
For flere år siden diskuterede vi sammen med kollegerne tendenserne i sikkerhedsmekanismerne i Android-enheder, og vi kom frem til, at der ville komme en tid, hvor kriminalteknisk undersøgelse af dem ville blive mere kompliceret end af iOS-enheder. Og i dag kan vi med sikkerhed sige, at tiden er kommet.
For nylig undersøgte jeg en Huawei Honor 20 Pro. Hvad tror du, at jeg kunne udtrække fra dens backup, som blev lavet med ADB-værktøjet? Intet! Enheden er fyldt med data: opkaldsinformation, adressebog, SMS, beskeder i messaging-apps, e-mails, mediefiler osv. Men du kan ikke udtrække nogen af disse. Forfærdelige følelser!
Hvad skal man så gøre i sådan en situation? En god løsning er at bruge de officielle backup-værktøjer (Mi PC Suite til Xiaomi-smartphones, Samsung Smart Switch til Samsung, HiSuite til Huawei).
I denne artikel vil vi se på, hvordan man opretter og udtrækker data fra Huawei-smartphones ved hjælp af HiSuite-værktøjet og derefter analysere dem med Belkasoft Evidence Center.
Hvilke datatyper inkluderes i HiSuite-backups?
Følgende datatyper inkluderes i HiSuite-backups:
- konto- og adgangsdata (eller tokens)
- kontakter
- opkald
- SMS- og MMS-beskeder
- e-mails
- mediefiler
- databaser
- dokumenter
- arkiver
- applikationsfiler (filer med udvidelser.odex, .so, .apk)
- informationsdata fra apps (såsom Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube osv.)
Lad os se nærmere på, hvordan en sådan backup oprettes, og hvordan den analyseres med Belkasoft Evidence Center.
Oprettelse af backup af Huawei-smartphone ved hjælp af HiSuite-værktøjet
For at oprette en backup skal det officielle værktøj downloades fra hjemmesiden og installeres.
Downloadside for programmet HiSuite på Huawei's hjemmeside:
For connecting the device to the computer, the HDB (Huawei Debug Bridge) mode is used. Detailed instructions on how to activate HDB mode on your mobile device can be found on the Huawei website or in the HiSuite program itself. After activating HDB mode, launch the HiSuite application on your mobile device and enter the code displayed in this application into the HiSuite program running on your computer.
Code entry window in the desktop version of HiSuite:
During the backup creation process, you will need to enter a password that will be used to protect the data extracted from the device's memory. The created backup will be located at C:/Users/%User profile%/Documents/HiSuite/backup/.
Backup of the Huawei Honor 20 Pro smartphone:
Analyzing the HiSuite backup with Belkasoft Evidence Center
To analyze the obtained backup using , create a new case. Then, select Mobile Imageas the data source. In the opened menu, specify the path to the folder where the smartphone backup is located and select the file info.xml.
Specifying the path to the backup:
In the next window, the program will prompt you to choose the types of artifacts to search for. After starting the scan, go to the Task Manager and click the Configure taskbutton, as the program expects to receive the password for decrypting the encrypted backup.
Knappen Configure task:
After decrypting the backup, Belkasoft Evidence Center will ask you to specify the types of artifacts to extract again. After the analysis is complete, you can view the information about the extracted artifacts in the tabs Case Explorer og Oversigt .
Results of the analysis of the Huawei Honor 20 Pro backup:
Analyzing the HiSuite backup using the 'Mobile Criminal Expert' program
Another forensic program that can extract data from the HiSuite backup is .
To process the data in the HiSuite backup, click on the option Import backups in the main window of the program.
Fragment of the main window of the 'Mobile Criminal Expert' program:
Or in the section Import select the type of imported data Backup of Huawei:
In the opened window, specify the path to the file info.xml. Når udtrækningsproceduren starter, vises et vindue, hvor du bliver bedt om enten at indtaste den kendte adgangskode til at dekryptere HiSuite-backupen eller anvende et værktøj fra Passware for at forsøge at finde denne adgangskode, hvis den er ukendt:
Resultatet af analysen af backupen vil være et vindue i programmet «Mobil Kriminalist Ekspert», der viser typerne af udtrukne artefakter: opkald, kontakter, beskeder, filer, aktivitetsstrømme, app-data. Vær opmærksom på mængden af data udtrukket fra de forskellige apps af dette kriminalistiske program. Det er simpelthen enormt!
Liste over de udtrukne datatyper fra HiSuite-backupen i programmet «Mobil Kriminalist Ekspert»:
Dekryptering af HiSuite-backupfiler
Hvad skal du gøre, hvis du ikke har disse fantastiske programmer? I så fald kan en Python-script, udviklet og vedligeholdt af Francesco Picasso, medarbejder hos Reality Net System Solutions, hjælpe dig. Dette script kan du finde på , og en mere detaljeret beskrivelse findes i «Huawei backup decryptor».
Den dekrypterede HiSuite-backup kan senere importeres og analyseres ved hjælp af klassiske kriminalistiske værktøjer (for eksempel ) eller manuelt.
Konklusioner
Dermed kan der ved brug af HiSuite-backupværktøjet udtrækkes betydeligt flere data fra Huawei-smartphones end ved udtrækning af data fra de samme enheder ved hjælp af ADB-værktøjet. På trods af det store antal værktøjer til arbejdet med mobiltelefoner er Belkasoft Evidence Center og «Mobil Kriminalist Ekspert» nogle af de få kriminalistiske programmer, der understøtter udtrækning og analyse af HiSuite-backups.
Kilder
Kilde: habr.com
