WhatsApp i din hånd: hvor og hvordan man kan finde kriminalistiske artefakter?

Vil du vide, hvilke typer kriminalistiske artefakter WhatsApp der findes i forskellige operativsystemer, og hvor de kan findes — så er dette stedet for dig. Denne artikel af specialisten fra Group-IBs laboratorium for computerkriminalistik Igor Mikhaylov åbner en serie publikationer om kriminalistisk undersøgelse af WhatsApp og hvilke oplysninger det kan give ved analysen af enheden.

Lad os straks bemærke, at forskellige typer WhatsApp-artefakter opbevares på forskellige operativsystemer, og hvis en forsker kan udtrække bestemte typer WhatsApp-data fra én enhed, betyder det ikke, at lignende data kan udtrækkes fra en anden enhed. For eksempel, hvis der udtages en systemblok, der kører på Windows, vil der sandsynligvis ikke blive fundet WhatsApp-chats på dens drev (undtagelsen er sikkerhedskopier af iOS-enheder, som kan findes på disse samme drev). Når der udtages bærbare computere og mobile enheder, vil der være deres egne særegenheder. Lad os tale mere om det.

WhatsApp-artefakter i Android-enheden

For at udtrække WhatsApp-artefakter fra en enhed, der kører på Android, skal forskeren have superbrugerrettigheder (‘root’) på den undersøgte enhed eller på anden måde kunne udtrække et fysisk dump af enhedens hukommelse eller dens filsystem (f.eks. ved at udnytte softwarefejl på en bestemt mobil enhed).

Applikationens filer ligger i telefonens hukommelse i den sektion, hvor brugerdata opbevares. Denne sektion kaldes normalt ‘userdata’. Undermapper og programmets filer findes på stien: ‘/data/data/com.whatsapp/’.

De vigtigste filer, der indeholder kriminalistiske artefakter fra WhatsApp i Android, er databaserne ‘wa.db’ og ‘msgstore.db’.

I databasen ‘wa.db’ findes der en komplet liste over WhatsApp-kontakter, herunder telefonnummer, vist navn, tidsstempler og anden information angivet ved tilmeldingen til WhatsApp. Filen ‘wa.db’ kan findes på stien: ‘/data/data/com.whatsapp/databases/’ og har følgende struktur:

De mest interessante tabeller i databasen ‘wa.db’ for forskeren er:

• ‘wa_contacts’
  Denne tabel indeholder information om kontakter: kontakt-ID i WhatsApp, statusinformation, brugernavn, tidsstempler mv.

  Tabelens udseende:

  
  Tabelstruktur

  Feltnavn	Værdi
  _id	postnummer (i SQL-tabellen)
  jid	WhatsApp-kontakt-ID, angivet i formatet @s.whatsapp.net
  is_whatsapp_user	indeholder '1', hvis kontakten svarer til en eksisterende WhatsApp-bruger, '0' ellers
  status	indeholder teksten, der vises i kontaktens status
  status_timestamp	indeholder tidsstempel i Unix Epoch Time-format (ms)
  number	telefonnummeret, der er knyttet til kontakten
  raw_contact_id	kontaktens postnummer
  display_name	kontaktens viste navn
  phone_type	telefontype
  phone_label	etiket knyttet til kontaktens nummer
  unseen_msg_count	antallet af beskeder sendt af kontakten, som ikke er blevet læst af modtageren
  photo_ts	indeholder tidsstempel i Unix Epoch Time-format
  thumb_ts	indeholder tidsstempel i Unix Epoch Time-format
  photo_id_timestamp	indeholder tidsstempel i Unix Epoch Time-format (ms)
  given_name	feltets værdi svarer til 'display_name' for hver kontakt
  wa_name	kontaktens navn i WhatsApp (det viste navn, der er angivet i kontaktens profil)
  sort_name	kontaktens navn, der bruges i sorteringsoperationer
  nickname	kontaktens kaldenavn i WhatsApp (det viste kaldenavn, der er angivet i kontaktens profil)
  company	virksomhed (den virksomhed, der er angivet i kontaktens profil)
  title	tiltale (fru/fru; den tiltale, der er indstillet i kontaktens profil)
  offset	forskyvning

• 'sqlite_sequence'
  Denne tabel indeholder information om antallet af kontakter;
• 'android_metadata'
  Denne tabel indeholder information om sproglig lokalisering af WhatsApp.

I databasen ‘msgstore.db’ indeholder information om sendte beskeder, såsom kontaktnummer, beskedtekst, beskedstatus, tidsstempler, oplysninger om overførte filer inkluderet i beskederne, mv. Fil ‘msgstore.db’ kan findes på stien: ‘/data/data/com.whatsapp/databases/’ og har følgende struktur:

De mest interessante tabeller i filen ‘msgstore.db’ for forskeren er:

• 'sqlite_sequence'
  Denne tabel indeholder generel information om denne database, såsom det samlede antal gemte beskeder, det samlede antal chats, mv.

  Tabelens udseende:

  

• 'message_fts_content'
  Indeholder teksten på de sendte beskeder.

  Tabelens udseende:

  

• 'messages'
  Denne tabel indeholder information såsom kontaktnummer, beskedtekst, beskedstatus, tidsstempler, oplysninger om overførte filer inkluderet i beskederne.

  Tabelens udseende:

  
  Tabelstruktur

  Feltnavn	Værdi
  _id	postnummer (i SQL-tabellen)
  key_remote_jid	WhatsApp-ID for kommunikationspartneren
  key_from_me	beskedretning: '0' – indgående, '1' – udgående
  key_id	unik identifikator for beskeden
  status	beskedstatus: ‘0’ – leveret, ‘4’ – venter på serveren, ‘5’ – modtaget på bestemmelsesstedet, ‘6’ – kontrolmeddelelse, ‘13’ – meddelelse åbnet af modtageren (læst)
  need_push	har værdien ‘2’, hvis dette er en broadcast-meddelelse, ellers indeholder det ‘0’
  data	meddelelsestekst (når parameteren ‘media_wa_type’ er lig med ‘0’)
  timestamp	indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur
  media_url	indeholder URL'en til den overførte fil (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  media_mime_type	MIME-type for den overførte fil (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  media_wa_type	meddelelsestype: ‘0’ – tekst, ‘1’ – billedfil, ‘2’ – lydfil, ‘3’ – videofil, ‘4’ – kontaktkort, ‘5’ – geodata
  media_size	størrelse på den overførte fil (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  media_name	navn på den overførte fil (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  media_caption	Indeholder ordene ‘audio’, ‘video’ for de relevante værdier af parameteren ‘media_wa_type’ (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘3’)
  media_hash	base64-kodet hash af den overførte fil, beregnet ved hjælp af HAS-256-algoritmen (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  media_duration	varighed i sekunder for mediafilen (når parameteren ‘media_wa_type’ er lig med ‘1’, ‘2’, ‘3’)
  origin	har værdien ‘2’, hvis dette er en broadcast-meddelelse, ellers indeholder det ‘0’
  latitude	geodata: breddegrad (når parameteren ‘media_wa_type’ er lig med ‘5’)
  longitude	geodata: længdegrad (når parameteren ‘media_wa_type’ er lig med ‘5’)
  thumb_image	metainformation
  remote_recource	afsender-ID (kun for gruppechatter)
  received_timestamp	modtagelsestid, indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur (når parameteren ‘key_from_me’ har værdien ‘0’, ‘-1’ eller en anden værdi)
  send_timestamp	ikke anvendt, har normalt værdien ‘-1’
  receipt_server_timestamp	modtagelsestid for centralen serveren, indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur (når parameteren ‘key_from_me’ har værdien ‘1’, ‘-1’ eller en anden værdi)
  receipt_device_timestamp	modtagelsestid for meddelelsen af en anden abonnent, indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur (når parameteren ‘key_from_me’ har værdien ‘1’, ‘-1’ eller en anden værdi)
  read_device_timestamp	åbningstid (læsetid) for beskeden, indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur
  played_device_timestamp	afspilningstid for beskeden, indeholder en tidsstempel i Unix Epoch Time-format (ms), værdien tages fra enhedens ur
  raw_data	miniature af den overførte fil (når parameteren ‘media_wa_type’ er lig med ‘1’ eller ‘3’)
  recipient_count	antal modtagere (for broadcast-beskeder)
  participant_hash	bruges ved overførsel af beskeder med geodata
  starred	ikke i brug
  quoted_row_id	ukendt, indeholder normalt værdien ‘0’
  mentioned_jids	ikke i brug
  multicast_id	ikke i brug
  offset	forskyvning

  Denne liste af felter er ikke udtømmende. For forskellige versioner af WhatsApp kan nogle felter være til stede eller fraværende. Derudover kan der være yderligere felter ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ osv.

• ‘messages_thumbnails’
  Denne tabel indeholder information om overførte billeder og tidsstempler. I kolonnen ‘timestamp’ er tiden angivet i Unix Epoch Time-format (ms).
• ‘chat_list’
  Denne tabel indeholder information om chats.

  Tabelens udseende:

  

Når man forsker i WhatsApp på en mobil enhed med Android, skal man også være opmærksom på følgende filer:

• Fil ‘msgstore.db.cryptXX’ (hvor XX er et eller to cifre fra 0 til 12, for eksempel msgstore.db.crypt12). Indeholder en krypteret sikkerhedskopi af WhatsApp-beskeder (backup af filen msgstore.db). Filen (eller filerne) ‘msgstore.db.cryptXX’ kan findes på stien: ‘/data/media/0/WhatsApp/Databases/’ (virtuel SD-kort), ‘/mnt/sdcard/WhatsApp/Databases/’ (fysisk SD-kort).
• Fil ‘key’. Indeholder den kryptografiske nøgle. Befinder sig på stien: ‘/data/data/com.whatsapp/files/’. Bruges til at dekryptere de krypterede sikkerhedskopier af WhatsApp.
• Fil ‘com.whatsapp_preferences.xml’. Indeholder information om WhatsApp-kontoens profil. Filen befinder sig på stien: ‘/data/data/com.whatsapp/shared_prefs/’.

  Udsnit af indholdet i filen

  …
  9123456789 (telefonnummeret tilknyttet WhatsApp-kontoen)
  …
  2.17.395 (version af WhatsApp)
  …
  Hey there! I am using WhatsApp. (besked vist i kontoens status)
  …
  Alex (navnet på kontoejeren)
  … 

• Fil ‘registration.RegisterPhone.xml’. Indeholder information om telefonnummeret tilknyttet WhatsApp-kontoen. Filen befinder sig på stien: ‘/data/data/com.whatsapp/shared_prefs/’.

  Indholdet af filen

• Fil 'axolotl.db'. Den indeholder kryptografiske nøgler og andre data, der er nødvendige for at identificere kontoejeren. Beliggende på stien: ‘/data/data/com.whatsapp/databases/’.
• Fil 'chatsettings.db'. Den indeholder information om appens konfiguration.
• Fil ‘wa.db’. Den indeholder kontaktoplysninger. En meget interessant (set fra et kriminalistisk perspektiv) og informativ database. Der kan findes detaljerede oplysninger om slettede kontakter.

Der skal også tages hensyn til følgende mapper:

• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Den indeholder overførte billedfiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Den indeholder lydbeskeder i formatet .OPUS.
• Mappe '/data/data/com.whatsapp/cache/Profile Pictures/'. Den indeholder grafiske filer – kontaktbilleder.
• Mappe '/data/data/com.whatsapp/files/Avatars/'. Den indeholder grafiske filer – miniaturebilleder af kontakter. Disse filer har udvidelsen '.j', men er faktisk grafiske filer i JPEG-format (JPG).
• Mappe '/data/data/com.whatsapp/files/Avatars/'. Den indeholder grafiske filer – billede og miniaturebillede, der er sat som avatar af kontoejeren.
• Mappe '/data/data/com.whatsapp/files/Logs/'. Den indeholder programlogs (filen 'whatsapp.log') og sikkerhedskopier af programlogs (filer med navne i formatet whatsapp-åååå-mm-dd.1.log.gz).

WhatsApp-logfiler:

Loguddrag2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 sent, 82 received / Media Messages: 1 sent (0 bytes), 0 received (9850158 bytes) / Offline Messages: 81 received (19522 msec average delay) / Message Service: 116075 bytes sent, 211729 bytes received / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes received / Google Drive: 0 bytes sent, 0 bytes received / Roaming: 1524 bytes sent, 1826 bytes received / Total Data: 118567 bytes sent, 10063417 bytes received
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Indeholder modtagne lydfiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Indeholder sendte lydfiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Indeholder modtagne billedfiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Indeholder sendte billedfiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Indeholder modtagne videofiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Indeholder sendte videofiler.
• Mappe '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Indeholder billedfiler, der er knyttet til WhatsApp-kontoens ejer.
• For at spare plads på Android-smartphone kan nogle WhatsApp-data gemmes på SD-kortet. På SD-kortet, i rodmappen, er der en mappe 'WhatsApp', hvor følgende artefakter fra programmet kan findes:

  

• Mappe '.Share' ('/mnt/sdcard/WhatsApp/.Share/'). Indeholder kopier af filer, der er sendt til andre WhatsApp-brugere.
• Mappe '.trash' ('/mnt/sdcard/WhatsApp/.trash/'). Indeholder slettede filer.
• Mappe 'Databases' ('/mnt/sdcard/WhatsApp/Databases/'). Indeholder krypterede sikkerhedskopier. De kan dekrypteres ved at have en fil ‘key’, der er udvundet fra den analyserede enhed.

  Filer, der findes i underkatalogen 'Databases':

  

• Mappe ‘Medier’ (‘/mnt/sdcard/WhatsApp/Media/’). Indeholder undermapper ‘WallPaper’, ‘WhatsApp Audio’, ‘WhatsApp Billeder’, ‘WhatsApp Profilbilleder’, ‘WhatsApp Video’, ‘WhatsApp Voice Noter’, hvor de modtagne og sendte multimediefiler (billeder, videoer, lydbeskeder, fotografier relateret til WhatsApp-kontoens ejer, baggrunde) findes.
• Mappe ‘Profilbilleder’ (‘/mnt/sdcard/WhatsApp/Profilbilleder/’). Indeholder billedfiler relateret til WhatsApp-kontoens ejer.
• Nogle gange kan der være en mappe på SD-kortet ‘filer’ (‘/mnt/sdcard/WhatsApp/Filer/’). I denne mappe findes filer, der indeholder programmets indstillinger og brugerpræferencer.

Særlige forhold vedrørende datalagring i nogle mobiltelefonmodeller

I nogle mobiltelefonmodeller, der kører Android OS, kan WhatsApp-artefakter gemmes et andet sted. Dette skyldes ændringer i dataopbevaringsområdet for apps af det mobile enheds styresystem. For eksempel har mobiltelefoner fra Xiaomi en funktion til at oprette et andet arbejdsområde (‘SecondSpace’). Når denne funktion aktiveres, ændres datalagringsstedet. Således, hvis data fra brugeren i en almindelig Android-mobiltelefon gemmes i mappen ‘/data/user/0/’ (som refererer til de kendte ‘/data/data/’), gemmes appdata i det andet arbejdsområde i mappen ‘/data/user/10/’. Det vil sige, for eksempel lokationen af filen ‘wa.db’:

• i en almindelig smartphone, der kører Android: /data/user/0/com.whatsapp/databases/wa.db’ (som svarer til ‘/data/data/com.whatsapp/databases/wa.db’);
• i det andet arbejdsområde på en Xiaomi-smartphone: ‘/data/user/10/com.whatsapp/databases/wa.db’.

WhatsApp-artefakter på iOS-enheder

I modsætning til Android OS gemmes data fra WhatsApp-appen på iOS i en backup (iTunes backup). Derfor kræver udtrækning af data fra denne app ikke udtrækning af filsystemet eller oprettelse af et fysisk dump af den undersøgte enheds hukommelse. Størstedelen af den væsentlige information findes i databasen ‘ChatStorage.sqlite’, som findes på stien: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (i nogle programmer vises denne sti som ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Struktur ‘ChatStorage.sqlite’:

De mest informative tabeller i databasen ‘ChatStorage.sqlite’ er ‘ZWAMESSAGE’ og ‘ZWAMEDIAITEM’.

Tabelens udseende ‘ZWAMESSAGE’:

Strukturen af tabellen 'ZWAMESSAGE'

Tabelens udseende ‘ZWAMEDIAITEM’:

Strukturen af tabellen 'ZWAMEDIAITEM'

Andre interessante databaser ‘ChatStorage.sqlite’ er:

• ‘ZWAPROFILEPUSHNAME’. Knytter WhatsApp ID til kontaktens navn;
• ‘ZWAPROFILEPICTUREITEM’. Knytter WhatsApp ID til kontaktens avatar;
• ‘Z_PRIMARYKEY’. Tabellen indeholder generelle oplysninger om denne database, såsom det samlede antal gemte beskeder, det samlede antal chats osv.

Når man undersøger WhatsApp på en mobil enhed med iOS, skal man også være opmærksom på følgende filer:

• Fil ‘BackedUpKeyValue.sqlite’. Den indeholder kryptografiske nøgler og andre data, der er nødvendige for at identificere kontoejeren. Beliggende på stien: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘ContactsV2.sqlite’. Indeholder oplysninger om brugerens kontakter, såsom fulde navn, telefonnummer, kontaktstatus (i tekstformat), WhatsApp ID osv. Befinder sig på følgende sti: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘consumer_version’. Indeholder versionsnummeret for den installerede WhatsApp-applikation. Befinder sig på følgende sti: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘current_wallpaper.jpg’. Indeholder den nuværende baggrundsbaggrund for WhatsApp-programmet. Befinder sig på følgende sti: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. I ældre versioner af applikationen anvendes filen ‘wallpaper’, som befinder sig på følgende sti: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Fil ‘blockedcontacts.dat’. Indeholder oplysninger om blokerede kontakter. Befinder sig på følgende sti: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Fil ‘pw.dat’. Indeholder den krypterede adgangskode. Befinder sig på følgende sti: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Fil ‘net.whatsapp.WhatsApp.plist’ (eller filen ‘group.net.whatsapp.WhatsApp.shared.plist’). Indeholder oplysninger om WhatsApp-kontoens profil. Filer befinder sig på følgende sti: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Indholdet af filen ‘group.net.whatsapp.WhatsApp.shared.plist’
Der skal også tages hensyn til følgende mapper:

• Mappe ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Indeholder miniaturebilleder af kontakter, grupper (filer med udvidelsen .thumb), avatarer af kontakter, avatar af WhatsApp-kontoens ejer (filen ‘Photo.jpg’).
• Mappe ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/’. Indeholder multimediefiler og deres miniaturebilleder
• Mappe ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Indeholder programmeringsregistret (filen ‘calls.log’) og sikkerhedskopier af programmeringsregistret (filen ‘calls.backup.log’).
• Mappe ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Indeholder klistermærker (filer i formatet ‘.webp’).
• Mappe ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Indeholder logfiler fra programmet.

WhatsApp-artefakter i Windows

WhatsApp-artefakter i Windows kan findes flere steder. Først og fremmest er det katalogerne, der indeholder eksekverbare filer og programfiler (for Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

I mappen ‘C:Users%User profile% AppDataLocalWhatsApp’ er en logfil ‘SquirrelSetup.log’, som indeholder oplysninger om opdateringskontrol og installation af programmet.

I mappen ‘C:Users%User profile% AppDataRoamingWhatsApp’ findes der flere undermapper:

Fil ‘main-process.log’ indeholder oplysninger om WhatsApp-programmets drift.

Undermappen ‘databases’ indeholder filen ‘Databases.db’, men denne fil indeholder ingen oplysninger om chats eller kontakter.

De mest interessante filer fra et retspolitisk synspunkt findes i mappen ‘Cache’. Det er primært filer med navne ‘f_*******’ (hvor * er et tal fra 0 til 9), der indeholder krypterede multimediefiler og dokumenter, men der findes også ukrypterede filer blandt dem. Særlig interesse har filerne ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, som findes i denne undermappe. Filene ‘data_0’, ‘data_1’, ‘data_3’ indeholder eksterne links til de overførte krypterede multimediefiler og dokumenter.

Et eksempel på oplysningerne indeholdt i filen ‘data_1’
Derudover kan filen ‘data_3’ indeholde billedfiler.

Fil ‘data_2’ indeholder kontaktavatarer (kan genfindes ved at søge efter filoverskrifter).

Avatarer, der findes i filen ‘data_2’:

Derfor kan man ikke finde selve chats i computerens hukommelse, men man kan finde:

• multimediefiler;
• dokumenter sendt via WhatsApp;
• oplysninger om kontaktpersoner til kontoejeren.

WhatsApp-artefakter i MacOS

I MacOS kan man finde typer af WhatsApp-artefakter, som minder om dem, der findes i Windows OS.

Programmets filer findes i mapperne:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile% Library Mobile Documents <text variable> WhatsApp Accounts’
  I denne mappe findes undermapper, hvis navne repræsenterer telefonnumre, der er tilknyttet WhatsApp-kontoejeren.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  I denne mappe findes oplysninger om installationen af programmet.
• ‘C:Users%User profile%PicturesMediathek iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesMediathek iPhoto.photolibraryThumbnails’
  Disse kataloger indeholder programmets systemfiler, herunder fotos og miniatyrer af WhatsApp-kontakter.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  I denne katalog findes flere SQLite-databaser, som bruges til at cache data.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  I denne katalog findes flere underkataloger:

  
  I mappen ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ ligger filer ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ og filer med navne ‘f_*******’ (hvor * — er et tal fra 0 til 9). Oplysninger om, hvilke oplysninger disse filer indeholder, er beskrevet i afsnittet 'WhatsApp-artefakter i Windows'.

  I mappen ‘C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB’ kan indeholde mediefiler (filer har ingen filendelser).

  Fil ‘main-process.log’ indeholder oplysninger om WhatsApp-programmets drift.

Kilder

1. Rettenlig analyse af WhatsApp Messenger på Android-smartphones, af Cosimo Anglano, 2014.
2. Whatsapp Forensics: Udforskning af filsystemet og databasen i Android- og iOS-applikationer af Ahmad Pratama, 2014.

I de følgende artikler i denne serie:

Dekryptering af krypterede WhatsApp-databaserArtikel, der vil give information om, hvordan krypteringsnøglen til WhatsApp genereres, og give praktiske eksempler på, hvordan man dekrypterer krypterede databaser fra denne applikation.
Udvinding af WhatsApp-data fra cloud-lagringsløsningerArtikel, hvor vi vil fortælle, hvilke WhatsApp-data der opbevares i skyerne, og beskrive metoder til at udtrække disse data fra cloud-lagringsløsninger.
Udvinding af WhatsApp-data: praktiske eksemplerArtikel, hvor det er beskrevet trin for trin, hvilke programmer og hvordan man udfører dataudvinding af WhatsApp fra forskellige enheder.

Kilde: habr.com