WhatsApp in der Hand: Wo und wie können kriminalistische Artefakte entdeckt werden?

Möchten Sie erfahren, welche Arten von forensischen Artefakten von WhatsApp in verschiedenen Betriebssystemen existieren und wo diese genau gefunden werden können? Dann sind Sie hier genau richtig. In diesem Artikel eröffnet ein Spezialist aus dem Computerforensik-Labor von Group-IB. Igor Michailow beginnt eine Serie von Veröffentlichungen über die forensische Untersuchung von WhatsApp und welche Informationen bei der Analyse eines Geräts gewonnen werden können.

Es ist wichtig zu beachten, dass in verschiedenen Betriebssystemen unterschiedliche Arten von WhatsApp-Artefakten gespeichert werden. Wenn ein Forscher aus einem Gerät bestimmte Typen von WhatsApp-Daten extrahieren kann, bedeutet das keineswegs, dass ähnliche Daten aus einem anderen Gerät gewonnen werden können. Zum Beispiel wird bei der Beschlagnahme eines Desktop-Computers mit Windows-Betriebssystem wahrscheinlich kein WhatsApp-Chat auf seinen Festplatten gefunden (ausgenommen sind iOS-Gerätesicherungen, die sich möglicherweise auf denselben Speichern befinden). Bei der Analyse von Laptops und mobilen Geräten gibt es eigene Besonderheiten. Lassen Sie uns das näher betrachten.

WhatsApp-Artefakte auf Android-Geräten

Um WhatsApp-Artefakte von einem Android-Gerät zu extrahieren, muss der Forscher über Superuser-Rechte ('root') auf dem untersuchten Gerät verfügen oder in der Lage sein, auf andere Weise ein physisches Memory-Dump des Geräts oder sein Dateisystem zu extrahieren (z.B. durch Ausnutzen von Software-Schwachstellen des spezifischen Mobilgeräts).

Die Anwendungsdateien befinden sich im Speicher des Telefons in einem Bereich, in dem die Benutzerdaten gespeichert sind. In der Regel trägt dieser Bereich den Namen 'userdata'. Die Unterverzeichnisse und Dateien der Anwendung befinden sich im Pfad: '/data/data/com.whatsapp/'.

Die Hauptdateien, die forensische Artefakte von WhatsApp auf Android enthalten, sind die Datenbanken 'wa.db' und 'msgstore.db'.

In der Datenbank 'wa.db' befindet sich eine vollständige Liste der WhatsApp-Kontakte des Benutzers, einschließlich Telefonnummer, angezeigtem Namen, Zeitstempeln und allen anderen Informationen, die bei der Registrierung bei WhatsApp angegeben wurden. Die Datei 'wa.db' befindet sich im folgenden Pfad: '/data/data/com.whatsapp/databases/' und hat folgende Struktur:

Die für den Forscher interessantesten Tabellen in der Datenbank sind: 'wa.db' 'wa_contacts'

• ‘wa_contacts’
  Diese Tabelle enthält Informationen zu Kontakten: die Kontakt-ID in WhatsApp, Statusinformationen, den angezeigten Benutzernamen, Zeitstempel usw.

  Darstellung der Tabelle:

  
  Tabellenstruktur

  Feldname	Bedeutung
  _id	Reihenfolge der Datensätze (in SQL-Tabelle)
  jid	WhatsApp-ID des Kontakts, aufgezeichnet im Format @s.whatsapp.net
  is_whatsapp_user	enthält '1', wenn der Kontakt einem aktiven WhatsApp-Nutzer entspricht, '0' andernfalls
  status	enthält den Text, der im Status des Kontakts angezeigt wird
  status_timestamp	enthält den Zeitstempel im Format Unix Epoch Time (ms)
  number	Telefonnummer, die mit dem Kontakt assoziiert ist
  raw_contact_id	Reihenfolge des Kontakts
  display_name	angezeigter Name des Kontakts
  phone_type	Telefontyp
  phone_label	Bezeichnung, die mit der Kontakt nummer verknüpft ist
  unseen_msg_count	Anzahl der Nachrichten, die vom Kontakt gesendet wurden, aber nicht vom Empfänger gelesen wurden
  photo_ts	enthält den Zeitstempel im Unix Epoch Time-Format
  thumb_ts	enthält den Zeitstempel im Unix Epoch Time-Format
  photo_id_timestamp	enthält den Zeitstempel im Format Unix Epoch Time (ms)
  given_name	Wert des Feldes entspricht 'display_name' für jeden Kontakt
  wa_name	Name des Kontakts in WhatsApp (angezeigter Name, der im Profil des Kontakts angegeben ist)
  sort_name	Kontaktname, der bei Sortieroperationen verwendet wird
  nickname	Kontaktname in WhatsApp (angezeigt wird der im Kontaktprofil angegebene Name)
  Firma	Unternehmen (angezeigt wird das im Kontaktprofil angegebene Unternehmen)
  Anrede	Anrede (Frau/Herr; angezeigt wird die im Kontaktprofil eingestellte Anrede)
  offset	Versatz

• ‘sqlite_sequence’
  Diese Tabelle enthält Informationen über die Anzahl der Kontakte;
• ‘android_metadata’
  Diese Tabelle enthält Informationen zur sprachlichen Lokalisierung von WhatsApp.

In der Datenbank 'msgstore.db' enthält Informationen über gesendete Nachrichten, wie z.B. die Kontaktnummer, den Nachrichtentext, den Nachrichtenstatus, Zeitstempel, Details zu übermittelten Dateien, die in Nachrichten enthalten sind, usw. Datei 'msgstore.db' befindet sich im folgenden Pfad: '/data/data/com.whatsapp/databases/' und hat folgende Struktur:

Die interessantesten Tabellen in der Datei 'msgstore.db' 'wa_contacts'

• ‘sqlite_sequence’
  Diese Tabelle enthält allgemeine Informationen zu dieser Datenbank, wie die Gesamtzahl der gespeicherten Nachrichten, die Gesamtzahl der Chats usw.

  Darstellung der Tabelle:

  

• ‘message_fts_content’
  Enthält den Text der gesendeten Nachrichten.

  Darstellung der Tabelle:

  

• ‘messages’
  Diese Tabelle enthält Informationen wie die Kontaktnummer, den Nachrichtentext, den Nachrichtenstatus, Zeitstempel, Details zu übermittelten Dateien, die in Nachrichten enthalten sind.

  Darstellung der Tabelle:

  
  Tabellenstruktur

  Feldname	Bedeutung
  _id	Reihenfolge der Datensätze (in SQL-Tabelle)
  key_remote_jid	WhatsApp-ID des Kommunikationspartners
  key_from_me	Richtung der Nachricht: ‘0’ – eingehend, ‘1’ – ausgehend
  key_id	eindeutiger Nachrichtenidentifikator
  status	Nachrichtenstatus: ‚0‘ – zugestellt, ‚4‘ – wartet auf Server, ‚5‘ – am Zielort empfangen, ‚6‘ – Kontrollnachricht, ‚13‘ – Nachricht vom Empfänger geöffnet (gelesen)
  need_push	hat den Wert ‚2‘, wenn es sich um eine Broadcast-Nachricht handelt, andernfalls enthält es ‚0‘
  data	Nachrichtentext (wenn der Parameter ‚media_wa_type‘ ‚0‘ beträgt)
  timestamp	enthält einen Zeitstempel im Unix Epoch Time-Format (ms), der Wert stammt von der Geräteuhr
  media_url	enthält die URL der übermittelten Datei (wenn der Parameter ‚media_wa_type‘ ‚1‘, ‚2‘ oder ‚3‘ beträgt)
  media_mime_type	MIME-Typ der übermittelten Datei (wenn der Parameter ‚media_wa_type‘ ‚1‘, ‚2‘ oder ‚3‘ beträgt)
  media_wa_type	Nachrichtentyp: ‚0‘ – Text, ‚1‘ – Grafikdatei, ‚2‘ – Audiodatei, ‚3‘ – Videodatei, ‚4‘ – Visitenkarte, ‚5‘ – Standortdaten
  media_size	Größe der übermittelten Datei (wenn der Parameter ‚media_wa_type‘ ‚1‘, ‚2‘ oder ‚3‘ beträgt)
  media_name	Name der übermittelten Datei (wenn der Parameter ‚media_wa_type‘ ‚1‘, ‚2‘ oder ‚3‘ beträgt)
  media_caption	Enthält die Wörter ‚audio‘, ‚video‘ für die entsprechenden Werte des Parameters ‚media_wa_type‘ (wenn der Parameter ‚media_wa_type‘ ‚1‘ oder ‚3‘ beträgt)
  media_hash	Base64-kodierter Hash der übergebenen Datei, berechnet nach dem Algorithmus HAS-256 (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_duration	Dauer in Sekunden für die Mediendatei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  origin	hat den Wert ‚2‘, wenn es sich um eine Broadcast-Nachricht handelt, andernfalls enthält es ‚0‘
  latitude	Geo-Daten: Breite (wenn der Parameter 'media_wa_type' gleich '5' ist)
  longitude	Geo-Daten: Länge (wenn der Parameter 'media_wa_type' gleich '5' ist)
  thumb_image	Metainformation
  remote_recource	ID des Absenders (nur für Gruppen-Chats)
  received_timestamp	Empfangszeit, enthält einen Zeitstempel im Unix-Epoch-Zeitformat (ms), der Wert stammt von der Uhr des Geräts (wenn der Parameter 'key_from_me' den Wert '0', '-1' oder einen anderen Wert hat)
  send_timestamp	wird nicht verwendet, hat normalerweise den Wert '-1'
  receipt_server_timestamp	Empfangszeit beim zentralen Server dem Server durch, enthält einen Zeitstempel im Unix-Epoch-Zeitformat (ms), der Wert stammt von der Uhr des Geräts (wenn der Parameter 'key_from_me' den Wert '1', '-1' oder einen anderen Wert hat)
  receipt_device_timestamp	Empfangszeit der Nachricht durch ein anderes Gerät, enthält einen Zeitstempel im Unix-Epoch-Zeitformat (ms), der Wert stammt von der Uhr des Geräts (wenn der Parameter 'key_from_me' den Wert '1', '-1' oder einen anderen Wert hat)
  read_device_timestamp	Zeitstempel (Lesen) der Nachricht, enthält einen Zeitstempel im Unix Epoch Time-Format (ms), der von der Uhr des Geräts abgerufen wird
  played_device_timestamp	Zeitstempel der Wiedergabe der Nachricht, enthält einen Zeitstempel im Unix Epoch Time-Format (ms), der von der Uhr des Geräts abgerufen wird
  raw_data	Miniaturansicht der übermittelten Datei (wenn der Parameter ‘media_wa_type’ gleich ‘1’ oder ‘3’ ist)
  recipient_count	Anzahl der Empfänger (für Broadcast-Nachrichten)
  participant_hash	wird beim Senden von Nachrichten mit Geodaten verwendet
  starred	nicht verwendet
  quoted_row_id	unbekannt, enthält normalerweise den Wert ‘0’
  mentioned_jids	nicht verwendet
  multicast_id	nicht verwendet
  offset	Versatz

  Diese Liste von Feldern ist nicht abschließend. In verschiedenen WhatsApp-Versionen können einige Felder vorhanden oder nicht vorhanden sein. Es können zusätzlich Felder vorhanden sein ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ usw.

• ‘messages_thumbnails’
  Diese Tabelle enthält Informationen zu übermittelten Bildern und Zeitstempeln. In der Spalte ‘timestamp’ ist die Zeit im Unix Epoch Time-Format (ms) angegeben.
• ‘chat_list’
  Diese Tabelle enthält Informationen zu Chats.

  Darstellung der Tabelle:

  

Beim Untersuchen von WhatsApp auf einem Android-Mobilgerät sollten auch folgende Dateien beachtet werden:

• Die Datei ‘msgstore.db.cryptXX’ (wobei XX eine oder zwei Ziffern von 0 bis 12 sein können, z.B. msgstore.db.crypt12). Enthält eine verschlüsselte Sicherungskopie der WhatsApp-Nachrichten (Dateisicherung) msgstore.db). Die Datei (oder Dateien) ‘msgstore.db.cryptXX’ befindet sich im folgenden Pfad: '/data/media/0/WhatsApp/Databases/' (virtuelle SD-Karte), '/mnt/sdcard/WhatsApp/Databases/' (physische SD-Karte).
• Die Datei 'key'. Enthält den kryptografischen Schlüssel. Befindet sich unter dem Pfad: '/data/data/com.whatsapp/files/'. Wird verwendet, um verschlüsselte WhatsApp-Sicherungen zu entschlüsseln.
• Die Datei 'com.whatsapp_preferences.xml'. Enthält Informationen zum WhatsApp-Benutzerprofil. Die Datei befindet sich unter dem Pfad: '/data/data/com.whatsapp/shared_prefs/'.

  Ausschnitt aus dem Dateiinhalte

  …
  9123456789 (Telefonnummer, die mit dem WhatsApp-Konto verknüpft ist)
  …
  2.17.395 (WhatsApp-Version)
  …
  Hey there! I am using WhatsApp. (Nachricht, die im Status des Kontos angezeigt wird)
  …
  Alex (Name des Kontoinhabers)
  … 

• Die Datei 'registration.RegisterPhone.xml'. Enthält Informationen zur Telefonnummer, die mit dem WhatsApp-Konto verknüpft ist. Die Datei befindet sich unter dem Pfad: '/data/data/com.whatsapp/shared_prefs/'.

  Inhalt der Datei

• Die Datei ‘axolotl.db’. Enthält kryptografische Schlüssel und andere Daten, die zur Identifizierung des Kontoinhabers erforderlich sind. Befindet sich unter folgendem Pfad: '/data/data/com.whatsapp/databases/'.
• Die Datei ‘chatsettings.db’. Enthält Informationen zur Konfiguration der Anwendung.
• Die Datei 'wa.db'. Beinhaltet Details zu Kontakten. Eine sehr interessante (aus forensischer Sicht) und informative Datenbank. Hier kann detaillierte Informationen zu gelöschten Kontakten gefunden werden.

Es ist auch wichtig, auf die folgenden Verzeichnisse zu achten:

• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Enthält übertragene Grafikdateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Enthält Sprachnachrichten in .OPUS-Dateiformaten.
• Verzeichnis ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Enthält Grafikdateien – Bilder von Kontakten.
• Verzeichnis ‘/data/data/com.whatsapp/files/Avatars/’. Enthält Grafikdateien – Vorschaubilder von Kontakten. Diese Dateien haben die Erweiterung ‘.j’, sind jedoch Grafikdateien im JPEG-Format (JPG).
• Verzeichnis ‘/data/data/com.whatsapp/files/Avatars/’. Enthält Grafikdateien – das Bild und das Vorschaubild, die als Avatar vom Kontoinhaber festgelegt wurden.
• Verzeichnis ‘/data/data/com.whatsapp/files/Logs/’. Enthält das Programmprotokoll (Datei ‘whatsapp.log’) und Sicherungskopien der Programmprotokolle (Dateien im Format whatsapp-jjjj-mm-tt.1.log.gz).

WhatsApp-Protokolldateien:

Protokollabschnitt2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] Passwortdatei fehlt oder ist unlesbar
2017-01-10 09:37:09.782 LL_I D [1:main] Statistiken Textnachrichten: 59 gesendet, 82 erhalten / Mediennachrichten: 1 gesendet (0 Bytes), 0 erhalten (9850158 Bytes) / Offline-Nachrichten: 81 erhalten (19522 ms durchschnittliche Verzögerung) / Nachrichtendienst: 116075 Bytes gesendet, 211729 Bytes erhalten / VoIP-Anrufe: 1 ausgehender Anruf, 0 eingehende Anrufe, 2492 Bytes gesendet, 1530 Bytes erhalten / Google Drive: 0 Bytes gesendet, 0 Bytes erhalten / Roaming: 1524 Bytes gesendet, 1826 Bytes erhalten / Gesamtdaten: 118567 Bytes gesendet, 10063417 Bytes erhalten
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage verfügbar: 1.345.622.016 insgesamt: 5.687.922.688

• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Enthält empfangene Audiodateien.
• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Enthält gesendete Audiodateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Enthält empfangene Grafikdateien.
• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Enthält gesendete Grafikdateien.
• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Enthält empfangene Videodateien.
• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Enthält gesendete Videodateien.
• Verzeichnis '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Enthält Grafikdateien, die mit dem WhatsApp-Profil des Nutzers verknüpft sind.
• Um Speicherplatz auf Android-Smartphones zu sparen, können einige WhatsApp-Daten auf der SD-Karte gespeichert werden. Auf der SD-Karte befindet sich im Stammverzeichnis der Ordner 'WhatsApp', in dem die folgenden Artefakte dieses Programms zu finden sind:

  

• Verzeichnis '.Share' ('/mnt/sdcard/WhatsApp/.Share/'). Enthält Kopien von Dateien, die an andere WhatsApp-Nutzer gesendet wurden.
• Verzeichnis '.trash' ('/mnt/sdcard/WhatsApp/.trash/'). Enthält gelöschte Dateien.
• Verzeichnis 'Databases' ('/mnt/sdcard/WhatsApp/Databases/'). Enthält verschlüsselte Backups. Diese können entschlüsselt werden, wenn die passende Datei vorhanden ist. 'key', aus dem Speicher des analysierten Geräts extrahiert.

  Dateien, die sich im Unterverzeichnis 'Databases':

  

• Verzeichnis ‘Media’ (‘/mnt/sdcard/WhatsApp/Media/’). Enthält Unterverzeichnisse ‘WallPaper’, ‘WhatsApp Audio’, ‘WhatsApp Images’, ‘WhatsApp Profile Photos’, ‘WhatsApp Video’, ‘WhatsApp Voice Notes’, in denen empfangene und gesendete Multimedia-Dateien (Grafikdateien, Video-, Sprachnachrichten, Fotos, die mit dem Profil des WhatsApp-Kontos verknüpft sind, Hintergrundbilder) gespeichert sind.
• Verzeichnis ‘Profile Pictures’ (‘/mnt/sdcard/WhatsApp/Profile Pictures/’). Enthält Grafikdateien, die mit dem Profil des WhatsApp-Kontoinhabers verknüpft sind.
• Manchmal kann das SD-Karte ein Verzeichnis ‘files’ (‘/mnt/sdcard/WhatsApp/Files/’). In diesem Verzeichnis befinden sich Dateien, in denen Programmeinstellungen und Benutzervorlieben gespeichert sind.

Besonderheiten der Datenspeicherung in einigen Modellen von Mobilgeräten.

In einigen Modellen von Mobilgeräten mit Android-Betriebssystem ist es möglich, WhatsApp-Artefakte an einem anderen Ort zu speichern. Dies ist auf die Änderungen im Speichersystem des mobilen Geräts durch die Systemsoftware zurückzuführen. Beispielsweise verfügt Xiaomi über eine Funktion zur Erstellung eines zweiten Arbeitsbereichs („SecondSpace“). Wenn diese Funktion aktiviert ist, ändert sich der Speicherort der Daten. In einem herkömmlichen Mobilgerät mit Android-Betriebssystem werden die Benutzerdaten im Verzeichnis ‘/data/user/0/’ (was einem bekannten Pfad entspricht, ‘/data/data/’), werden die Anwendungsdaten im zweiten Arbeitsbereich im Verzeichnis ‘/data/user/10/’gespeichert. Zum Beispiel ist der Speicherort der Datei 'wa.db':

• in einem herkömmlichen Smartphone mit Android-Betriebssystem: /data/user/0/com.whatsapp/databases/wa.db’ (was äquivalent ist zu ‘/data/data/com.whatsapp/databases/wa.db’);
• im zweiten Arbeitsbereich des Xiaomi-Smartphones: ‘/data/user/10/com.whatsapp/databases/wa.db’.

WhatsApp-Artefakte auf einem iOS-Gerät

Im Gegensatz zu Android werden in iOS die Daten der WhatsApp-Anwendung in einem Backup (iTunes-Backup) gespeichert. Daher erfordert das Extrahieren von Daten dieser Anwendung nicht das Durchsuchen des Dateisystems oder das Erstellen eines physischen Speicherabbilds des untersuchten Geräts. Der Großteil der relevanten Informationen befindet sich in der Datenbank. ‘ChatStorage.sqlite’, die sich unter folgendem Pfad befindet: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (in einigen Programmen wird dieser Pfad als angezeigt ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Struktur ‘ChatStorage.sqlite’:

Die informativsten Tabellen in der Datenbank ‘ChatStorage.sqlite’ sind ‘ZWAMESSAGE’ und ‘ZWAMEDIAITEM’.

Das Aussehen der Tabelle ‘ZWAMESSAGE’:

Die Struktur der Tabelle ‘ZWAMESSAGE’

Das Aussehen der Tabelle ‘ZWAMEDIAITEM’:

Struktur der Tabelle ‘ZWAMEDIAITEM’

Andere interessante Datenbanktabellen ‘ChatStorage.sqlite’ sind:

• ‘ZWAPROFILEPUSHNAME’. Verknüpft die WhatsApp-ID mit dem Kontaktnamen;
• ‘ZWAPROFILEPICTUREITEM’. Verknüpft die WhatsApp-ID mit dem Profilbild des Kontakts;
• ‘Z_PRIMARYKEY’. Die Tabelle enthält allgemeine Informationen über diese Datenbank, wie die Gesamtzahl der gespeicherten Nachrichten, die Gesamtzahl der Chats usw.

Beim Untersuchen von WhatsApp auf einem iOS-Gerät sollten Sie auf die folgenden Dateien achten:

• Die Datei ‘BackedUpKeyValue.sqlite’. Enthält kryptografische Schlüssel und andere Daten, die zur Identifizierung des Kontoinhabers erforderlich sind. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei . Enthält Informationen über die Kontakte des Nutzers, wie Name, Telefonnummer, Kontaktstatus (in Textform), WhatsApp-ID usw. Befindet sich unter folgendem Pfad:. Enthält Informationen zu den Kontakten des Benutzers, wie Name, Telefonnummer, Kontaktstatus (in Textform), WhatsApp ID usw. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei ‘consumer_version’. Enthält die Versionsnummer der installierten WhatsApp-Anwendung. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei ‘current_wallpaper.jpg’. Enthält das aktuelle Hintergrundbild der WhatsApp-App. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. In älteren Versionen der App wird die Datei ‘wallpaper’, verwendet, die sich unter folgendem Pfad befindet: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Die Datei ‘blockedcontacts.dat’. Enthält Informationen über blockierte Kontakte. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Die Datei ‘pw.dat’. Enthält das verschlüsselte Passwort. Befindet sich unter folgendem Pfad: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Die Datei ‘net.whatsapp.WhatsApp.plist’ (oder die Datei ‘group.net.whatsapp.WhatsApp.shared.plist’). Enthält Informationen zum WhatsApp-Konto-Profil. Die Datei befindet sich unter folgendem Pfad: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Der Inhalt der Datei ‘group.net.whatsapp.WhatsApp.shared.plist’
Es ist auch wichtig, auf die folgenden Verzeichnisse zu achten:

• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Enthält Miniaturansichten von Kontakten, Gruppen (Dateien mit der Erweiterung .thumb), Avatare von Kontakten, das Avatar des WhatsApp-Konteninhabers (Datei ‘Photo.jpg’).
• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/’. Enthält Mediendateien und deren Miniaturansichten
• Verzeichnis ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Enthält das Programmprotokoll (Datei ‘calls.log’) und Sicherungskopien des Protokolls (Datei ‘calls.backup.log’).
• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Enthält Sticker (Dateien im Format ‘.webp’).
• Verzeichnis ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Enthält Protokolle der Programmaktivität.

WhatsApp-Artefakte unter Windows

WhatsApp-Artefakte in Windows befinden sich an mehreren Orten. Zunächst sind dies Verzeichnisse, die ausführbare und unterstützende Dateien des Programms enthalten (für Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile%AppDataLocalWhatsApp’
• ‘C:Users%User profile%AppDataLocalVirtualStoreProgram Files (x86)WhatsApp’

Im Verzeichnis ‘C:Users%User profile%AppDataLocalWhatsApp’ Die Protokolldatei befindet sich in ‘SquirrelSetup.log’, die Informationen zur Überprüfung von Updates und zur Installation des Programms enthält.

Im Verzeichnis ‘C:Users%User profile%AppDataRoamingWhatsApp’ enthält mehrere Unterverzeichnisse:

Die Datei ‘main-process.log’ enthält Informationen über die Aktivität des WhatsApp-Programms.

Das Unterverzeichnis ‘databases’ enthält die Datei ‘Databases.db’, aber diese Datei enthält keine Informationen über Chats oder Kontakte.

Die interessantesten Dateien aus kriminaltechnischer Sicht befinden sich im Verzeichnis ‘Cache’. In der Regel handelt es sich um Dateien mit den Namen ‘f_*******’ (wobei * eine Zahl von 0 bis 9 ist), die verschlüsselte Multimedia-Dateien und Dokumente enthalten, wobei auch unverschlüsselte Dateien darunter sind. Besonders interessant sind die Dateien ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, die sich im gleichen Unterverzeichnis befinden. Die Dateien ‘data_0’, ‘data_1’, ‘data_3’ enthalten externe Links zu übertragenen verschlüsselten Multimedia-Dateien und Dokumenten.

Ein Beispiel für Informationen, die in der Datei ‘data_1’ enthalten sind,
Die Datei ‘data_3’ kann auch grafische Dateien enthalten.

Die Datei ‘data_2’ enthält Avatare von Kontakten (die durch Suchen nach den Dateititeln wiederhergestellt werden können).

Die Avatare, die in der Datei ‘data_2’:

Daher sind die Chats im Computer nicht auffindbar, aber man kann Folgendes finden:

• Multimedia-Dateien;
• Dokumente, die über WhatsApp gesendet wurden;
• Informationen über die Kontakte des Kontoinhabers.

WhatsApp-Artefakte in MacOS

In MacOS findet man Arten von WhatsApp-Artefakten, die denen in Windows ähneln.

Die Programmdateien befinden sich in den Verzeichnissen:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile% Library Mobile Documents WhatsApp Accounts’
  In diesem Verzeichnis befinden sich Unterverzeichnisse, deren Namen mit den Telefonnummern übereinstimmen, die mit dem WhatsApp-Account des Nutzers verbunden sind.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  In diesem Verzeichnis befinden sich Informationen zur Installation des Programms.
• ‘C:Users%User profile%PicturesMediateka iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesMediateka iPhoto.photolibraryThumbnails’
  In diesen Verzeichnissen befinden sich unterstützende Dateien des Programms, einschließlich Fotos und Miniaturansichten von WhatsApp-Kontakten.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  In diesem Verzeichnis gibt es mehrere SQLite-Datenbanken, die zur Speicherung von Daten im Cache verwendet werden.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  In diesem Verzeichnis gibt es mehrere Unterverzeichnisse:

  
  Im Verzeichnis ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ liegen Dateien ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ und Dateien mit Namen ‘f_*******’ (wobei * eine Zahl von 0 bis 9 ist). Informationen darüber, welche Daten diese Dateien enthalten, sind im Abschnitt „WhatsApp-Artefakte in Windows“ beschrieben.

  Im Verzeichnis ‘C:Usersnutzerprofil%LibraryApplication SupportWhatsAppIndexedDB’ können Multimediadateien enthalten (Dateien haben keine Erweiterungen).

  Die Datei ‘main-process.log’ enthält Informationen über die Aktivität des WhatsApp-Programms.

Quellen

1. Forensische Analyse von WhatsApp Messenger auf Android-Smartphones, von Cosimo Anglano, 2014.
2. Whatsapp Forensik: Erforschung von Dateisystemen und Datenbanken der Anwendungen Android und iOS von Ahmad Pratama, 2014.

In den folgenden Artikeln dieser Reihe:

Dekodierung verschlüsselter WhatsApp-DatenbankenEin Artikel, der Informationen darüber bietet, wie der Verschlüsselungsschlüssel von WhatsApp generiert wird, sowie praktische Beispiele, die zeigen, wie man die verschlüsselten Daten dieser Anwendung dekodiert.
Datenextraktion von WhatsApp aus Cloud-SpeichernEin Artikel, in dem wir beschreiben, welche Daten von WhatsApp in der Cloud gespeichert werden und die Methoden zur Extraktion dieser Daten aus Cloud-Speichern erläutern.
Datenextraktion von WhatsApp: praktische BeispieleEin Artikel, der Schritt für Schritt beschreibt, mit welchen Programmen und wie die Extraktion von WhatsApp-Daten von verschiedenen Geräten durchgeführt werden kann.

Quelle: habr.com