WhatsApp in der Hand: Wo und wie können forensische Artefakte gefunden werden?

Möchten Sie erfahren, welche Arten von forensischen Artefakten von WhatsApp in verschiedenen Betriebssystemen existieren und wo genau sie entdeckt werden können – dann sind Sie hier richtig. In diesem Artikel eröffnet ein Spezialist des Computerforensiklabors Group-IB Igor Michailow eine Reihe von Veröffentlichungen zur forensischen Untersuchung von WhatsApp und darüber, welche Informationen bei der Analyse des Geräts gewonnen werden können.

Wir möchten sofort darauf hinweisen, dass in verschiedenen Betriebssystemen unterschiedliche Arten von WhatsApp-Artefakten gespeichert werden, und wenn ein Forscher von einem Gerät bestimmte Arten von WhatsApp-Daten extrahieren kann, bedeutet das nicht unbedingt, dass ähnliche Datentypen von einem anderen Gerät extrahiert werden können. Zum Beispiel, wenn ein Systemblock unter Windows-Betriebssystem beschlagnahmt wird, werden wahrscheinlich keine WhatsApp-Chats auf dessen Festplatten gefunden (Ausnahmen bilden iOS-Gerätesicherungen, die auf denselben Speichermedien gefunden werden können). Beim Beschlagnahmen von Laptops und mobilen Geräten gibt es eigene Besonderheiten. Lassen Sie uns das etwas genauer besprechen.

WhatsApp-Artefakte auf Android-Geräten

Um WhatsApp-Artefakte von einem Gerät mit dem Betriebssystem Android zu extrahieren, muss der Forscher über Superuser-Rechte ('root') auf dem untersuchten Gerät verfügen oder in der Lage sein, auf andere Weise ein physisches Abbild des Speicherinhalts des Geräts oder dessen Dateisystem zu extrahieren (zum Beispiel durch Ausnutzung spezifischer Softwareverwundbarkeiten des Mobilgeräts).

Die Anwendungsdateien befinden sich im Speicher des Telefons in dem Abschnitt, in dem Benutzerdaten gespeichert werden. In der Regel trägt dieser Abschnitt den Namen 'userdata'. Unterverzeichnisse und Programmdaten befinden sich im Pfad: '/data/data/com.whatsapp/'.

Die wichtigsten Dateien, die forensische Artefakte von WhatsApp im Android-Betriebssystem enthalten, sind die Datenbanken 'wa.db' und 'msgstore.db'.

In der Datenbank 'wa.db' befindet sich eine vollständige Liste der WhatsApp-Kontakte des Benutzers, einschließlich Telefonnummer, angezeigtem Namen, Zeitstempeln und jeder anderen Information, die bei der Registrierung bei WhatsApp angegeben wurde. Die Datei 'wa.db' befindet sich im Pfad: '/data/data/com.whatsapp/databases/' und hat folgende Struktur:

Die für den Forscher interessantesten Tabellen in der Datenbank 'wa.db' sind:

• 'wa_contacts'
  Diese Tabelle enthält Informationen zu Kontakten: die Kontakt-ID in WhatsApp, Statusinformationen, den angezeigten Benutzernamen, Zeitstempel usw.

  Aussehen der Tabelle:

  
  Tabellenstruktur

  Feldname	Wert
  _id	fortlaufende Nummer des Eintrags (in der SQL-Tabelle)
  jid	WhatsApp-ID des Kontakts, im Format @s.whatsapp.net gespeichert
  is_whatsapp_user	enthält '1', wenn der Kontakt ein tatsächlicher WhatsApp-Benutzer ist, '0' andernfalls
  status	enthält den Text, der im Status des Kontakts angezeigt wird
  status_timestamp	enthält den Zeitstempel im Format Unix Epoch Time (ms)
  number	Telefonnummer, die mit dem Kontakt verknüpft ist
  raw_contact_id	fortlaufende Nummer des Kontakts
  display_name	angezeigter Name des Kontakts
  phone_type	Telefontyp
  phone_label	Bezeichnung, die mit der Kontaktnummer verknüpft ist
  unseen_msg_count	Anzahl der Nachrichten, die vom Kontakt gesendet wurden, aber vom Empfänger nicht gelesen wurden
  photo_ts	enthält den Zeitstempel im Format Unix Epoch Time
  thumb_ts	enthält den Zeitstempel im Format Unix Epoch Time
  photo_id_timestamp	enthält den Zeitstempel im Format Unix Epoch Time (ms)
  given_name	Der Wert des Feldes entspricht dem 'display_name' für jeden Kontakt
  wa_name	Name des Kontakts in WhatsApp (angezeigter Name im Profil des Kontakts)
  sort_name	Name des Kontakts, der bei Sortiervorgängen verwendet wird
  nickname	Nickname des Kontakts in WhatsApp (angezeigter Nickname im Profil des Kontakts)
  company	Unternehmen (angezeigtes Unternehmen im Profil des Kontakts)
  title	Anrede (Frau/Herr; angezeigte Anrede, die im Profil des Kontakts eingestellt ist)
  offset	Offset

• 'sqlite_sequence'
  Diese Tabelle enthält Informationen über die Anzahl der Kontakte;
• 'android_metadata'
  Diese Tabelle enthält Informationen zur sprachlichen Lokalisierung von WhatsApp.

In der Datenbank 'msgstore.db' enthält Informationen über übertragene Nachrichten, wie Kontaktnummer, Nachrichtentext, Nachrichtenstatus, Zeitstempel, Informationen zu übertragene Dateien, die in Nachrichten enthalten sind usw. Datei 'msgstore.db' befindet sich im Pfad: '/data/data/com.whatsapp/databases/' und hat folgende Struktur:

Die interessantesten Tabellen in der Datei 'msgstore.db' sind:

• 'sqlite_sequence'
  Diese Tabelle enthält allgemeine Informationen zu dieser Datenbank, beispielsweise die Gesamtzahl der gespeicherten Nachrichten, die Gesamtzahl der Chats usw.

  Aussehen der Tabelle:

  

• 'message_fts_content'
  Enthält den Text der übermittelten Nachrichten.

  Aussehen der Tabelle:

  

• 'messages'
  Diese Tabelle enthält Informationen wie Kontaktnummer, Nachrichtentext, Nachrichtenstatus, Zeitstempel, Informationen zu übertragene Dateien, die in Nachrichten enthalten sind.

  Aussehen der Tabelle:

  
  Tabellenstruktur

  Feldname	Wert
  _id	fortlaufende Nummer des Eintrags (in der SQL-Tabelle)
  key_remote_jid	WhatsApp-ID des Kommunikationspartners
  key_from_me	Richtung der Nachricht: '0' – eingehend, '1' — ausgehend
  key_id	eindeutige Identifikationsnummer der Nachricht
  status	Status der Nachricht: '0' – zugestellt, '4' – wartet auf Server, '5' – am Zielort erhalten, '6' – Kontrollnachricht, '13' – Nachricht wurde vom Empfänger geöffnet (gelesen)
  need_push	hat den Wert '2', wenn es sich um eine Broadcast-Nachricht handelt, andernfalls enthält es '0'
  data	Nachrichtentext (wenn der Parameter 'media_wa_type' gleich '0' ist)
  timestamp	enthält einen Zeitstempel im Format Unix Epoch Time (ms), der Wert wird von der Uhr des Geräts genommen
  media_url	enthält die URL der übertragenen Datei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_mime_type	MIME-Typ der übertragenen Datei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_wa_type	Nachrichtentyp: '0' – Text, '1' – Grafikdatei, '2' – Audiodatei, '3' – Videodatei, '4' – Kontaktkarte, '5' – Geodaten
  media_size	Größe der übertragenen Datei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_name	Name der übertragenen Datei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_caption	Enthält die Wörter 'audio', 'video' für die entsprechenden Werte des Parameters 'media_wa_type' (wenn der Parameter 'media_wa_type' gleich '1', '3' ist)
  media_hash	base64-kodierter Hash der übertragenen Datei, berechnet nach dem Algorithmus HAS-256 (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  media_duration	Dauer in Sekunden für die Mediendatei (wenn der Parameter 'media_wa_type' gleich '1', '2', '3' ist)
  origin	hat den Wert '2', wenn es sich um eine Broadcast-Nachricht handelt, andernfalls enthält es '0'
  latitude	Geodaten: Breite (wenn der Parameter 'media_wa_type' gleich '5' ist)
  longitude	Geodaten: Länge (wenn der Parameter 'media_wa_type' gleich '5' ist)
  thumb_image	Systeminformationen
  remote_recource	ID des Absenders (nur für Gruppenchats)
  received_timestamp	Zeitpunkt des Empfangs, enthält einen Zeitstempel im Format Unix Epoch Time (ms), der Wert wird von der Uhr des Geräts genommen (wenn der Parameter 'key_from_me' '0', '-1' oder einen anderen Wert hat)
  send_timestamp	wird nicht verwendet, hat normalerweise den Wert '-1'
  receipt_server_timestamp	Zeitpunkt des Empfangs durch den Server Server, enthält einen Zeitstempel im Format Unix Epoch Time (ms), der Wert wird von der Uhr des Geräts genommen (wenn der Parameter 'key_from_me' '1', '-1' oder einen anderen Wert hat
  receipt_device_timestamp	Zeitpunkt des Empfangs der Nachricht durch einen anderen Empfänger, enthält einen Zeitstempel im Format Unix Epoch Time (ms), der Wert wird von der Uhr des Geräts genommen (wenn der Parameter 'key_from_me' '1', '-1' oder einen anderen Wert hat
  read_device_timestamp	Die Öffnungszeit (Lesen) der Nachricht enthält einen Zeitstempel im Unix-Epoch-Zeitformat (ms), der Wert stammt von der Uhr des Geräts.
  played_device_timestamp	Die Wiedergabezeit der Nachricht enthält einen Zeitstempel im Unix-Epoch-Zeitformat (ms), der Wert stammt von der Uhr des Geräts.
  raw_data	Miniaturansicht der übermittelten Datei (wenn der Parameter ‚media_wa_type‘ gleich ‚1‘ oder ‚3‘ ist).
  recipient_count	Anzahl der Empfänger (für Broadcast-Nachrichten).
  participant_hash	Wird beim Übertragen von Nachrichten mit Geodaten verwendet.
  starred	nicht verwendet
  quoted_row_id	Unbekannt, normalerweise enthält es den Wert ‚0‘.
  mentioned_jids	nicht verwendet
  multicast_id	nicht verwendet
  offset	Offset

  Diese Liste ist nicht vollständig. In verschiedenen Versionen von WhatsApp können einige Felder vorhanden oder nicht vorhanden sein. Zusätzlich können Felder vorhanden sein. ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ usw.

• ‘messages_thumbnails’
  Diese Tabelle enthält Informationen über übertragene Bilder und Zeitstempel. In der Spalte ‚timestamp‘ ist die Zeit im Unix-Epoch-Zeitformat (ms) angegeben.
• ‘chat_list’
  Diese Tabelle enthält Informationen über Chats.

  Aussehen der Tabelle:

  

Auch beim Untersuchen von WhatsApp auf einem Android-Gerät sollten die folgenden Dateien beachtet werden:

• Die Datei ‘msgstore.db.cryptXX’ (wobei XX eine oder zwei Ziffern von 0 bis 12 ist, z.B. msgstore.db.crypt12). Enthält ein verschlüsseltes Backup von WhatsApp-Nachrichten (Backup-Datei msgstore.db). Die Datei (oder Dateien) ‘msgstore.db.cryptXX’ befindet sich im Pfad: ‘/data/media/0/WhatsApp/Databases/’ (virtuelle SD-Karte), ‘/mnt/sdcard/WhatsApp/Databases/’ (physische SD-Karte).
• Die Datei ‘key’. Enthält den kryptografischen Schlüssel. Befindet sich unter dem Pfad: ‘/data/data/com.whatsapp/files/’. Wird zur Entschlüsselung von verschlüsselten WhatsApp-Backups verwendet.
• Die Datei ‘com.whatsapp_preferences.xml’. Enthält Informationen über das WhatsApp-Konto. Die Datei befindet sich unter dem Pfad: ‘/data/data/com.whatsapp/shared_prefs/’.

  Fragment des Inhalts der Datei

  …
  9123456789 (Telefonnummer, die mit dem WhatsApp-Konto verknüpft ist)
  …
  2.17.395 (WhatsApp-Version)
  …
  Hey there! I am using WhatsApp. (Nachricht, die im Status des Kontos angezeigt wird)
  …
  Alex (Name des Kontoinhabers)
  … 

• Die Datei ‘registration.RegisterPhone.xml’. Enthält Informationen über die Telefonnummer, die mit dem WhatsApp-Konto verknüpft ist. Die Datei befindet sich unter dem Pfad: ‘/data/data/com.whatsapp/shared_prefs/’.

  Inhalt der Datei

• Die Datei ‘axolotl.db’. Es enthält kryptografische Schlüssel und andere Daten, die notwendig sind, um den Besitzer des Kontos zu identifizieren. Zu finden unter dem Pfad: '/data/data/com.whatsapp/databases/'.
• Die Datei ‘chatsettings.db’. Es enthält Informationen über die Konfiguration der Anwendung.
• Die Datei 'wa.db'. Es enthält Details zu Kontakten. Eine sehr interessante (aus kriminalistischer Sicht) und informative Datenbank. Sie kann detaillierte Informationen über gelöschte Kontakte enthalten.

Es sollte auch auf folgende Verzeichnisse geachtet werden:

• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Es enthält übertragene Grafikdateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Es enthält Sprachnachrichten in .OPUS-Dateien.
• Verzeichnis ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Es enthält Grafikdateien – Bilder von Kontakten.
• Verzeichnis ‘/data/data/com.whatsapp/files/Avatars/’. Es enthält Grafikdateien – Miniaturansichten von Kontakten. Diese Dateien haben die Endung ‘.j’, sind jedoch Grafikdateien im JPEG-Format (JPG).
• Verzeichnis ‘/data/data/com.whatsapp/files/Avatars/’. Es enthält Grafikdateien – das Bild und die Miniaturansicht des Bildes, das als Avatar vom Kontoinhaber festgelegt wurde.
• Verzeichnis ‘/data/data/com.whatsapp/files/Logs/’. Es enthält ein Protokoll der Programmarbeit (Datei ‘whatsapp.log’) und Sicherungskopien der Protokolle der Programmarbeit (Dateien mit dem Namensformat whatsapp-jjjj-mm-tt.1.log.gz).

WhatsApp-Protokolldateien:

Protokollausschnitt2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 gesendet, 82 empfangen / Media Messages: 1 gesendet (0 Bytes), 0 empfangen (9850158 Bytes) / Offline Messages: 81 empfangen (19522 msec durchschnittliche Verzögerung) / Message Service: 116075 Bytes gesendet, 211729 Bytes empfangen / Voip Calls: 1 abgehende Anrufe, 0 eingehende Anrufe, 2492 Bytes gesendet, 1530 Bytes empfangen / Google Drive: 0 Bytes gesendet, 0 Bytes empfangen / Roaming: 1524 Bytes gesendet, 1826 Bytes empfangen / Gesamte Daten: 118567 Bytes gesendet, 10063417 Bytes empfangen
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | Zeitaufwand: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage verfügbar: 1.345.622.016 insgesamt: 5.687.922.688

• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Enthält empfangene Audiodateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Enthält gesendete Audiodateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Enthält empfangene Grafikdateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Enthält gesendete Grafikdateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Enthält empfangene Videodateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Enthält gesendete Videodateien.
• Verzeichnis ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Enthält Grafikdateien, die mit dem WhatsApp-Kontoinhaber verbunden sind.
• Um Speicherplatz auf dem Android-Smartphone zu sparen, können Teile der WhatsApp-Daten auf der SD-Karte gespeichert werden. Im Root-Verzeichnis der SD-Karte befindet sich das Verzeichnis ‘WhatsApp’, in dem die folgenden Artefakte dieses Programms gefunden werden können:

  

• Verzeichnis ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Enthält Kopien von Dateien, die an andere WhatsApp-Nutzer übertragen wurden.
• Verzeichnis ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Enthält gelöschte Dateien.
• Verzeichnis ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Enthält verschlüsselte Backups. Diese können entschlüsselt werden, wenn die Datei vorhanden ist ‘key’, die aus dem Speicher des analysierten Geräts extrahiert wurde.

  Dateien, die sich im Unterverzeichnis befinden. ‘Databases’:

  

• Verzeichnis „Media“ („/mnt/sdcard/WhatsApp/Media/“). Enthält Unterverzeichnisse „WallPaper“, „WhatsApp Audio“, „WhatsApp Bilder“, „WhatsApp Profilfotos“, „WhatsApp Video“, „WhatsApp Sprachnachrichten“, in denen die empfangenen und gesendeten Multimedia-Dateien (Grafikdateien, Videodateien, Sprachnachrichten, Fotos, die mit dem Profil des WhatsApp-Kontoinhabers verbunden sind, Hintergründe) gespeichert sind.
• Verzeichnis „Profilbilder“ („/mnt/sdcard/WhatsApp/Profilbilder/“). Enthält Grafikdateien, die mit dem Profil des WhatsApp-Kontoinhabers verbunden sind.
• Manchmal kann auf der SD-Karte ein Verzeichnis vorhanden sein „files“ („/mnt/sdcard/WhatsApp/Files/“). In diesem Verzeichnis sind Dateien gespeichert, in denen die Programmeinstellungen und Benutzervoreinstellungen gespeichert sind.

Besonderheiten der Datenspeicherung in einigen Modellen mobiler Geräte

In einigen Modellen mobiler Geräte, die mit Android OS betrieben werden, kann die Speicherung von WhatsApp-Artifacts an einem anderen Ort erfolgen. Dies liegt an der Änderung des Speicherorts der Anwendungsdaten durch die Systemsoftware des mobilen Geräts. So haben beispielsweise Mobilgeräte von Xiaomi eine Funktion zur Erstellung eines zweiten Arbeitsbereichs („SecondSpace“). Bei Aktivierung dieser Funktion verändert sich der Speicherort der Daten. Bei einem normalen Android-Mobilgerät werden die Benutzerdaten im Verzeichnis „/data/user/0/“ (was auf die gewohnten „/data/data/“) verweist, werden die Anwendungsdaten im zweiten Arbeitsbereich im Verzeichnis gespeichert „/data/user/10/“. Das heißt, am Beispiel des Speicherorts der Datei 'wa.db':

• auf einem normalen Android-Smartphone: /data/user/0/com.whatsapp/databases/wa.db’ (was äquivalent ist zu „/data/data/com.whatsapp/databases/wa.db‘);
• im zweiten Arbeitsbereich des Xiaomi-Smartphones: „/data/user/10/com.whatsapp/databases/wa.db‘.

WhatsApp-Artifacts auf iOS-Gerät

Im Gegensatz zu Android OS werden die Daten der WhatsApp-Anwendung in ein Backup (iTunes-Backup) übertragen. Daher erfordert das Extrahieren von Daten dieser Anwendung nicht das Extrahieren des Dateisystems oder das Erstellen eines physischen Speicherdumps des untersuchten Geräts. Der größte Teil der relevanten Informationen befindet sich in der Datenbank „ChatStorage.sqlite“, die sich unter folgendem Pfad befindet: „/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/“ (in einigen Programmen wird dieser Pfad als „AppDomainGroup-group.net.whatsapp.WhatsApp.shared“).

Struktur „ChatStorage.sqlite“:

angezeigt. Die informativsten Tabellen in der Datenbank ‚ChatStorage.sqlite‘ sind „ZWAMESSAGE“ und „ZWAMEDIAITEM“.

Aussehen der Tabelle „ZWAMESSAGE“:

Die Struktur der Tabelle 'ZWAMESSAGE'

Aussehen der Tabelle „ZWAMEDIAITEM“:

Die Struktur der Tabelle 'ZWAMEDIAITEM'

Andere interessante Datenbanktabellen „ChatStorage.sqlite“ sind:

• ‘ZWAPROFILEPUSHNAME’. Verknüpft die WhatsApp-ID mit dem Namen des Kontakts;
• ‘ZWAPROFILEPICTUREITEM’. Verknüpft die WhatsApp-ID mit dem Profilbild des Kontakts;
• ‘Z_PRIMARYKEY’. Die Tabelle enthält allgemeine Informationen zu dieser Datenbank, wie die Gesamtzahl der gespeicherten Nachrichten, die Gesamtzahl der Chats usw.

Außerdem sollte bei der Untersuchung von WhatsApp auf einem iOS-basierten Mobilgerät auf folgende Dateien geachtet werden:

• Die Datei ‘BackedUpKeyValue.sqlite’. Es enthält kryptografische Schlüssel und andere Daten, die notwendig sind, um den Besitzer des Kontos zu identifizieren. Zu finden unter dem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei ‘ContactsV2.sqlite’. Enthält Informationen zu den Kontakten des Benutzers, wie Name, Telefonnummer, Status des Kontakts (Textform), WhatsApp-ID usw. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei ‘consumer_version’. Enthält die Versionsnummer der installierten WhatsApp-Anwendung. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Die Datei ‘current_wallpaper.jpg’. Enthält das aktuelle Hintergrundbild der WhatsApp-Anwendung. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. In älteren Versionen der Anwendung wird die Datei ‘wallpaper’verwendet, die sich unter folgendem Pfad befindet: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Die Datei ‘blockedcontacts.dat’. Enthält Informationen über blockierte Kontakte. Befindet sich unter folgendem Pfad: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Die Datei ‘pw.dat’. Enthält das verschlüsselte Passwort. Befindet sich unter folgendem Pfad: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Die Datei ‘net.whatsapp.WhatsApp.plist’ (oder die Datei ‘group.net.whatsapp.WhatsApp.shared.plist’). Enthält Informationen zum WhatsApp-Kontoprofil. Die Datei befindet sich unter folgendem Pfad: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Der Inhalt der Datei ‘group.net.whatsapp.WhatsApp.shared.plist’
Es sollte auch auf folgende Verzeichnisse geachtet werden:

• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Enthält Miniaturansichten von Kontakten, Gruppen (Dateien mit der Erweiterung .thumb), Avatare von Kontakten und das Profilbild des WhatsApp-Kontoinhabers (Datei ‘Photo.jpg’).
• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/’. Enthält Mediendateien und deren Miniaturansichten
• Verzeichnis ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Enthält das Protokoll der Programmaktivität (Datei ‘calls.log’) und Sicherungskopien von Protokolldateien (Datei ‘calls.backup.log’).
• Verzeichnis ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Enthält Sticker (Dateien im Format ‘.webp’).
• Verzeichnis ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Enthält die Protokolle der Programmaktivität.

WhatsApp-Artefakte in Windows

WhatsApp-Artefakte in Windows können an mehreren Orten gefunden werden. Zunächst sind dies Verzeichnisse, die die ausführbaren und Hilfsdateien des Programms enthalten (für Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• 'C:Benutzernutzerprofil%AppDataLocalWhatsApp'
• 'C:Benutzernutzerprofil%AppDataLocalVirtualStoreProgram Files (x86)WhatsApp'

Im Verzeichnis 'C:Benutzernutzerprofil%AppDataLocalWhatsApp' liegt die Protokolldatei 'SquirrelSetup.log', die Informationen über die Überprüfung von Updates und die Installation der Software enthält.

Im Verzeichnis 'C:Benutzernutzerprofil%AppDataRoamingWhatsApp' enthält mehrere Unterverzeichnisse:

Die Datei 'main-process.log' enthält Informationen über den Betrieb der WhatsApp-Anwendung.

Unterverzeichnis 'databases' enthält die Datei 'Databases.db', aber diese Datei enthält keine Informationen über Chats oder Kontakte.

Die aus kriminalistischer Sicht interessantesten Dateien befinden sich im Verzeichnis 'Cache'. Es handelt sich hauptsächlich um Dateien mit den Namen 'f_*******' (wo * eine Zahl von 0 bis 9 ist), die verschlüsselte Multimedia-Dateien und Dokumente enthalten, aber darunter gibt es auch unverschlüsselte Dateien. Besonders interessant sind die Dateien 'data_0', 'data_1', 'data_2', 'data_3', die sich im selben Unterverzeichnis befinden. Die Dateien 'data_0', 'data_1', 'data_3' enthalten externe Links zu übermittelten verschlüsselten Multimedia-Dateien und Dokumenten.

Beispiel für Informationen, die in der Datei 'data_1' enthalten sind
Die Datei 'data_3' kann auch Bilddateien enthalten.

Die Datei 'data_2' enthält Avatare von Kontakten (diese können durch die Dateiköpfe wiederhergestellt werden).

Avatare, die in der Datei enthalten sind 'data_2':

Somit lassen sich die Chats selbst im Computer nicht finden, aber es können gefunden werden:

• Multimedia-Dateien;
• Dokumente, die über WhatsApp gesendet wurden;
• Informationen über die Kontakte des Kontoinhabers.

WhatsApp-Artefakte in MacOS

In MacOS finden sich Arten von WhatsApp-Artefakten, ähnlich denen, die in Windows vorhanden sind.

Die Programmdateien befinden sich in den Verzeichnissen:

• 'C:ApplicationsWhatsApp.app'
• 'C:Applications._WhatsApp.app'
• 'C:Benutzernutzerprofil%LibraryPreferences'
• 'C:Benutzernutzerprofil%LibraryLogsWhatsApp'
• 'C:Benutzernutzerprofil%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Benutzernutzerprofil%LibraryApplication Scripts'
• 'C:Benutzernutzerprofil%LibraryApplication SupportCloudDocs'
• 'C:Benutzernutzerprofil%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Benutzernutzerprofil%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Benutzernutzerprofil%LibraryMobile Documents WhatsApp Accounts'
  In diesem Verzeichnis befinden sich Unterverzeichnisse, deren Namen die mit dem WhatsApp-Kontoinhaber verbundenen Telefonnummern darstellen.
• 'C:Benutzernutzerprofil%LibraryCachesWhatsApp.ShipIt'
  In diesem Verzeichnis befinden sich Informationen zur Installation der Software.
• 'C:Benutzernutzerprofil%PicturesMediathek iPhoto.photolibraryMasters', 'C:Benutzernutzerprofil%PicturesMediathek iPhoto.photolibraryThumbnails'
  In diesen Katalogen befinden sich Systemdateien des Programms, einschließlich Fotos und Miniaturansichten von WhatsApp-Kontakten.
• 'C:Users%User profile%LibraryCachesWhatsApp'
  In diesem Verzeichnis befinden sich mehrere SQLite-Datenbanken, die zum Caching von Daten verwendet werden.
• 'C:Users%User profile%LibraryApplication SupportWhatsApp'
  In diesem Verzeichnis gibt es mehrere Unterverzeichnisse:

  
  Im Verzeichnis 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' es befinden sich Dateien 'data_0', 'data_1', 'data_2', 'data_3' und Dateien mit den Namen 'f_*******' (wo * — eine Zahl von 0 bis 9 ist). Informationen darüber, welche Daten diese Dateien enthalten, sind im Abschnitt „WhatsApp-Artefakte in Windows“ beschrieben.

  Im Verzeichnis 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' könnten Multimediadateien enthalten (Dateien haben keine Erweiterungen).

  Die Datei 'main-process.log' enthält Informationen über den Betrieb der WhatsApp-Anwendung.

Quellen

1. Forensische Analyse von WhatsApp Messenger auf Android-Smartphones, von Cosimo Anglano, 2014.
2. Whatsapp Forensics: Eksplorasi sistem berkas dan basis data pada aplikasi Android und iOS von Ahmad Pratama, 2014.

In den folgenden Artikeln dieser Reihe:

Entschlüsselung verschlüsselter WhatsApp-DatenbankenEin Artikel, der Informationen darüber liefert, wie der Verschlüsselungsschlüssel von WhatsApp erzeugt wird, und praktische Beispiele gibt, die zeigen, wie man die verschlüsselten Datenbanken dieser Anwendung entschlüsseln kann.
Datenextraktion von WhatsApp aus Cloud-SpeichernEin Artikel, in dem wir erläutern, welche WhatsApp-Daten in den Cloud gespeichert werden und Methoden zur Extraktion dieser Daten aus Cloud-Speichern beschreiben.
Datenextraktion von WhatsApp: praktische BeispieleEin Artikel, in dem Schritt für Schritt beschrieben wird, mit welchen Programmen und wie Daten von WhatsApp von verschiedenen Geräten extrahiert werden können.

Quelle: habr.com