🥇Forensische Analyse von HiSuite-Backups

Das Extrahieren von Daten aus Android-Geräten wird mit jedem Tag komplizierter – manchmal sogar schwieriger, als von einem iPhone. Igor Michailow, Spezialist im Labor für Computerkriminalistik der Group-IB, erklärt, was zu tun ist, wenn Sie Daten von einem Android-Smartphone nicht auf herkömmliche Weise extrahieren können.

Vor einigen Jahren diskutierten meine Kollegen und ich die Entwicklungen von Sicherheitsmechanismen in Android-Geräten und kamen zu dem Schluss, dass die digitale Forensik irgendwann schwieriger werden würde als bei iOS-Geräten. Heute können wir mit Sicherheit sagen, dass diese Zeit nun gekommen ist.

Kürzlich habe ich ein Huawei Honor 20 Pro untersucht. Was glauben Sie, was ich aus seinem Backup, das mit dem ADB-Tool erstellt wurde, extrahieren konnte? Nichts! Das Gerät enthält eine Menge Daten: Anrufinformationen, Telefonbuch, SMS, Chats in Messengern, E-Mails, Multimedia-Dateien usw. Aber Sie können nichts davon extrahieren. Ein schreckliches Gefühl!

Was soll man in so einer Situation tun? Eine gute Lösung ist die Verwendung von proprietären Backup-Tools (Mi PC Suite für Xiaomi-Smartphones, Samsung Smart Switch für Samsung-Geräte, HiSuite für Huawei).

In diesem Artikel betrachten wir die Erstellung und das Extrahieren von Daten aus Huawei-Smartphones mit dem Tool HiSuite sowie die anschließende Analyse mit Belkasoft Evidence Center.

Welche Datentypen werden in den HiSuite-Backups gespeichert?

In die HiSuite-Backups gelangen folgende Datentypen:

Konten- und Passwortdaten (oder Token)
Kontakte
Anruflisten
SMS- und MMS-Nachrichten
E-Mails
Multimedia-Dateien
Datenbank
Dokumente
Archive
Anwendungsdateien (Dateien mit den Erweiterungen.odex, .so, .apk)
App-Daten (von Anwendungen wie Facebook, Google Drive, Google Photos, Google Mail, Google Maps, Instagram, WhatsApp, YouTube usw.)

Wir werden detaillierter untersuchen, wie ein solches Backup erstellt wird und wie es mit Belkasoft Evidence Center analysiert werden kann.

Erstellung eines Backups eines Huawei-Smartphones mit dem HiSuite-Tool

Um ein Backup mit dem hauseigenen Tool zu erstellen, muss es von der Website heruntergeladen werden. Huawei und installiert werden.

Die Seite zum Herunterladen des HiSuite-Programms auf der Website von Huawei:

Um das Gerät mit dem Computer zu verbinden, wird der HDB-Modus (Huawei Debug Bridge) verwendet. Auf der Huawei-Website oder in der HiSuite-Anwendung gibt es eine ausführliche Anleitung zur Aktivierung des HDB-Modus auf dem Mobilgerät. Nach der Aktivierung des HDB-Modus starten Sie die HiSuite-Anwendung auf dem Mobilgerät und geben Sie den in dieser Anwendung angezeigten Code in das Fenster der HiSuite-Anwendung auf dem Computer ein.

Code-Eingabefenster in der Desktop-Version von HiSuite:

Beim Erstellen eines Backups müssen Sie ein Passwort eingeben, das zum Schutz der Daten verwendet wird, die aus dem Speicher des Geräts extrahiert wurden. Das erstellte Backup befindet sich im Pfad C:/Users/%User profile%/Documents/HiSuite/backup/.

Backup des Huawei Honor 20 Pro-Smartphones:

Analyse des HiSuite-Backups mit Belkasoft Evidence Center

Um das erhaltene Backup mit Belkasoft Evidence Center zu analysieren, erstellen Sie einen neuen Fall. Wählen Sie dann als Datenquelle den Punkt Mobile Image. Im sich öffnenden Menü geben Sie den Pfad zum Verzeichnis an, in dem das Backup des Smartphones gespeichert ist, und wählen Sie die Datei info.xml.

Pfad zum Backup angeben:

Im nächsten Fenster wird das Programm aufgefordert, die Arten von Artefakten auszuwählen, die gesucht werden sollen. Nach dem Start des Scans wechseln Sie zur Registerkarte Task-Manager und klicken Sie auf die Schaltfläche Aufgabe konfigurieren, da das Programm die Eingabe eines Passworts zur Entschlüsselung des verschlüsselten Backups erwartet.

Taste Aufgabe konfigurieren:

Nach der Entschlüsselung fordert Belkasoft Evidence Center erneut zur Angabe der Arten von Artefakten auf, die extrahiert werden sollen. Nach Abschluss der Analyse können die Informationen über die extrahierten Artefakte in den Registerkarten Fall-Explorer und Übersicht .

Ergebnisse der Analyse des Backups Huawei Honor 20 Pro:

Analyse des HiSuite-Backups mit der Software „Mobiler Kriminalist Expert“

Ein weiteres forensisches Programm, mit dem Daten aus dem HiSuite-Backup extrahiert werden können, ist „Mobiler Kriminalist Expert“.

Um die im HiSuite-Backup enthaltenen Daten zu verarbeiten, klicken Sie auf die Option Backup importieren im Hauptfenster des Programms.

Ausschnitt des Hauptfensters der Software „Mobiler Kriminalist Expert“:

Oder im Bereich Import wählen Sie die Art der zu importierenden Daten Huawei Backup:

Geben Sie im sich öffnenden Fenster den Pfad zur Datei an info.xml. Bei der Initiierung des Extraktionsprozesses erscheint ein Fenster, in dem Sie aufgefordert werden, entweder das bekannte Passwort zur Entschlüsselung des HiSuite-Backups einzugeben oder das Tool der Firma Passware zu verwenden, um zu versuchen, dieses Passwort zu finden, falls es unbekannt ist:

Das Ergebnis der Analyse des Backups wird ein Fenster des Programms „Mobile Forensik Expert“ sein, das die Arten der extrahierten Artefakte anzeigt: Anrufe, Kontakte, Nachrichten, Dateien, Ereignisprotokolle, Anwendungsdaten. Beachten Sie, wie viele Daten aus verschiedenen Anwendungen mit diesem forensischen Programm extrahiert wurden. Es ist einfach enorm!

Liste der extrahierten Datentypen aus dem HiSuite-Backup im Programm „Mobile Forensik Expert“:

Entschlüsselung von HiSuite-Backups

Was ist, wenn Sie diese großartigen Programme nicht haben? In diesem Fall kann Ihnen ein von Francesco Picasso, einem Mitarbeiter von Reality Net System Solutions, entwickeltes und unterstütztes Python-Skript helfen. Dieses Skript finden Sie auf GitHub, und eine ausführlichere Beschreibung finden Sie in Artikel „Huawei backup decryptor“.

In der Folge kann ein entschlüsseltes HiSuite-Backup mit klassischen forensischen Tools (zum Beispiel, Autopsy) oder manuell analysiert werden.

Fazit

So können mit dem HiSuite-Backup-Tool von Huawei Smartphones deutlich mehr Daten extrahiert werden als mit der ADB-Tools. Trotz der Vielzahl an Tools für die Arbeit mit Mobiltelefonen gehören das Belkasoft Evidence Center und der „Mobile Forensic Expert“ zu den wenigen forensischen Programmen, die die Extraktion und Analyse von HiSuite-Backups unterstützen.

Quellen

Quelle: habr.com