🥇Forensische Analyse von HiSuite-Backups

Die Datenextraktion aus Android-Geräten wird täglich komplizierter – manchmal sogar komplizierter, als aus iPhones. Igor Mikhailov, Spezialist im Labor für computerforensische Untersuchungen von Group-IB, erklärt, was zu tun ist, wenn Sie Daten mit herkömmlichen Methoden nicht aus Ihrem Android-Smartphone extrahieren können.

Vor einigen Jahren diskutierten wir mit Kollegen die Entwicklungstendenzen von Sicherheitsmechanismen in Android-Geräten und kamen zu der Erkenntnis, dass die forensische Untersuchung eines Tages komplizierter werden könnte als bei iOS-Geräten. Und heute kann man mit Sicherheit sagen, dass diese Zeit gekommen ist.

Kürzlich habe ich das Huawei Honor 20 Pro untersucht. Was denken Sie, was ich aus der Sicherung, die mit dem ADB-Tool erstellt wurde, extrahieren konnte? Nichts! Auf dem Gerät sind viele Daten vorhanden: Anrufinformationen, das Adressbuch, SMS, Chats in Messengern, E-Mails, Multimedia-Dateien usw. und Sie können davon nichts extrahieren. Schreckliches Gefühl!

Was kann man in einer solchen Situation tun? Eine gute Lösung ist die Verwendung von speziellen Backup-Tools (Mi PC Suite für Xiaomi-Smartphones, Samsung Smart Switch für Samsung, HiSuite für Huawei).

In diesem Artikel werden wir das Erstellen und Extrahieren von Daten aus Huawei-Smartphones mit dem HiSuite-Tool sowie deren anschließende Analyse mit Belkasoft Evidence Center betrachten.

Welche Datentypen werden in HiSuite-Backups gespeichert?

In HiSuite-Backups werden folgende Datentypen gespeichert:

Kontoinformationen und Passwörter (oder Tokens)
Kontakte
Anrufe
SMS- und MMS-Nachrichten
E-Mails
Multimedia-Dateien
Datenbanken
Dokumente
Archive
Anwendungsdateien (Dateien mit den Erweiterungen.odex, .so, .apk)
Informationen aus Anwendungen (wie Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube usw.)

Lassen Sie uns genauer untersuchen, wie so ein Backup erstellt wird und wie man es mit Belkasoft Evidence Center analysieren kann.

Erstellung eines Backups eines Huawei-Smartphones mit dem HiSuite-Tool

Um ein Backup mit dem speziellen Tool zu erstellen, muss es von der Website heruntergeladen Huawei und installiert werden.

Die Download-Seite der HiSuite-Software auf der Huawei-Website:

Zur Verbindung des Geräts mit dem Computer wird der HDB-Modus (Huawei Debug Bridge) verwendet. Auf der Website von Huawei oder in der HiSuite-Anwendung gibt es eine detaillierte Anleitung, wie der HDB-Modus auf dem mobilen Gerät aktiviert werden kann. Nach der Aktivierung des HDB-Modus starten Sie die HiSuite-Anwendung auf dem mobilen Gerät und geben Sie den in dieser Anwendung angezeigten Code in das HiSuite-Programm ein, das auf dem Computer gestartet wurde.

Code-Eingabefenster in der Desktopversion von HiSuite:

Beim Erstellen einer Sicherung müssen Sie ein Passwort eingeben, das zum Schutz der aus dem Gerätespeicher extrahierten Daten verwendet wird. Die erstellte Sicherung befindet sich unter dem Pfad C:/Users/%User profile%/Documents/HiSuite/backup/.

Sicherung des Huawei Honor 20 Pro:

Analyse der Sicherung von HiSuite mit Belkasoft Evidence Center

Um die erhaltene Sicherung mit Hilfe von Belkasoft Evidence Center zu analysieren, erstellen Sie einen neuen Fall. Wählen Sie dann als Datenquelle den Punkt Mobile Image. Im sich öffnenden Menü geben Sie den Pfad zum Verzeichnis an, in dem sich die Sicherung des Smartphones befindet, und wählen Sie die Datei info.xml.

Angabe des Pfades zur Sicherung:

Im nächsten Fenster schlägt das Programm vor, die Arten von Artefakten auszuwählen, die gefunden werden sollen. Nach dem Start des Scans wechseln Sie zur Registerkarte Task Manager und klicken Sie auf die Schaltfläche Task konfigurieren, da das Programm die Eingabe eines Passworts zur Entschlüsselung der verschlüsselten Sicherung erwartet.

Schaltfläche Task konfigurieren:

Nach der Entschlüsselung der Sicherung wird Belkasoft Evidence Center Sie erneut auffordern, die Arten von Artefakten anzugeben, die extrahiert werden sollen. Nach Abschluss der Analyse können Sie die Informationen über die extrahierten Artefakte in den Registerkarten Case Explorer und Übersicht .

Ergebnisse der Analyse der Sicherung des Huawei Honor 20 Pro:

Analyse der Sicherung von HiSuite mit der Software „Mobiler Kriminalist Expert“

Ein weiteres forensisches Programm, mit dem Daten aus der Sicherung von HiSuite extrahiert werden können, ist „Mobiler Kriminalist Expert“.

Um die in der Sicherung von HiSuite gespeicherten Daten zu bearbeiten, klicken Sie auf die Option Sicherungen importieren im Hauptfenster des Programms.

Ausschnitt des Hauptfensters des Programms „Mobiler Kriminalist Expert“:

Oder wählen Sie im Abschnitt Import die Art der zu importierenden Daten Sicherung Huawei:

Geben Sie im sich öffnenden Fenster den Pfad zur Datei an info.xml. Wenn das Wiederherstellungsverfahren gestartet wird, erscheint ein Fenster, in dem Sie entweder das bekannte Passwort zur Entschlüsselung des HiSuite-Backups eingeben oder das Tool von Passware verwenden können, um zu versuchen, dieses Passwort zu knacken, falls es unbekannt ist:

Das Ergebnis der Analyse des Backups wird ein Fenster des Programms „Mobile Criminalist Expert“ sein, in dem die Typen der extrahierten Artefakte angezeigt werden: Anrufe, Kontakte, Nachrichten, Dateien, Ereignisprotokolle, Anwendungsdaten. Beachten Sie die Menge an Daten, die aus verschiedenen Anwendungen von diesem forensischen Programm extrahiert wurden. Sie ist einfach riesig!

Liste der extrahierten Datentypen aus dem HiSuite-Backup im Programm „Mobile Criminalist Expert“:

Entschlüsselung von HiSuite-Backups

Was ist, wenn Sie diese großartigen Programme nicht haben? In diesem Fall kann Ihnen ein Python-Skript helfen, das von Francesco Picasso, einem Mitarbeiter von Reality Net System Solutions, entwickelt und unterstützt wird. Dieses Skript finden Sie auf GitHub, und eine detailliertere Beschreibung finden Sie unter Artikel „Huawei backup decryptor“.

Das entschlüsselte HiSuite-Backup kann später mit klassischen forensischen Tools (zum Beispiel Autopsy) oder manuell importiert und analysiert werden.

Das DBMS Tarantool ist ein attraktives, zukunftsträchtiges Produkt zur Erstellung von hochbelasteten Anwendungen.

Auf diese Weise können mit dem HiSuite-Backup-Tool aus Huawei-Smartphones deutlich mehr Daten extrahiert werden als beim Datenabruf von diesen Geräten mithilfe des ADB-Tools. Trotz der Vielzahl von Tools zur Arbeit mit Mobiltelefonen sind Belkasoft Evidence Center und „Mobile Criminalist Expert“ einige der wenigen forensischen Programme, die die Extraktion und Analyse von HiSuite-Backups unterstützen.

Quellen

Quelle: habr.com