WhatsApp peos: kus ja kuidas leida kriminaaltehnilisi artefakte?

Kas soovite teada, millised WhatsAppi kriminaaltehnilised artefaktid eksisteerivad erinevates operatsioonisüsteemides ja kus täpselt neid leiduda võib — siis olete õiges kohas. Selle artikli on kirjutanud Group-IB arvutite kriminaaltehnika labori spetsialist. Igor Mihhailov avatab artiklite seeria WhatsAppi kriminaaltehnilisest uurimisest ja sellest, millist teavet on võimalik seadme analüüsimisel saada.

Jätame kohe märkimata, et eri operatsioonisüsteemides hoitakse erinevat tüüpi WhatsAppi artefakte, ja kui ühest seadmest suudab uurija teatud tüüpi WhatsAppi andmeid ekstrakteerida, ei tähenda see, et sarnaseid andmeid saaks teiselt seadmel kätte saada. Näiteks, kui eemaldada süsteemikoostisosad Windowsi operatsioonisüsteemiga seadmes, siis tõenäoliselt ei leita WhatsAppi vestlusi sellel kettal (välja arvatud iOS-seadmete varukoopiad, mis võivad nendele salvestusseadmetele olla kergesti ligipääsetavad). Sülearvutite ja mobiilseadmete eemaldamisel on omad eripärad. Räägime sellest lähemalt.

WhatsAppi artefaktid Android-seadmest

WhatsAppi artefaktide ekstraktimiseks Androidi operatsioonisüsteemiga seadmetest peab uurijal olema superkasutaja õigused ('root') uuritavas seadmes või peab olema võimalus muul viisil saada seadme füüsiline mälu dump või selle failisüsteem (näiteks kasutades teatud mobiilseadme tarkvaravigu).

Rakenduse failid asuvad telefoni mälus kasutaja andmete salvestamise jaotises. Reeglina kannab see jaotis nime 'userdata'. Programmi alamkaustad ja failid on järgmisel teel: '/data/data/com.whatsapp/'.

Peamised failid, mis sisaldavad WhatsAppi kriminaaltehnilisi artefakte Androidi operatsioonisüsteemis, on andmebaasid 'wa.db' ja 'msgstore.db'.

Andmebaasis 'wa.db' on kogu WhatsAppi kontaktide loend, sealhulgas telefoninumber, kuvatav nimi, ajatempli andmed ja kõik muu teave, mis on WhatsAppi registreerimise käigus esitatud. Fail 'wa.db' asub teel: '/data/data/com.whatsapp/databases/' ja sellel on järgmine struktuur:

Andmebaasi kõige huvitavamateks tabeliteks uurija jaoks on: 'wa.db' 'wa_contacts'

• ‘wa_contacts’
  See tabel sisaldab kontaktide teavet: WhatsAppi kontaktide ID, staatuse teave, kuvatud kasutajanimi, ajatempli andmed jne.

  Tabeli välimus:

  
  Tabeli struktuur

  Välja nimi	Tähendus
  _id	kirje järjestus (SQL tabelis)
  jid	Kontakt WhatsAppi ID, kirjutatakse vormingus @s.whatsapp.net
  is_whatsapp_user	sisaldab '1', kui kontakt vastab tegelikule WhatsAppi kasutajale, '0' muul juhul
  staatus	sisaldab kontakti staatuse kuvamiseks vajalikku teksti
  status_timestamp	sisaldab ajatemplit Unix Epoch Time formaadis (ms)
  number	telefoninumber, mis on seotud kontaktiga
  raw_contact_id	kontaktide järjestus
  display_name	kontakti kuvatud nimi
  phone_type	telefoni tüüp
  phone_label	etiket, mis on seotud kontaktinumbriga
  unseen_msg_count	spontaansete sõnumite arv, mille kontakt on saatnud, kuid mida vastuvõtja ei ole näinud
  photo_ts	sisaldab ajatemplit Unix Epoch Time formaadis
  thumb_ts	sisaldab ajatemplit Unix Epoch Time formaadis
  photo_id_timestamp	sisaldab ajatemplit Unix Epoch Time formaadis (ms)
  given_name	välja väärtus, mis vastab 'display_name' igas kontaktis
  wa_name	kontakti nimi WhatsAppis (kuvatakse kontaktiprofiilil määratud nimi)
  sort_name	kontakti nimi, mida kasutatakse järjestamise operatsioonides
  nickname	kontakti hüüdnimi WhatsAppis (kuvatakse kontaktiprofiilil määratud hüüdnimi)
  company	ettevõtte nimi (kuvatakse kontaktiprofiilil määratud ettevõtte nimi)
  title	kallis (proua/ härra; kuvatakse kontaktiprofiilil seadistatud tervitus)
  offset	hälve

• 'sqlite_sequence'
  See tabel sisaldab kontaktide arvu teavet;
• 'android_metadata'
  See tabel sisaldab WhatsAppi keele lokaliseerimise teavet.

Andmebaasis 'msgstore.db' sisaldab teavet edastatud sõnumite kohta, nagu kontaktinumber, sõnumi sisu, sõnumi staatus, ajatempli andmed, edastatud failide teave, mis on sõnumites ja nii edasi. Fail 'msgstore.db' asub teel: '/data/data/com.whatsapp/databases/' ja sellel on järgmine struktuur:

Failis on kõige huvitavamad tabelid 'msgstore.db' 'wa_contacts'

• 'sqlite_sequence'
  See tabel sisaldab teavet selle andmebaasi kohta, näiteks hoitud sõnumite koguarv, vestluste koguarv jne.

  Tabeli välimus:

  

• 'message_fts_content'
  Sisaldab edastatud sõnumite teksti.

  Tabeli välimus:

  

• 'messages'
  See tabel sisaldab sellist teavet nagu kontaktinumber, sõnumi sisu, sõnumi staatus, ajatempli andmed, edastatud failide teave, mis on sõnumites.

  Tabeli välimus:

  
  Tabeli struktuur

  Välja nimi	Tähendus
  _id	kirje järjestus (SQL tabelis)
  key_remote_jid	WhatsAppi ID suhtluse partneri jaoks
  key_from_me	sõnumi suund: '0' – saabuv, '1' – väljaminev
  key_id	sõnumi ainulaadne identifikaator
  staatus	teate staatus: '0' – kohaletoimetatud, '4' – ootab serveris, '5' – sihtkohas vastu võetud, '6' – kontrollteade, '13' – teade on vastuvõtja poolt avatud (loetud)
  need_push	on väärt '2', kui see on laiali saadetud teade, muidu sisaldab '0'
  data	teate tekst (kui parameeter 'media_wa_type' on '0')
  timestamp	sisaldab Unix Epoch Time (ms) vormingus ajatemplit, väärtus saadakse seadme kellast
  media_url	sisaldab edastatava faili URL-i (kui parameeter 'media_wa_type' on '1', '2', '3')
  media_mime_type	edastatava faili MIME-tüüp (kui parameeter 'media_wa_type' on '1', '2', '3')
  media_wa_type	teate tüüp: '0' – tekst, '1' – graafiline fail, '2' – helifail, '3' – videofail, '4' – kontaktikaart, '5' – geoinfo
  media_size	edastatava faili suurus (kui parameeter 'media_wa_type' on '1', '2', '3')
  media_name	edastatava faili nimi (kui parameeter 'media_wa_type' on '1', '2', '3')
  media_caption	Sisaldab sõnu 'audio', 'video', vastavate 'media_wa_type' väärtuste jaoks (kui parameeter 'media_wa_type' on '1', '3')
  media_hash	base64 vormingus edastatava faili hash, arvutatud HAS-256 algoritmi järgi (kui parameeter 'media_wa_type' on '1', '2', '3')
  media_duration	kestus sekundites meediafaili jaoks (kui parameeter 'media_wa_type' on '1', '2', '3')
  origin.	on väärt '2', kui see on laiali saadetud teade, muidu sisaldab '0'
  latitude	geoinfo: laius (kui parameeter 'media_wa_type' on '5')
  longitude	geoinfo: pikkus (kui parameeter 'media_wa_type' on '5')
  thumb_image	teenusteave
  remote_recource	saaja ID (ainult grupivestluste jaoks)
  received_timestamp	vastuvõtmise aeg, sisaldab Unix Epoch Time (ms) vormingus ajatemplit, väärtus saadakse seadme kellast (kui parameeter 'key_from_me' on '0', '-1' või muu väärtus)
  send_timestamp	ei kasutata, tavaliselt on väärtus '-1'
  receipt_server_timestamp	keskse vastuvõtu aeg, serveriltsisaldab Unix Epoch Time (ms) vormingus ajatemplit, väärtus saadakse seadme kellast (kui parameeter 'key_from_me' on '1', '-1' või muu väärtus)
  receipt_device_timestamp	teate vastuvõtmise aeg teise tellija poolt, sisaldab Unix Epoch Time (ms) vormingus ajatemplit, väärtus saadakse seadme kellast (kui parameeter 'key_from_me' on '1', '-1' või muu väärtus)
  read_device_timestamp	sõnumi avamise (lugemise) aeg, sisaldab Unix Epoch Time (ms) formaadis ajatemplit, väärtus saadakse seadme kellast
  played_device_timestamp	sõnumi esitamise aeg, sisaldab Unix Epoch Time (ms) formaadis ajatemplit, väärtus saadakse seadme kellast
  raw_data	edastatava faili miniatuur (kui parameeter ‘media_wa_type’ on ‘1’ või ‘3’)
  recipient_count	saajate arv (broadcast sõnumite jaoks)
  participant_hash	kasutatakse geodati võimalustega sõnumite edastamisel
  starred	ei kasutata
  quoted_row_id	tundmatu, tavaliselt sisaldab väärtust ‘0’
  mentioned_jids	ei kasutata
  multicast_id	ei kasutata
  offset	hälve

  See väli loetelu ei ole ammendav. Erinevate WhatsApp versioonide puhul võivad mõned väljad olla olemas või puududa. Samuti võivad olla täiendavad väljad ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ jne.

• ‘messages_thumbnails’
  See tabel sisaldab edastatud piltide teavet ja ajatempleid. Veerus ‘timestamp’ on aeg esitatud Unix Epoch Time (ms) formaadis.
• ‘chat_list’
  See tabel sisaldab teavet vestluste kohta.

  Tabeli välimus:

  

Samuti tuleb WhatsApp-i uurimisel Android seadmes tähelepanu pöörata järgmistele failidele:

• Fail ‘msgstore.db.cryptXX’ (kus XX on üks või kaks numbrit vahemikus 0 kuni 12, näiteks msgstore.db.crypt12). Sisaldab WhatsAppi sõnumite krüpteeritud varukoopiat (faili varukoopia msgstore.db). Fail (või failid) ‘msgstore.db.cryptXX’ asub teel: ‘/data/media/0/WhatsApp/Databases/’ (virtuaalne SD-kaart), ‘/mnt/sdcard/WhatsApp/Databases/’ (füüsiline SD-kaart).
• Fail ‘key’. Sisaldab krüptograafilist võtit. Asub teel: ‘/data/data/com.whatsapp/files/’. Kasutatakse WhatsAppi krüpteeritud varukoopiate dekrüpteerimiseks.
• Fail ‘com.whatsapp_preferences.xml’. Sisaldab teavet WhatsAppi konto profiili kohta. Fail asub teel: ‘/data/data/com.whatsapp/shared_prefs/’.

  Faili sisu fragment

  …
  9123456789 (telefoninumber, mis on seostatud WhatsAppi kontoga)
  …
  2.17.395 (WhatsAppi versioon)
  …
  Hey there! I am using WhatsApp. (sõnum, mis kuvatakse konto olekus)
  …
  Alex (konto omaniku nimi)
  … 

• Fail ‘registration.RegisterPhone.xml’. Sisaldab teavet telefoninumbri kohta, mis on seostatud WhatsAppi kontoga. Fail asub teel: ‘/data/data/com.whatsapp/shared_prefs/’.

  Faili sisu

• Fail ‘axolotl.db’. Sisaldab krüptograafilisi võtmeid ja muid teavet, mis on vajalik konto omanikku tuvastamiseks. Asub aadressil: '/data/data/com.whatsapp/databases/'.
• Fail ‘chatsettings.db’. Sisaldab rakenduse konfiguratsiooni teavet.
• Fail 'wa.db'. Sisaldab kontaktide üksikasju. Väga huvitav (kriminaalistika aspektist) ja informatiivne andmebaas. Siit võib leida üksikasjalikku teavet kustutatud kontaktide kohta.

Tuleb pöörata tähelepanu ka järgmistele kataloogidele:

• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Sisaldab edastatud graafikafaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Sisaldab häälteateid .OPUS formaadis failides.
• Kataloog ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Sisaldab graafikafaile – kontaktide pilte.
• Kataloog ‘/data/data/com.whatsapp/files/Avatars/’. Sisaldab graafikafaile – kontaktide piltide miniatuurid. Need failid on laiendiga ‘.j’, kuid siiski on need JPEG (JPG) formaadis graafikafailid.
• Kataloog ‘/data/data/com.whatsapp/files/Avatars/’. Sisaldab graafikafaile – konto omaniku valitud avatari pildi ja miniatuuri.
• Kataloog ‘/data/data/com.whatsapp/files/Logs/’. Sisaldab programmi töölogi (fail ‘whatsapp.log’) ja programmi töölogide varukoopiaid (failid, mille nimed on formaat whatsapp- гггг-мм-дд.1.log.gz).

WhatsApp'i logifailid:

Logifaili fragment2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 sent, 82 received / Media Messages: 1 sent (0 bytes), 0 received (9850158 bytes) / Offline Messages: 81 received (19522 msec average delay) / Message Service: 116075 bytes sent, 211729 bytes received / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes received / Google Drive: 0 bytes sent, 0 bytes received / Roaming: 1524 bytes sent, 1826 bytes received / Total Data: 118567 bytes sent, 10063417 bytes received
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Sisaldab saadetud helifaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Sisaldab saadetud helifaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Sisaldab saadetud graafikafaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Sisaldab saadetud graafikafaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Sisaldab saadetud videofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Sisaldab saadetud videofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Sisaldab graafikafaile, mis on seotud WhatsAppi konto omanikuga.
• Mälu säästmiseks võivad mõned WhatsAppi andmed salvestuda SD-kaardile. SD-kaardil, peadirigis, asub kataloog ‘WhatsApp’, kus on saadaval järgmised selle programmi artefaktid:

  

• Kataloog ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Sisaldab faile, mis on edastatud teistele WhatsAppi kasutajatele.
• Kataloog ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Sisaldab kustutatud faile.
• Kataloog ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Sisaldab krüpteeritud varukoopiaid. Need võivad olla dekodeeritud, kui olemas on fail ‘key’, mis on saadud analüüsitava seadme mälust.

  Failid, mis asuvad alamkataloogis ‘Databases’:

  

• Kataloog ‘Meedia’ (‘/mnt/sdcard/WhatsApp/Meedia/’). Sisaldab alamkaustu ‘Seinakujundus’, ‘WhatsApp Helid’, ‘WhatsApp Pildid’, ‘WhatsApp Profiilipildid’, ‘WhatsApp Video’, ‘WhatsApp Häälsõnumid’, milles asuvad saadud ja edastatud multimeediafailid (graafikafailid, videofailid, häälsõnumid, fotod, mis on seotud WhatsApp'i konto omaniku profiiliga, taustapildid).
• Kataloog ‘Profiilipildid’ (‘/mnt/sdcard/WhatsApp/Profiilipildid/’). Sisaldab graafikafailid, mis on seotud WhatsApp'i konto omaniku profiiliga.
• Mõnikord võib SD-kaardil olla kataloog ‘failid’ (‘/mnt/sdcard/WhatsApp/Failid/’). Selles kataloogis on failid, kus on salvestatud programmi seaded ja kasutaja eelistused.

Andmete salvestamise eripära mõningates mobiilseadmestikes

Mõnes mobiilseadmestikus, mis töötab Androidi operatsioonisüsteemiga, võib WhatsApp'i artefaktid olla salvestatud muusse kohta. See on tingitud süsteemi tarkvara muudatustest mobiilseadmestiku andmete salvestamise ruumis. Näiteks mobiilseadmetes Xiaomi on funktsioon teise tööruumi loomine („SecondSpace”). Selle funktsiooni aktiveerimisel muutub andmete asukoht. Näiteks tavalises Androidi operatsioonisüsteemiga mobiilseadmestikus salvestatakse kasutaja andmed katalooge ‘/data/user/0/’ (see viitab tuntud ‘/data/data/’), siis teises tööruumis salvestatakse rakenduste andmed katalooge ‘/data/user/10/’. Seega, näiteks Androidi operatsioonisüsteemiga tavalises nutitelefonis asuva faili asukoht: 'wa.db':

• (see on ekvivalentne /data/user/0/com.whatsapp/databases/wa.db’ ‘/data/data/com.whatsapp/databases/wa.db’) teises tööruumis Xiaomi nutitelefonis:;
• ‘/data/user/10/com.whatsapp/databases/wa.db’ WhatsApp'i artefaktid iOS-seadmestikus.

Erinevalt Androidi operatsioonisüsteemist, iOS-is edastatakse WhatsApp'i rakenduse andmed varukoopiasse (iTunes backup). Seetõttu ei nõua selle rakenduse andmete taastamine failisüsteemi ärakirja loomist või uuritava seadme füüsilise mäludumpi loomist. Suur osa tähenduslikest andmetest asub andmebaasis

‘ChatStorage.sqlite’ , mis asub teel:‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (mõnedes programmides kuvatakse see tee kui ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’ Andmebaasis ‘ChatStorage.sqlite’ on kõige informatiivsemad tabelid).

Struktuur , mis asub teel::

‘ZWAMESSAGE’ ‘ZWAMEDIAITEM’ ja Tabeli välimus.

Внешний вид таблицы ‘ZWAMEDIAITEM’:

Tabeli struktuur ‘ZWAMESSAGE’

Внешний вид таблицы Tabeli välimus:

Tabeli struktuur ‘ZWAMEDIAITEM’

Muud huvitavad andmebaasi tabelid , mis asub teel: on:

• ‘ZWAPROFILEPUSHNAME’. Sidub WhatsApp ID kontaktinimega;
• ‘ZWAPROFILEPICTUREITEM’. Sidub WhatsApp ID kontaktvaatega;
• ‘Z_PRIMARYKEY’. Tabel sisaldab üldinformatsiooni selle andmebaasi kohta, nagu salvestatud sõnumite koguarv, vestluste koguarv jne.

Samuti tuleks WhatsAppi uurimisel iOS seadmel tähelepanu pöörata järgmistele failidele:

• Fail ‘BackedUpKeyValue.sqlite’. Sisaldab krüptograafilisi võtmeid ja muid teavet, mis on vajalik konto omanikku tuvastamiseks. Asub aadressil: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fail ‘ContactsV2.sqlite’. Sisaldab kasutaja kontaktide teavet, nagu nimi, telefoninumber, kontaktistaatus (tekstivormis), WhatsApp ID jne. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fail ‘consumer_version’. Sisaldab paigaldatud WhatsAppi rakenduse versiooninumbrit. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fail ‘current_wallpaper.jpg’. Sisaldab praeguseid WhatsAppi taustapilte. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Vanemates rakenduse versioonides kasutatakse faili ‘wallpaper’, mis asub teel: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Fail ‘blockedcontacts.dat’. Sisaldab teavet blokeeritud kontaktide kohta. Asub teel: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Fail ‘pw.dat’. Sisaldab krüpteeritud parooli. Asub teel: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Fail ‘net.whatsapp.WhatsApp.plist’ (või fail ‘group.net.whatsapp.WhatsApp.shared.plist’). Sisaldab WhatsApp konto profiili teavet. Fail asub teel: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Faili ‘group.net.whatsapp.WhatsApp.shared.plist’ sisu
Tuleb pöörata tähelepanu ka järgmistele kataloogidele:

• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Sisaldab kontaktide, gruppide miniatuurkujusid (failid, mille laiend on .thumb), WhatsAppi konto omaniku avatar (fail ‘Photo.jpg’).
• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ Message/Media/’. Sisaldab multimeediafaile ja nende miniatuurkujusid.
• Kataloog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Sisaldab programmi logi (fail ‘calls.log’) ja programmilogide varukoopiaid (fail ‘calls.backup.log’).
• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Sisaldab kleebiseid (failid formaadis ‘.webp’).
• Kataloog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Sisaldab programmi logisid.

WhatsAppi artefaktid Windowsis

WhatsAppi artefakte Windowsis võib leida mitmest kohast. Esiteks on need kataloogid, mis sisaldavad programmi täidetavaid ja abifaile (Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

Kataloogis ‘C:Users%User profile% AppDataLocalWhatsApp’ asub logifail ‘SquirrelSetup.log’, kus leidub teavet programmivärskenduste ja installatsiooni kohta.

Kataloogis ‘C:Users%User profile% AppDataRoamingWhatsApp’ asub mitu alamkausta:

Fail ‘main-process.log’ sisaldab teavet WhatsAppi programmi toimimise kohta.

Alamkaust ‘databases’ sisaldab faili ‘Databases.db’, kuid see fail ei sisalda mingit teavet vestluste ega kontaktide kohta.

Kriminaalsete uuringute seisukohalt on kõige huvitavamad failid, mis asuvad kataloogis ‘Cache’. Enamasti on need failid nimedega ‘f_*******’ (kus * — number vahemikus 0 kuni 9), sisaldades salastatud multimeedia faile ja dokumente, kuid nende seas on ka dekrüpteeritud faile. Erilist huvi pakuvad failid ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, mis asuvad samas alamkaustas. Failid ‘data_0’, ‘data_1’, ‘data_3’ sisaldavad väliseid linke edastatud salastatud multimeedia failidele ja dokumentidele.

Näide teabest, mis on failis ‘data_1’
Samuti võib fail ‘data_3’ sisaldada graafikafaile.

Fail ‘data_2’ sisaldab kontaktide avatari (need võivad olla taastatud failipealkirjade otsimise kaudu).

Avatare, mis on failis ‘data_2’:

Nii et arvuti mälus ei saa vestlusi leida, kuid saad leida:

• multimeedia faile;
• dokumente, mis on edastatud WhatsAppi kaudu;
• teavet konto omaniku kontaktide kohta.

WhatsAppi artefaktid MacOS-is

MacOS-is on võimalik leida WhatsAppi artefakte, mis on sarnased Windowsi operatsioonisüsteemi artefaktidele.

Programmi failid asuvad kataloogides:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile% Library Mobile Documents WhatsApp Accounts’
  Selles kataloogis asuvad alamkaustad, mille nimed on telefoninumbrid, mis on seotud WhatsAppi konto omanikuga.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  Selles kataloogis on teave programmi installatsiooni kohta.
• ‘C:Users%User profile%PicturesMediathek iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesMediathek iPhoto.photolibraryThumbnails’
  Nendes kataloogides on programmi teenusfailid, sealhulgas WhatsAppi kontaktide fotod ja miniatuurid.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  Selles kataloogis on mitu SQLite andmebaasi, mida kasutatakse andmete vahemälu jaoks.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  Selles kataloogis on mitu alamkatalooge:

  
  Kataloogis ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ leiduvad failid ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ ja failid nimedega ‘f_*******’ (kus * — number vahemikus 0 kuni 9). Teave nende failide sisu kohta on kirjeldatud jaotises „WhatsAppi artefaktid Windowsis”.

  Kataloogis ‘C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB’ võivad sisaldada multimeedia faile (failidel ei ole laiendeid).

  Fail ‘main-process.log’ sisaldab teavet WhatsAppi programmi toimimise kohta.

Allikad

1. WhatsApp Messengeri kriminaalanalüüs Android nutitelefonides, autor Cosimo Anglano, 2014.
2. Whatsappi kriminaalanalüüs: failisüsteemi ja andmebaaside uurimine Android ja iOS rakendustes, autor Ahmad Pratama, 2014.

Selles sarjas järgmised artiklid:

WhatsAppi krüptitud andmebaaside dešifreerimineArtikkel, kus on esitatud teave selle kohta, kuidas WhatsAppi krüptimisvõti genereeritakse, ja praktilised näited, mis näitavad, kuidas dešifreerida selle rakenduse krüptitud andmebaase.
WhatsAppi andmete ekstraktsioon pilvepoodidestArtikkel, kus räägime, milliseid WhatsAppi andmeid hoitakse pilves ja kirjeldame meetodeid nende andmete ekstraktsiooniks pilvepoodidest.
WhatsAppi andmete ekstraktsioon: praktilised näitedArtikkel, kus on samm-sammult kirjeldatud, milliste programmidega ja kuidas WhatsAppi andmete ekstraktsiooni erinevatelt seadmetelt teostada.

Allikas: habr.com