WhatsApp peopes: kus ja kuidas saab avastada kriminaalistilisi artefakte?

Kas soovite teada, millised WhatsAppi kriminaalistilised artefaktid on erinevates operatsioonisüsteemides ja kus neid täpselt leida võib — siis olete jõudnud õigesse kohta. Käesolevas artiklis tutvustab Group-IB arvutikriminaalsuse labori spetsialist Igor Mihhailov ja avab WhatsAppi kriminaaluuringu publikatsioonide seeria, tutvustades, milliseid andmeid saab seadme analüüsimisel välja tuua.

Tuleb kohe märkida, et erinevates operatsioonisüsteemides hoitakse erinevat tüüpi WhatsAppi artefakte, ja kui ühe seadme uurija suudab välja võtta teatud tüüpi WhatsAppi andmeid, ei tähenda see sugugi, et sarnaseid andmeid saaks välja võtta teisest seadmest. Näiteks kui konfiskeeritakse Windowsi operatsioonisüsteemiga süsteemiblok, siis tõenäoliselt ei leita selle kettalt WhatsAppi jututubasid (välja arvatud iOS-seadmete varukoopiad, mida võib leida nendel samadel ketastel). Sülearvutite ja mobiilseadmete konfiskeerimise korral on omad eripärad. Räägime sellest lähemalt.

WhatsAppi artefaktid Android-seadmest

WhatsApp'i artefaktide välja tõmbamiseks Androidi operatsioonisüsteemiga seadmest peab uurijal olema superkasutajaõigus ('root') uuritavas seadmes või peab tal olema võimalus seadme füüsiline mälukoopia või failisüsteem muul moel hankida (näiteks teatud mobiiliseadme tarkvarauuenduste kaudu).

Rakenduse failid asuvad telefoni mälus kasutajaandmete salvestamiseks mõeldud partitsioonis. Reeglina on see partitsioon nimega 'userdata'. Alajaotused ja programmifailid asuvad teel: '/data/data/com.whatsapp/'.

Peamised failid, mis sisaldavad WhatsApp'i kriminaalsetest artefaktidest Androidi süsteemis, on andmebaasid 'wa.db' ja 'msgstore.db'.

Andmebaasis 'wa.db' asid on täielik kontaktide nimekiri WhatsApp'i kasutajalt, sealhulgas telefoninumber, kuvatatav nimi, ajatemplid ja muu teave, mis on registreerimise ajal sisestatud WhatsApp'i. Fail 'wa.db' asub teel: '/data/data/com.whatsapp/databases/' ja sellel on järgmine struktuur:

Andmebaasi kõige huvitavamad tabelid 'wa.db' uurijale on:

• 'wa_contacts'
  See tabel sisaldab kontaktide teavet: kontaktnumber WhatsAppis, staatuste teave, kasutajanime kuvamine, ajatempli andmed jne.

  Tabeli välimus:

  
  Tabeli struktuur

  Väljamees	Väärtus
  _id	kirje järjestusnumber (SQL tabelis)
  jid	WhatsAppi kontaktnumber, salvestatakse formaadis @s.whatsapp.net
  is_whatsapp_user	sisaldab '1', kui kontakt on tegelik WhatsAppi kasutaja, '0' vastupidisel juhul
  status	sisaldab kontakte staatust kuvavat teksti
  status_timestamp	sisaldab Unixi ajatemplit (ms) formaadis
  number	telefoninumber, mis on seotud kontaktiga
  raw_contact_id	kontaktide järjestusnumber
  display_name	kontaktide kuvamise nimi
  phone_type	telefoni tüüp
  phone_label	kontaktinumbri külge seotud silt
  unseen_msg_count	kontaktile saadetud, aga vastuvõtja poolt lugemata jäänud sõnumite arv
  photo_ts	sisaldab Unix'i ajatemplit
  thumb_ts	sisaldab Unix'i ajatemplit
  photo_id_timestamp	sisaldab Unixi ajatemplit (ms) formaadis
  given_name	välja väärtus vastab 'display_name' igas kontaktis
  wa_name	WhatsAppi kontaktinimi (kuvatakse kontaktiprofiilis määratud nimi)
  sort_name	kontaktinimi, mida kasutatakse sorteerimise operatsioonides
  nickname	WhatsAppi kontaktinimi (kuvatakse kontaktiprofiilis määratud nimi)
  ettevõte	ettevõte (kuvatakse kontaktiprofiilis määratud ettevõte)
  aadress	aadress (proua/härra; kuvatakse kontaktiprofiilis seatud adress)
  offset	nihe

• 'sqlite_sequence'
  See tabel sisaldab teavet kontaktide arvu kohta;
• 'android_metadata'
  See tabel sisaldab teavet WhatsAppi keele lokaliseerimise kohta.

Andmebaasis 'msgstore.db' sisaldab teavet edastatud sõnumite kohta, näiteks kontaktinumber, sõnumi tekst, sõnumi olek, ajatempli andmed, edastatud failide üksikasjad, mis on sõnumitega kaasas jne. Fail 'msgstore.db' asub teel: '/data/data/com.whatsapp/databases/' ja sellel on järgmine struktuur:

Faili kõige huvitavamad tabelid 'msgstore.db' uurijale on:

• 'sqlite_sequence'
  See tabel sisaldab üldteavet selle andmebaasi kohta, näiteks hoitavate sõnumite koguarv, vestluste koguarv jne.

  Tabeli välimus:

  

• 'message_fts_content'
  Sisaldab edastatud sõnumite teksti.

  Tabeli välimus:

  

• 'messages'
  See tabel sisaldab teavet, nagu kontaktinumber, sõnumi tekst, sõnumi olek, ajatempli andmed, edastatud failide üksikasjad, mis on sõnumitega kaasas.

  Tabeli välimus:

  
  Tabeli struktuur

  Väljamees	Väärtus
  _id	kirje järjestusnumber (SQL tabelis)
  key_remote_jid	WhatsAppi suhtluspartneri ID
  key_from_me	sõnumi suund: '0' – sisse tulev, '1' — välja minev
  key_id	unikaalne sõnumi identifikaator
  status	sõnumi staatus: ‘0’ – edastatud, ‘4’ – ootab serveril, ‘5’ – kohale saadetud, ‘6’ – kontrollsõnum, ‘13’ – sõnum on avatud saaja poolt (loetud)
  need_push	on ‘2’, kui see on massisõnum, muidu on väärtus ‘0’
  data	sõnumi tekst (kui parameeter ‘media_wa_type’ on ‘0’)
  timestamp	sisaldab Unix Epoch Time (ms) formaadis ajatemplit, väärtus võetakse seadme kellast
  media_url	sisaldab edastatava faili URL-i (kui parameeter ‘media_wa_type’ on ‘1’, ‘2’, ‘3’)
  media_mime_type	edastatava faili MIME-tüüp (kui parameeter ‘media_wa_type’ on ‘1’, ‘2’, ‘3’)
  media_wa_type	sõnumi tüüp: ‘0’ – tekst, ‘1’ – graafikafail, ‘2’ – helifail, ‘3’ – videofail, ‘4’ – kontaktikaart, ‘5’ – geodata
  media_size	edastatava faili suurus (kui parameeter ‘media_wa_type’ on ‘1’, ‘2’, ‘3’)
  media_name	edastatava faili nimi (kui parameeter ‘media_wa_type’ on ‘1’, ‘2’, ‘3’)
  media_caption	Sisaldab sõnu ‘audio’, ‘video’ vastavate väärtuste jaoks parameetrile ‘media_wa_type’ (kui parameeter ‘media_wa_type’ on ‘1’, ‘3’)
  media_hash	base64 formaadis kodeeritud hulk ülekantud failist, arvutatud HAS-256 algoritmi järgi (kui parameeter 'media_wa_type' on '1', '2' või '3')
  media_duration	meediafaili kestus sekundites (kui parameeter 'media_wa_type' on '1', '2' või '3')
  origin	on ‘2’, kui see on massisõnum, muidu on väärtus ‘0’
  latitude	geoinfo: laiusaste (kui parameeter 'media_wa_type' on '5')
  longitude	geoinfo: pikkusaste (kui parameeter 'media_wa_type' on '5')
  thumb_image	teenuseinfo
  remote_recource	saatja ID (ainult grupivestluste jaoks)
  received_timestamp	vastuvõtu aeg, sisaldab ajatemplit Unix Epoch Time (ms) formaadis, väärtus saadakse seadme kellalt (kui parameeter 'key_from_me' on '0', '-1' või muu väärtus)
  send_timestamp	ei kasutata, tavaliselt on väärtus '-1'
  receipt_server_timestamp	keskse vastuvõtu aeg serveriga, sisaldab ajatemplit Unix Epoch Time (ms) formaadis, väärtus saadakse seadme kellalt (kui parameeter 'key_from_me' on '1', '-1' või muu väärtus
  receipt_device_timestamp	sõnumi vastuvõtu aeg teise osaleja poolt, sisaldab ajatemplit Unix Epoch Time (ms) formaadis, väärtus saadakse seadme kellalt (kui parameeter 'key_from_me' on '1', '-1' või muu väärtus
  read_device_timestamp	sõnumi avamise (lugemise) aeg, sisaldab ajamärgistust Unix Epoch Time formaadis (ms), väärtus on saadud seadme kellaajast
  played_device_timestamp	sõnumi esitamise aeg, sisaldab ajamärgistust Unix Epoch Time formaadis (ms), väärtus on saadud seadme kellaajast
  raw_data	edastatava faili minipilt (kui parameeter ‘media_wa_type’ on ‘1’ või ‘3’)
  recipient_count	saajate arv (laiendatud sõnumite jaoks)
  participant_hash	kasutatakse geoinfo edastamisel
  starred	mitte kasutusel
  quoted_row_id	tundmatu, tavaliselt sisaldab väärtust ‘0’
  mentioned_jids	mitte kasutusel
  multicast_id	mitte kasutusel
  offset	nihe

  See väli ei ole ammendav. Erinevate WhatsAppi versioonide puhul võivad mõned väljad esineda või puududa. Samuti võivad olla olemas täiendavad väljad ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ Kui kaua aega kulub väljastamiseks?

• ‘messages_thumbnails’
  See tabel sisaldab teavet edastatud piltide ja ajamärgistuste kohta. Veerus ‘timestamp’ on aeg esitatud Unix Epoch Time formaadis (ms).
• ‘chat_list’
  See tabel sisaldab teavet vestluste kohta.

  Tabeli välimus:

  

WhatsAppi uurimisel Android-põhises mobiilis tuleb samuti tähelepanu pöörata järgmistele failidele:

• File ‘msgstore.db.cryptXX’ (kus XX on üks või kaks numbrit vahemikus 0 kuni 12, näiteks msgstore.db.crypt12). Sisaldab WhatsAppi krüpteeritud sõnumi varukoopia (varufail) msgstore.db). Fail (või failid) ‘msgstore.db.cryptXX’ asub teel: '/data/media/0/WhatsApp/Databases/' (virtuaalne SD-kaart), '/mnt/sdcard/WhatsApp/Databases/ (füüsiline SD-kaart)'.
• File 'key'. Sisaldab krüptograafilist võtit. Asub teel: '/data/data/com.whatsapp/files/'. Kasutatakse WhatsAppi krüpteeritud varukoopiate dekrüpteerimiseks.
• File 'com.whatsapp_preferences.xml'. Sisaldab teavet WhatsAppi konto profiili kohta. Fail asub teel: '/data/data/com.whatsapp/shared_prefs/'.

  Faili sisu fragment

  …
  9123456789 (telefoninumber, mis on seotud WhatsAppi kontoga)
  …
  2.17.395 (WhatsAppi versioon)
  …
  Hey there! I am using WhatsApp. (sõnum, mis kuvatakse konto olekuna)
  …
  Alex (konto omaniku nimi)
  … 

• File 'registration.RegisterPhone.xml'. Sisaldab teavet telefoninumbri kohta, mis on seotud WhatsAppi kontoga. Fail asub teel: '/data/data/com.whatsapp/shared_prefs/'.

  Faili sisu

• File ‘axolotl.db’. Sisaldab krüptograafilisi võtmeid ja muid andmeid, mis on vajalikud konto omaniku tuvastamiseks. Asub aadressil: '/data/data/com.whatsapp/databases/'.
• File ‘chatsettings.db’. Sisaldab rakenduse konfiguratsiooni teavet.
• File 'wa.db'. Sisaldab kontaktide detaile. Väga huvitav (kriminalistika aspektist) ja informatiivne andmebaas. Siit võib leida üksikasjalikku teavet eemaldatud kontaktide kohta.

Tasub tähelepanu pöörata ka järgmistele kataloogidele:

• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Sisaldab edastatud graafikafaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Sisaldab häälsõnumeid .OPUS formaadis failides.
• Kataloog ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Sisaldab graafilisi faile – kontaktide pilte.
• Kataloog '/data/data/com.whatsapp/files/Avatars/'. Sisaldab graafikafaile – kontaktide piltide minifaile. Need failid on laiendiga '.j', kuid nad on siiski JPEG (JPG) formaadi graafikafailid.
• Kataloog '/data/data/com.whatsapp/files/Avatars/'. Sisaldab graafikafaile – kasutaja konto avatarina määratud pilti ja selle miniatüüri.
• Kataloog '/data/data/com.whatsapp/files/Logs/'. Sisaldab programmi töölogi (fail 'whatsapp.log') ja programmi töölogide varukoopiaid (failid nimeformaadiga whatsapp-aasta-kuu-päev.1.log.gz).

WhatsApp'i logifailid:

Logifragmend2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 sent, 82 received / Media Messages: 1 sent (0 bytes), 0 received (9850158 bytes) / Offline Messages: 81 received (19522 msec average delay) / Message Service: 116075 bytes sent, 211729 bytes received / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes received / Google Drive: 0 bytes sent, 0 bytes received / Roaming: 1524 bytes sent, 1826 bytes received / Total Data: 118567 bytes sent, 10063417 bytes received
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Sisaldab vastuvõetud audiofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Sisaldab saadetud audiofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Sisaldab vastuvõetud pildifaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Sisaldab saadetud pildifaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Sisaldab vastuvõetud videofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Sisaldab saadetud videofaile.
• Kataloog ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Sisaldab WhatsAppi kontoomanikuga seotud pildifaile.
• Android-telefonide mälu säästmiseks võidakse osa WhatsAppi andmeid hoida SD-kaardil. SD-kaardi juurkataloogis asub kataloog ‘WhatsApp’, kus võivad olla järgmised selle programmi artefaktid:

  

• Kataloog ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Sisaldab koopiaid failidest, mis on saadetud teistele WhatsAppi kasutajatele.
• Kataloog ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Sisaldab kustutatud faile.
• Kataloog ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Sisaldab krüpteeritud varukoopiaid, mis saab dekrüpteerida vastava faili olemasolul. 'key', mäluanalüüsitud seadmes.

  Alamkaustas olevad failid ‘Databases’:

  

• Kataloog ‘Media’ (‘/mnt/sdcard/WhatsApp/Media/’). Sisaldab alamkaustu ‘WallPaper’, ‘WhatsApp Audio’, ‘WhatsApp Images’, ‘WhatsApp Profile Photos’, ‘WhatsApp Video’, ‘WhatsApp Voice Notes’, kus asuvad saadud ja edastatud meed failid (graafilised failid, videofailid, häälsõnumid, fotod, mis on seotud WhatsAppi konto omaniku profiiliga, taustapildid).
• Kataloog ‘Profile Pictures’ (‘/mnt/sdcard/WhatsApp/Profile Pictures/’). Sisaldab graafilisi faile, mis on seotud WhatsAppi konto omaniku profiiliga.
• Mõnikord võib SD-kaardil olla kataloog ‘files’ (‘/mnt/sdcard/WhatsApp/Files/’). Selles kataloogis asuvad failid, kus salvestatakse programmi seaded ja kasutaja eelistused.

Teatud mobiiliseadmete andmete säilitamise eripärad

Mõnedes Androidi operatsioonisüsteemiga mobiilseadmetes võib WhatsAppi artefakte hoida mujal. See tuleneb mobiilseadmest tulenevast rakenduste andmete salvestusruumi muutmisest. Näiteks Xiaomi mobiilseadmetes on olemas teise tööruumi loomise funktsioon („SecondSpace“). Selle funktsiooni aktiveerimisel muutub andmete asukoht. Kui tavalises Androidi mobiilseadmest salvestatakse kasutaja andmed katalooge '/data/user/0/' (mis viitab tuttavatele '/data/data/'), siis teises tööruumis hoitakse rakenduste andmed katalooge '/data/user/10/'. See tähendab, et faili asukoha näitel 'wa.db':

• tavalises Androidi nutitelefonis: /data/user/0/com.whatsapp/databases/wa.db’ (mis on ekvivalentne '/data/data/com.whatsapp/databases/wa.db');
• teises tööruumis Xiaomi nutitelefonis: '/data/user/10/com.whatsapp/databases/wa.db'.

WhatsAppi artefaktid iOS-seadmest

Erinevalt Androidi operatsioonisüsteemist edastatakse iOS-i rakenduses WhatsApp andmed varukoopia (iTunes backup) kaudu. Seetõttu ei nõua selle rakenduse andmete väljavõtmine failisüsteemi tõstmist ega uuritava seadme füüsilise mälu väljundit. Suur osa tähenduslikest teavet sisaldub andmebaasis. ‘ChatStorage.sqlite’, mis asub aadressil: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (mõnes programmis kuvatakse see tee kui ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Struktuur ‘ChatStorage.sqlite’:

Andmebaasi ‘ChatStorage.sqlite’ kõige informatiivsemad tabelid on ‘ZWAMESSAGE’ ja ‘ZWAMEDIAITEM’.

Tabeli välimus ‘ZWAMESSAGE’:

Tabeli ‘ZWAMESSAGE’ struktuur

Tabeli välimus ‘ZWAMEDIAITEM’:

Tabeli struktuur ‘ZWAMEDIAITEM’

Muud huvitavad andmebaasi tabelid ‘ChatStorage.sqlite’ on:

• ‘ZWAPROFILEPUSHNAME’. Seostab WhatsApp ID kontakti nimega;
• ‘ZWAPROFILEPICTUREITEM’. Seostab WhatsApp ID kontakti pildiga;
• ‘Z_PRIMARYKEY’. Tabel sisaldab teavet selle andmebaasi kohta, nagu hoitavate sõnumite koguarv, vestluste koguarv jne.

WhatsApp'i uurides iOS'i seadmes tuleb tähelepanu pöörata järgmistele failidele:

• File ‘BackedUpKeyValue.sqlite’. Sisaldab krüptograafilisi võtmeid ja muid andmeid, mis on vajalikud konto omaniku tuvastamiseks. Asub aadressil: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• File ‘ContactsV2.sqlite’. See sisaldab kasutaja kontaktide teavet, nagu nimi, telefoninumber, kontaktistaatus (tekstina), WhatsApp ID jne. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• File ‘consumer_version’. See sisaldab installitud WhatsApp'i rakenduse versiooni numbrit. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• File ‘current_wallpaper.jpg’. See sisaldab WhatsApp'i rakenduse praeguseid taustapilte. Asub teel: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Vana versiooni puhul kasutatakse faili ‘wallpaper’, mis asub teel: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• File ‘blockedcontacts.dat’. See sisaldab teavet blokeeritud kontaktide kohta. Asub teel: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• File ‘pw.dat’. See sisaldab krüpteeritud parooli. Asub teel: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• File ‘net.whatsapp.WhatsApp.plist’ (või fail ‘group.net.whatsapp.WhatsApp.shared.plist’). See sisaldab teavet WhatsApp'i konto profiili kohta. Fail asub teel: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Faili ‘group.net.whatsapp.WhatsApp.shared.plist’ sisu
Tasub tähelepanu pöörata ka järgmistele kataloogidele:

• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Sisaldab kontaktide ja gruppide (laiendiga failid .thumb), kontaktide ja WhatsAppi konto omaniku avataride miniatuure (fail ‘Photo.jpg’).
• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ Message/Media/’. Sisaldab multimeediafaile ja nende miniatuure
• Kataloog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Sisaldab programmi töölogi (fail ‘calls.log’) ja programmi töölogide varukoopiaid (fail ‘calls.backup.log’).
• Kataloog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Sisaldab kleebiseid (failid formaadis ‘.webp’).
• Kataloog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Sisaldab programmi töölogisid.

WhatsAppi artefaktid Windowsis

WhatsAppi artefakte Windowsis võib leida mitmest kohast. Esiteks, need on kaustad, mis sisaldavad programmikäitlus- ja abifaile (Windows 8/10 jaoks):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

Kaustas ‘C:Users%User profile% AppDataLocalWhatsApp’ asub logifail ‘SquirrelSetup.log’, mis sisaldab teavet täienduste kontrollimise ja programmi installimise kohta.

Kaustas ‘C:Users%User profile% AppDataRoamingWhatsApp’ asub mitu alamkausta:

File ‘main-process.log’ sisaldab teavet WhatsAppi töö kohta.

Alamkaust ‘databases’ sisaldab faili ‘Databases.db’, kuid see fail ei sisalda mingeid teateid ega kontakte.

Kriminalistika seisukohalt on kõige huvitavamad failid, mis asuvad kataloogis ‘Cache’. Peamiselt sisaldavad need failid nimesid ‘f_*******’ (kus * on number 0 kuni 9), mis sisaldavad krüpteeritud multimeedia faile ja dokumente, kuid nende seas on ka krüpteerimata faile. Erilist huvi pakuvad failid ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, mis asuvad samas alamkataloogis. Failid ‘data_0’, ‘data_1’, ‘data_3’ sisaldavad väliseid linke edastatud krüpteeritud multimeedia failidele ja dokumentidele.

Näide infost, mis sisaldub failis ‘data_1’
Samuti võib fail ‘data_3’ sisaldada graafilisi faile.

File ‘data_2’ sisaldab kontaktide avatarid (need võivad taastuda failipealkirjade kaudu otsimise teel).

Avatarid, mis on failis ‘data_2’:

Nii ei saa arvuti mälus leida chatsid, kuid leida saab:

• multimeedia faile;
• dokumente, mis on edastatud WhatsApp'i kaudu;
• teavet konto omaniku kontaktide kohta.

WhatsApp'i artefaktid MacOS'is

MacOS'is on võimalik leida WhatsApp'i artefakte, mis on sarnased Windowsi operatsioonisüsteemis leiduvatele.

Programmi failid asuvad kataloogides:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile% Library Mobile Documents WhatsApp Accounts’
  Selles kataloogis asuvad alamkataloogid, mille nimed esindavad telefoninumbreid, mis on seotud WhatsAppi konto omanikuga.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  Selles kataloogis on teave programmi installimise kohta.
• ‘C:Users%User profile%PicturesМедиатека iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesМедиатека iPhoto.photolibraryThumbnails’
  Nendes kataloogides on programmiga seotud abifailid, sealhulgas WhatsAppi kontaktide fotod ja miniatuurid.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  Selles kataloogis on mitmed SQLite andmebaasid, mida kasutatakse andmete vahemäluks.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  Selles kataloogis asuvad mitmed alamkataloogid:

  
  Kaustas ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ asuvad failid ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ ja failid, mille nimed ‘f_*******’ (kus * on number vahemikus 0–9). Teave selle kohta, milliseid andmeid need failid sisaldavad, on kirjeldatud jaotises „WhatsAppi artefaktid Windowsis“.

  Kaustas 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' võivad sisaldada multimeedia faile (failidel pole laiendeid).

  File ‘main-process.log’ sisaldab teavet WhatsAppi töö kohta.

Allikad

1. WhatsApp Messengeri kohtuekspertiis Androidi nutitelefonides, autor Cosimo Anglano, 2014.
2. Whatsappi kohtuekspertiis: failisüsteemide ja andmebaaside uurimine Androidi ja iOSi rakendustes, autor Ahmad Pratama, 2014.

Selle seeria järgmistes artiklites:

WhatsAppi krüpteeritud andmebaaside dekodeerimineArtikkel, milles antakse teavet selle kohta, kuidas WhatsAppi krüpteerimisvõti genereeritakse, ning praktilised näidised, mis näitavad, kuidas dekodeerida selle rakenduse krüpteeritud andmebaase.
WhatsApp'i andmete ekstraktsioon pilvehoidlatestArtikkel, milles räägime, milliseid andmeid WhatsApp hoiab pilves, ja kirjeldame nende andmete ekstraktsiooni meetodeid pilvehoidlatest.
WhatsAppi andmete ekstraktsioon: praktilised näidisedArtikkel, milles on samm-sammult kirjeldatud, milliste programmide abil ja kuidas ekstrakteerida WhatsAppi andmeid erinevatelt seadmetelt.

Allikas: habr.com