Android-seadmest andmete извлечение muutub iga päevaga üha keerulisemaks — mõnikord isegi , kui iPhone'ilt. Igor Mihhailov, Group-IB arvutite kriminaaltehnika labori spetsialist, selgitab, mida teha, kui te ei saa standardsete meetoditega Android-smartfonist andmeid извлечь.
Mõni aasta tagasi arutasin kolleegidega Android-seadmete turvamehanismide arengu suundi ja jõudsime järeldusele, et tuleb aeg, mil nende kriminaalsete uuringute läbiviimine muutub keerulisemaks kui iOS-seadmete puhul. Ja täna võib kindlalt öelda, et see aeg on käes.
Hiljuti uurisin Huawei Honor 20 Pro. Kuidas arvate, mida suutsin извлечь selle varukoopiast, mis saadi ADB tööriista abil? Mitte midagi! Seadmest leidub rohkelt andmeid: kõnede ajalugu, telefoniraamat, SMS, sõnumid messengereis, e-post, multimeediafailid jne. Ja te ei saa neist midagi извлечь. Kohutav tunne!
Kuidas sellises olukorras toimida? Hea lahendus on kasutada kaubanduslikke varundamise tööriistu (Mi PC Suite — Xiaomi nutitelefonide jaoks, Samsung Smart Switch — Samsungi jaoks, HiSuite — Huawei jaoks).
Selles artiklis käsitleme Huawei nutitelefonide andmete loomist ja eksemplaride eraldamist HiSuite utiliidi abil ning nende edasist analüüsi Belkasoft Evidence Centeri kaudu.
Millised andmetüübid sisalduvad HiSuite varukoopiate hulgas?
HiSuite varukoopiad sisaldavad järgmisi andmetüüpe:
- konto- ja parooliteave (või tokenid)
- kontaktid
- kutsed
- SMS- ja MMS-sõnumid
- emakeelne kiri
- multimeediafailid
- andmebaasid
- dokumendid
- arhiivifailid
- rakenduste failid (failitüüpidega.odex, .so, .apk)
- rakendustest saadud teave (näiteks Facebook, Google Drive, Google Photos, Google Mail, Google Maps, Instagram, WhatsApp, YouTube jne.)
Vaatame lähemalt, kuidas seda varukoopiat luuakse ja kuidas seda analüüsida Belkasoft Evidence Centeri abil.
Huawei nutitelefoni varukoopia loomine HiSuite utiliidi abil
Varukoopia loomiseks tuleb utiliidist see alla laadida ja installida.
HiSuite programmi allalaadimise leht Huawei veebisaidil:
Seadme ühendamiseks arvutiga kasutatakse HDB (Huawei Debug Bridge) režiimi. Huaweif veebilehelt või HiSuite programmist leiate üksikasjaliku juhendi, kuidas aktiveerida HDB režiim mobiilseadmest. Pärast HDB režiimi aktiveerimist käivitage mobiilseadmest rakendus HiSuite ja sisestage selle rakenduse ekraanil kuvatud kood HiSuite programmi aknasse, mis on arvutis avatud.
Koodi sisestamise aken HiSuite töölauaversioonis:
Varukoopia loomise protsessis on vaja sisestada parool, mida kasutatakse seadme mälu andmete kaitsmiseks. Loodud varukoopia asub teel C:/Users/%User profile%/Documents/HiSuite/backup/.
Huawei Honor 20 Pro nutitelefoni varukoopia:
HiSuite varukoopia analüüs Belkasoft Evidence Centeri abil.
Saadud varukoopia analüüsimiseks kasutades looge uus juhtum. Seejärel valige andmeallika valikuks Mobile Image. Avanevas menüüs määrake tee katalooge, kuhu nutitelefoni varukoopia on salvestatud, ja valige fail info.xml.
Varukoopia tee määramine:
Järgmises aknas pakub programm valida artefakti tüübid, mida tuleb otsida. Pärast skaneerimise käivitamist minge vahekaardile Task Manager ja klõpsake nuppu Konfigureeri ülesanne, kuna programm ootab salasõna sisestamist krüpteeritud varukoopia dekodeerimiseks.
Nupp Konfigureeri ülesanne:
Pärast varukoopia dekodeerimist palub Belkasoft Evidence Center uuesti määrata need artefakti tüübid, mida tuleb väl extractida. Analüüsi lõppedes on võimalik saadud artefaktide teavet vaadata vahekaartidel Case Explorer ja Ülevaade .
Huawei Honor 20 Pro varukoopia analüüsi tulemused:
HiSuite'i varukoopia analüüs, kasutades programmi "Mobiilne Kriminaalist Ekspert"
Teine kriminaalistlik programm, millega saab andmeid HiSuite'i varukoopiatest väl extractida, on .
Andmete töötlemiseks HiSuite'i varukoopias klõpsake valikut Importida varukoopiad programmi peamises aknas.
Mobiilse Kriminaalisti Eksperdi peamise akna fragment:
Või jaotises Import valige imporditava andme tüübid Huawei varukoopia:
Avaneb aknas, määrake faili tee info.xml. Protseduuri käivitamisel ilmub aken, kus pakutakse kas sisestada HiSuite'i varukoopia dekrüpteerimiseks tuntud parool või kasutada Passware'i tööriista, et proovida seda parooli leida, kui see on tundmatu:
Varukoopia analüüsi tulemusena kuvatakse programmi „Mobiilne Kriminaalist Ekspert” aken, kus on näidatud eraldatud artefaktide tüübid: kõned, kontaktid, sõnumid, failid, sündmuste voog, rakenduste andmed. Pange tähele, kui palju andmeid on selle kriminaalistlikku programmi abil erinevatest rakendustest eraldatud. Need kogused on lihtsalt hiiglaslikud!
Eraldatud andmetüüpide loetelu HiSuite'i varukoopiast programmis „Mobiilne Kriminaalist Ekspert”:
HiSuite'i varukoopiate dekrüptimine
Mida teha, kui teil pole neid imetegijaid programme? Sellisel juhul aitab teid Python'i skript, mille on loonud ja toetab Francesco Picasso, Reality Net System Solutionsi spetsialist. Selle skripti leiate , ning selle põhjalik kirjeldus on kuvatud „Huawei varukoopia dekrüptor”.
Edasi võib HiSuite'i dekrüpteeritud varukoopia importida ja analüüsida klassikaliste kriminaalsete tööriistade (näiteks ) või käsitsi.
Järeldused
Seega, kasutades HiSuite'i varundustööriista, on võimalik Huawei nutitelefonidest välja tõmmata kordades rohkem andmeid kui ADB tööriista kasutades samadest seadmetest. Hoolimata paljusid nutitelefonidega töötavaid tööriistu, on Belkasoft Evidence Center ja "Mobiilne Kriminaal spetsialist" vaid mõned põhjendatud kriminaalprogrammid, mis toetavad HiSuite'i varukoopiate vaatamist ja analüüsi.
Allikad
Allikas: habr.com
