Andriod-seadmest andmete leidmine muutub iga päevaga üha keerulisemaks — vahel isegi , kui iPhone'ist. Igor Mihhailov, Group-IB arvutite kriminaaluuringute labori spetsialist, räägib, mida teha, kui te ei saa andmeid Android-smartfonilt tavaliste meetoditega välja võtta.
Mõni aasta tagasi arutasime kolleegidega Android-seadmete turvamehhanismide arengusuundi ja jõudsime järeldusele, et tuleb aeg, mil nende kriminaaluuringud muutuvad keerulisemaks kui iOS-seadmetel. Ja tänaseks võib kindlalt öelda, et see aeg on käes.
Hiljuti uurisin Huawei Honor 20 Pro. Kuidas arvate, mis õnnestus välja võtta selle varukoopiast, mille sain ADB tööriista abil? Mitte midagi! Seadmest leiti küll palju andmeid: kõnede info, telefoniraamat, SMS-id, suhtlusmessengeri vestlused, e-post, multimeediafailid jne. Aga te ei suuda neid midagi neist välja võtta. Kohutav tunne!
Kuidas aga sellises olukorras käituda? Hea lahendus on kasutada tootja varukoopiatööriistu (Mi PC Suite — Xiaomi nutitelefonide jaoks, Samsung Smart Switch — Samsungile, HiSuite — Huaweile).
Selles artiklis käsitleme HiSuite'i abil Huawei nutitelefonide varukoopia loomist ja andmete väljavõtmist ning nende analüüsi Belkasoft Evidence Center'is.
Millised andme tüübid satuvad HiSuite'i varukoopiate hulka?
HiSuite'i varukoopiatest leiate järgmised andmetüübid:
- kontode ja paroolide (või tokenite) andmed
- kontaktid
- kõned
- SMS- ja MMS-sõnumid
- e-kiri
- multimeediafailid
- andmebaasid
- dokumentide
- arhiveerimised
- rakendusefailid (failid, millel on laiendid.odex, .so, .apk)
- rakendustest saadud info (nt Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube jne.)
Vaadake põhjalikumalt, kuidas luua selline varukoopia ja kuidas seda analüüsida Belkasoft Evidence Center'is.
Huawei nutitelefoni varukoopia loomine HiSuite'i abil
Tootja tööriista varukoopia loomiseks peate selle allalaadima veebisaidilt ja installima.
HiSuite programmi allalaadimise leht Huawei veebisaidil:
Seadmise seadme ühendamiseks arvutiga kasutatakse HDB-režiimi (Huawei Debug Bridge). Huawei veebisaidil või HiSuite programmis on üksikasjalik juhend selle kohta, kuidas aktiveerida HDB-režiim mobiilseadmel. Pärast HDB-režiimi aktiveerimist käivitage mobiilseadmes rakendus HiSuite ja sisestage selles rakenduses kuvatud kood HiSuite programmile arvutis.
Koodi sisestamise aken HiSuite lauaversioonis:
Varukoopia loomise käigus tuleb sisestada parool, mida kasutatakse seadme mälust väljavõetud andmete kaitsmiseks. Loodud varukoopia asub teel C:/Users/%User profile%/Documents/HiSuite/backup/.
Huawei Honor 20 Pro nutitelefoni varukoopia:
HiSuite varukoopia analüüs Belkasoft Evidence Centeriga
Saadud varukoopia analüüsimiseks loomine uus juhtum. Seejärel valige andmeallikana valik Mobile Image. Avanevas menüüs määrake tee kataloogini, kus varukoopia nutitelefonist asub, ja valige fail info.xml.
Varukoopia tee määramine:
Järgmisel ekraanil pakub programm valida artefaktide tüübid, mida otsida. Skaneerimise käivitamisel minge vahekaardile Task Manager ja klõpsake nuppu Configure task, kuna programm ootab parooli sisestamist krüpteeritud varukoopia dekodeerimiseks.
Nupp Configure task:
Pärast varukoopia dekodeerimist palub Belkasoft Evidence Center uuesti määrata artefaktide tüübid, mida tuleb välja tõmmata. Analüüsi lõpetamisel saab saadud artefakte vaadata vahekaartidel Case Explorer ja Overview .
Huawei Honor 20 Pro varukoopia analüüsi tulemused:
HiSuite varukoopia analüüs programmi "Mobiilne Kriminaalist Ekspert" abil
Teine kriminaalprogramm, millega saab HiSuite varukoopiast andmeid välja tõmmata, on .
HiSuite varukoopia andmete töötlemiseks klõpsake suvandit Impordi varukoopiad programmi peamisest aknast.
Mobiilse Kriminaalisti Eksperdi programmi peamise akna fragment:
Või jaotises Import valige imporditavate andmete tüüp Huawei varukoopia:
Avanevas aknas määrake faili tee info.xml. Varude väljavõtmise protsessi käivitamisel kuvatakse aken, kus palutakse kas sisestada teadaolev parool HiSuite'i varukoopia dekrüptimiseks või kasutada Passware'i tööriista parooli leidmiseks, kui see on teadmata:
Varukoopia analüüsi tulemusena avaneb „Mobiilne Kriminaalist Ekspert“, kus kuvatakse väljavõetud artefaktide tüübid: kõned, kontaktid, sõnumid, failid, sündmuste voog, rakenduste andmed. Pange tähele, kui palju andmeid on erinevatest rakendustest selle kriminaalistika programmiga välja võetud. See on lihtsalt tohutu!
Väljavõetud andmete tüüpide loetelu HiSuite'i varukoopiast programmis „Mobiilne Kriminaalist Ekspert“:
HiSuite'i varukoopie dekrüptimine
Mida teha, kui need suurepärased programmid puuduvad? Sellisel juhul aitab teid Python-skript, mille on välja töötanud ja toetanud Francesco Picasso, Reality Net System Solutions'i töötaja. Selle skripti leiate , ning selle üksikasjalikuma kirjelduse leiate „Huawei varukoopia dekrüptor“.
Edasi võidakse dekrüpteeritud HiSuite'i varukoopia importida ja analüüsida klassikaliste kriminaalistika tööriistadega (nt ) või käsitsi.
Järeldused
Seega võimaldab HiSuite'i varundustööriista kasutamine Huawei nutitelefonidest extrakti andmeid tunduvalt rohkem kui sama seadmete andmete väljavõtmine ADB tööriista abil. Hoolimata paljusid mobiiltelefonide töötlusprogrammidest, on Belkasoft Evidence Center ja „Mobiilne Kriminaalist Ekspert“ mõned vähesed kriminaalistika programmid, mis toetavad HiSuite'i varukoopiate väljavõtmist ja analüüsi.
Allikad
Allikas: habr.com
