WhatsApp au creux de la main : où et comment détecter les artefacts criminologiques ?

Vous souhaitez savoir quels types d'artefacts judiciaires de WhatsApp existent dans différents systèmes d'exploitation et où ils peuvent être trouvés ? Alors, ce site est fait pour vous. Cet article est présenté par un spécialiste du Laboratoire d'informatique judiciaire de Group-IB. Igor Mikhailov ouvre une série de publications sur l'enquête judiciaire de WhatsApp et sur les informations qui peuvent être obtenues lors de l'analyse d'un appareil.

Il convient de noter que différents types d'artefacts WhatsApp sont stockés dans différents systèmes d'exploitation, et si un chercheur peut extraire certains types de données WhatsApp d'un appareil, cela ne signifie pas nécessairement que des types similaires de données peuvent être extraits d'un autre appareil. Par exemple, si un bloc système sous Windows est saisi, il se peut que les discussions WhatsApp ne soient pas trouvées sur ses disques (à l'exception des sauvegardes d'appareils iOS qui peuvent être découvertes sur ces mêmes supports). Lors de la saisie de laptops et d'appareils mobiles, il y aura des particularités. Examinons cela plus en détail.

Artefacts WhatsApp sur un appareil Android

Pour extraire les artefacts WhatsApp d'un appareil fonctionnant sous Android, le chercheur doit avoir des droits d'administrateur (‘root’) sur l'appareil examiné ou être en mesure d'extraire d'une autre manière un dump physique de la mémoire de l'appareil, ou son système de fichiers (par exemple, en utilisant des vulnérabilités logicielles spécifiques à un appareil mobile).

Les fichiers de l'application sont situés dans la mémoire du téléphone dans la partition où sont stockées les données de l'utilisateur. En général, cette partition est appelée ‘userdata’. Les sous-répertoires et fichiers du programme se trouvent au chemin : ‘/data/data/com.whatsapp/’.

Les principaux fichiers contenant des artefacts judiciaires de WhatsApp sur Android sont les bases de données ‘wa.db’ et ‘msgstore.db’.

La base de données ‘wa.db’ contient la liste complète des contacts de l'utilisateur WhatsApp, y compris le numéro de téléphone, le nom affiché, les horodatages et toute autre information fournie lors de l'inscription à WhatsApp. Le fichier ‘wa.db’ se trouve au chemin : ‘/data/data/com.whatsapp/databases/’ et a la structure suivante :

Les tables les plus intéressantes de la base de données ‘wa.db’ pour le chercheur sont :

• ‘wa_contacts’
  Ce tableau contient des informations sur les contacts : l'identifiant du contact dans WhatsApp, les informations de statut, le nom d'affichage de l'utilisateur, les horodatages, etc.

  Apparence du tableau :

  
  Structure du tableau

  Nom du champ	Valeur
  _id	numéro d'ordre de l'enregistrement (dans la table SQL)
  jid	ID WhatsApp du contact, enregistré au format @s.whatsapp.net
  is_whatsapp_user	contient '1' si le contact correspond à un utilisateur WhatsApp réel, '0' sinon
  statut	contient le texte affiché dans le statut du contact
  status_timestamp	contient un horodatage au format Unix Epoch Time (ms)
  number	numéro de téléphone associé au contact
  raw_contact_id	numéro d'ordre du contact
  display_name	nom d'affichage du contact
  phone_type	type de téléphone
  phone_label	étiquette associée au numéro de contact
  unseen_msg_count	nombre de messages envoyés par le contact mais non lus par le destinataire
  photo_ts	contient un horodatage au format Unix Epoch Time
  thumb_ts	contient un horodatage au format Unix Epoch Time
  photo_id_timestamp	contient un horodatage au format Unix Epoch Time (ms)
  given_name	la valeur du champ correspond à 'display_name' pour chaque contact
  wa_name	nom du contact dans WhatsApp (nom affiché dans le profil du contact)
  sort_name	nom du contact utilisé dans les opérations de tri
  nickname	surnom du contact dans WhatsApp (surnom affiché dans le profil du contact)
  company	entreprise (entreprise affichée dans le profil du contact)
  title	salutation (madame/monsieur ; salutation affichée dans le profil du contact)
  offset	offset

• 'sqlite_sequence'
  Ce tableau contient des informations sur le nombre de contacts ;
• 'android_metadata'
  Ce tableau contient des informations sur la localisation linguistique de WhatsApp.

La base de données ‘msgstore.db’ contient des informations sur les messages envoyés, telles que le numéro de contact, le texte du message, le statut du message, les horodatages, les détails des fichiers envoyés inclus dans les messages, etc. Fichier ‘msgstore.db’ se trouve au chemin : ‘/data/data/com.whatsapp/databases/’ et a la structure suivante :

Les tableaux les plus intéressants dans le fichier ‘msgstore.db’ pour le chercheur sont :

• 'sqlite_sequence'
  Ce tableau contient des informations générales sur cette base de données, telles que le nombre total de messages stockés, le nombre total de chats, etc.

  Apparence du tableau :

  

• 'message_fts_content'
  Contient le texte des messages envoyés.

  Apparence du tableau :

  

• 'messages'
  Ce tableau contient des informations telles que le numéro de contact, le texte du message, le statut du message, les horodatages, les détails des fichiers envoyés inclus dans les messages.

  Apparence du tableau :

  
  Structure du tableau

  Nom du champ	Valeur
  _id	numéro d'ordre de l'enregistrement (dans la table SQL)
  key_remote_jid	ID WhatsApp de la personne en communication
  key_from_me	direction du message : '0' – entrant, '1' — sortant
  key_id	identifiant unique du message
  statut	statut du message : '0' – livré, '4' – en attente, le serveur'5' – reçu à destination, '6' – message de contrôle, '13' – message ouvert par le destinataire (lu)
  need_push	a une valeur '2' si c'est un message de diffusion, sinon contient '0'
  data	texte du message (lorsque le paramètre 'media_wa_type' est égal à '0')
  timestamp	contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil
  media_url	contient l'URL du fichier transmis (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  media_mime_type	type MIME du fichier transmis (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  media_wa_type	type de message : '0' – texte, '1' – fichier graphique, '2'- fichier audio, '3' – fichier vidéo, '4' – carte de contact, '5' – données géographiques
  media_size	taille du fichier transmis (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  media_name	nom du fichier transmis (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  media_caption	contient les mots 'audio', 'video' pour les valeurs correspondantes du paramètre 'media_wa_type' (lorsque le paramètre 'media_wa_type' est égal à '1', '3')
  media_hash	hachage du fichier transmis codé en base64, calculé par l'algorithme HAS-256 (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  media_duration	durée en secondes du fichier multimédia (lorsque le paramètre 'media_wa_type' est égal à '1', '2', '3')
  origin.	a une valeur '2' si c'est un message de diffusion, sinon contient '0'
  latitude	données géographiques : latitude (lorsque le paramètre 'media_wa_type' est égal à '5')
  longitude	données géographiques : longitude (lorsque le paramètre 'media_wa_type' est égal à '5')
  thumb_image	informations de service
  remote_recource	ID de l'expéditeur (uniquement pour les chats de groupe)
  received_timestamp	heure de réception, contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil (lorsque le paramètre 'key_from_me' a '0', '-1' ou une autre valeur)
  send_timestamp	non utilisé, a généralement la valeur '-1'
  receipt_server_timestamp	heure de réception par le serveur central, contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil (lorsque le paramètre 'key_from_me' a '1', '-1' ou une autre valeur) serveurreceipt_device_timestamp
  heure de réception du message par un autre abonné, contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil (lorsque le paramètre 'key_from_me' a '1', '-1' ou une autre valeur)	read_device_timestamp
  read_device_timestamp	le temps d'ouverture (de lecture) du message, contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil
  played_device_timestamp	le temps de lecture du message, contient un horodatage au format Unix Epoch Time (ms), la valeur est prise à partir de l'horloge de l'appareil
  raw_data	miniature du fichier transmis (lorsque le paramètre ‘media_wa_type’ est égal à ‘1’ ou ‘3’)
  recipient_count	nombre de destinataires (pour les messages de diffusion)
  participant_hash	utilisé lors de l'envoi de messages avec des données de localisation
  starred	non utilisé
  quoted_row_id	inconnu, contient généralement la valeur ‘0’
  mentioned_jids	non utilisé
  multicast_id	non utilisé
  offset	offset

  Cette liste de champs n'est pas exhaustive. Pour différentes versions de WhatsApp, certains champs peuvent être présents ou absents. D'autres champs peuvent également être présents ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ etc.

• ‘messages_thumbnails’
  Cette table contient des informations sur les images transmises et les horodatages. Dans la colonne ‘timestamp’, le temps est indiqué au format Unix Epoch Time (ms).
• ‘chat_list’
  Cette table contient des informations sur les discussions.

  Apparence du tableau :

  

Lors de l'examen de WhatsApp sur un appareil mobile sous Android, il faut également prêter attention aux fichiers suivants :

• Le fichier ‘msgstore.db.cryptXX’ (où XX est un ou deux chiffres de 0 à 12, par exemple, msgstore.db.crypt12). Contient une sauvegarde chiffrée des messages WhatsApp (sauvegarde du fichier msgstore.db). Le fichier (ou les fichiers) ‘msgstore.db.cryptXX’ se trouve au chemin : ‘/data/media/0/WhatsApp/Databases/’ (carte SD virtuelle), ‘/mnt/sdcard/WhatsApp/Databases/’ (carte SD physique).
• Le fichier ‘key’. Contient la clé cryptographique. Disponible à l'emplacement : ‘/data/data/com.whatsapp/files/’. Utilisé pour déchiffrer les sauvegardes chiffrées de WhatsApp.
• Le fichier ‘com.whatsapp_preferences.xml’. Contient des informations sur le profil du compte WhatsApp. Le fichier est situé à l'emplacement : ‘/data/data/com.whatsapp/shared_prefs/’.

  Extrait du contenu du fichier

  …
  9123456789 (numéro de téléphone associé au compte WhatsApp)
  …
  2.17.395 (version de WhatsApp)
  …
  Hey there! I am using WhatsApp. (message affiché dans le statut du compte)
  …
  Alex (nom du propriétaire du compte)
  … 

• Le fichier ‘registration.RegisterPhone.xml’. Contient des informations sur le numéro de téléphone associé au compte WhatsApp. Le fichier est situé à l'emplacement : ‘/data/data/com.whatsapp/shared_prefs/’.

  Contenu du fichier

• Le fichier ‘axolotl.db’. Contient des clés cryptographiques et d'autres données nécessaires à l'identification du propriétaire du compte. Se trouve à l'emplacement : ‘/data/data/com.whatsapp/databases/’.
• Le fichier ‘chatsettings.db’. Contient des informations sur la configuration de l'application.
• Le fichier ‘wa.db’. Contient des détails sur les contacts. Une base de données très intéressante (d'un point de vue judiciaire) et informative. Elle peut contenir des informations détaillées sur les contacts supprimés.

Il faut également prêter attention aux répertoires suivants :

• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Contient des fichiers graphiques transmis.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Contient des messages vocaux dans des fichiers au format .OPUS.
• Le répertoire ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Contient des fichiers graphiques – images des contacts.
• Le répertoire ‘/data/data/com.whatsapp/files/Avatars/’. Contient des fichiers graphiques – miniatures de l'image des contacts. Ces fichiers ont l'extension ‘.j’, mais restent des fichiers graphiques au format JPEG (JPG).
• Le répertoire ‘/data/data/com.whatsapp/files/Avatars/’. Contient des fichiers graphiques – image et miniature de l'image définie comme avatar par le propriétaire du compte.
• Le répertoire ‘/data/data/com.whatsapp/files/Logs/’. Contient le journal d'activité du programme (fichier ‘whatsapp.log’) et des sauvegardes des journaux d'activité (fichiers nommés au format whatsapp-aaaa-mm-jj.1.log.gz).

Fichiers journaux de WhatsApp :

Fragment du journal2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] notification d'appel manqué/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] notification d'appel manqué/mise à jour annuler vrai
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/charger-moi
2017-01-10 09:37:09.772 LL_I D [1:main] fichier de mot de passe manquant ou illisible
2017-01-10 09:37:09.782 LL_I D [1:main] statistiques Messages Textuels : 59 envoyés, 82 reçus / Messages Média : 1 envoyé (0 octets), 0 reçu (9850158 octets) / Messages Hors ligne : 81 reçus (19522 msec de délai moyen) / Service de message : 116075 octets envoyés, 211729 octets reçus / Appels Voip : 1 appel sortant, 0 appel entrant, 2492 octets envoyés, 1530 octets reçus / Google Drive : 0 octets envoyés, 0 octets reçus / Roaming : 1524 octets envoyés, 1826 octets reçus / Données Totales : 118567 octets envoyés, 10063417 octets reçus
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/rafraîchir-l'état-des-médias/écriture-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialiser/ minuterie/arrêter : 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/vérifierla santé
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Contient les fichiers audio reçus.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Contient les fichiers audio envoyés.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Contient les fichiers graphiques reçus.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Contient les fichiers graphiques envoyés.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Contient les fichiers vidéo reçus.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Contient les fichiers vidéo envoyés.
• Le répertoire ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Contient les fichiers graphiques associés au propriétaire du compte WhatsApp.
• Pour économiser de l'espace sur les smartphones Android, certaines données WhatsApp peuvent être stockées sur une carte SD. Sur la carte SD, à la racine, se trouve le répertoire ‘WhatsApp’, où les artefacts de ce programme peuvent être trouvés :

  

• Le répertoire ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Contient des copies de fichiers qui ont été transférés à d'autres utilisateurs WhatsApp.
• Le répertoire ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Contient des fichiers supprimés.
• Le répertoire ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Contient des sauvegardes chiffrées. Elles peuvent être déchiffrées avec un fichier ‘key’, extrait de la mémoire de l'appareil analysé.

  Fichiers situés dans le sous-répertoire ‘Databases’:

  

• Le répertoire ‘Média’ (‘/mnt/sdcard/WhatsApp/Média/’). Contient des sous-répertoires ‘Mur d'images’, ‘Audio WhatsApp’, ‘Images WhatsApp’, ‘Photos de profil WhatsApp’, ‘Vidéo WhatsApp’, ‘Notes vocales WhatsApp’, dans lesquels se trouvent les fichiers multimédias reçus et envoyés (fichiers graphiques, fichiers vidéo, messages vocaux, photos, associés au profil du propriétaire du compte WhatsApp, fonds d'écran).
• Le répertoire ‘Photos de profil’ (‘/mnt/sdcard/WhatsApp/Photos de profil/’). Contient des fichiers graphiques associés au profil du propriétaire du compte WhatsApp.
• Parfois, une carte SD peut contenir un répertoire ‘fichiers’ (‘/mnt/sdcard/WhatsApp/Fichiers/’). Dans ce répertoire se trouvent des fichiers qui contiennent les paramètres du programme et les préférences de l'utilisateur.

Particularités du stockage des données sur certains modèles de dispositifs mobiles

Sur certains modèles de dispositifs mobiles fonctionnant sous Android, il est possible que les artefacts WhatsApp soient stockés à un autre endroit. Cela est dû au changement de l'espace de stockage des données des applications par le logiciel système du dispositif mobile. Par exemple, sur les dispositifs mobiles Xiaomi, il existe une fonctionnalité de création d'un deuxième espace de travail («SecondSpace»). Lors de l'activation de cette fonction, la localisation des données change. Ainsi, si sur un dispositif mobile classique sous Android, les données de l'utilisateur sont stockées dans le répertoire ‘/data/user/0/’ (ce qui est un lien vers le courant ‘/data/data/’), dans le deuxième espace de travail, les données des applications sont stockées dans le répertoire ‘/data/user/10/’. C'est-à-dire, à titre d'exemple de localisation du fichier ‘wa.db’:

• dans un smartphone classique fonctionnant sous Android : /data/user/0/com.whatsapp/databases/wa.db’ (ce qui équivaut à ‘/data/data/com.whatsapp/databases/wa.db’);
• dans le deuxième espace de travail d'un smartphone Xiaomi : ‘/data/user/10/com.whatsapp/databases/wa.db’.

Artefacts WhatsApp sur un dispositif iOS

Contrairement à Android, sur iOS, les données de l'application WhatsApp sont transmises à une sauvegarde (sauvegarde iTunes). Par conséquent, l'extraction des données de cette application ne nécessite pas l'extraction du système de fichiers ou la création d'un vidage physique de la mémoire du dispositif étudié. La plus grande partie des informations significatives se trouve dans la base de données ‘ChatStorage.sqlite’, qui se situe à l'emplacement : ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (dans certains programmes, cet emplacement est affiché comme ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Structure ‘ChatStorage.sqlite’:

Les tables les plus informatives dans la base de données ‘ChatStorage.sqlite’ sont ‘ZWAMESSAGE’ et ‘ZWAMEDIAITEM’.

Apparence de la table ‘ZWAMESSAGE’:

Structure de la table ‘ZWAMESSAGE’

Apparence de la table ‘ZWAMEDIAITEM’:

Structure de la table ‘ZWAMEDIAITEM’

D'autres tableaux de base de données intéressants ‘ChatStorage.sqlite’ are:

• ‘ZWAPROFILEPUSHNAME’. Relie l'ID WhatsApp au nom du contact ;
• ‘ZWAPROFILEPICTUREITEM’. Relie l'ID WhatsApp à l'image de profil du contact ;
• ‘Z_PRIMARYKEY’. Le tableau contient des informations générales sur cette base de données, telles que le nombre total de messages stockés, le nombre total de chats, etc.

De plus, lors de l'examen de WhatsApp sur un appareil mobile fonctionnant sous iOS, il convient de prêter attention aux fichiers suivants :

• Le fichier ‘BackedUpKeyValue.sqlite’. Contient des clés cryptographiques et d'autres données nécessaires à l'identification du propriétaire du compte. Se trouve à l'emplacement : /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Le fichier ‘ContactsV2.sqlite’. Contient les informations de contact de l'utilisateur, telles que nom complet, numéro de téléphone, statut de contact (sous forme de texte), ID WhatsApp, etc. Situé à l'emplacement : /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Le fichier ‘consumer_version’. Contient le numéro de version de l'application WhatsApp installée. Situé à l'emplacement : /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Le fichier ‘current_wallpaper.jpg’. Contient le fond d'écran actuel de l'application WhatsApp. Situé à l'emplacement : /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Dans les anciennes versions de l'application, le fichier utilisé est ‘wallpaper’, situé à l'emplacement : ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Le fichier ‘blockedcontacts.dat’. Contient des informations sur les contacts bloqués. Situé à l'emplacement : /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Le fichier ‘pw.dat’. Contient le mot de passe chiffré. Situé à l'emplacement : ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Le fichier ‘net.whatsapp.WhatsApp.plist’ (ou le fichier ‘group.net.whatsapp.WhatsApp.shared.plist’). Contient des informations sur le profil du compte WhatsApp. Le fichier est situé à l'emplacement : ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Le contenu du fichier ‘group.net.whatsapp.WhatsApp.shared.plist’
Il faut également prêter attention aux répertoires suivants :

• Le répertoire ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Contient des miniatures de contacts, de groupes (fichiers avec l'extension .thumb), des avatars de contacts, avatar du propriétaire du compte WhatsApp (fichier ‘Photo.jpg’).
• Le répertoire ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ Message/Media/’. Contient les fichiers multimédias et leurs vignettes
• Le répertoire ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Contient le journal d'activité de l'application (fichier ‘calls.log’) et des sauvegardes des journaux d'activité de l'application (fichier ‘calls.backup.log’).
• Le répertoire ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Contient des stickers (fichiers au format ‘.webp’).
• Le répertoire ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Contient les journaux d'activité de l'application.

Artifacts WhatsApp sur Windows

Les artefacts WhatsApp sur Windows peuvent être trouvés à plusieurs endroits. Tout d'abord, ce sont les répertoires contenant les fichiers exécutables et auxiliaires de l'application (pour Windows 8/10) :

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

Dans le répertoire ‘C:Users%User profile% AppDataLocalWhatsApp’ se trouve le fichier journal ‘SquirrelSetup.log’, qui contient des informations sur la vérification des mises à jour et l'installation du programme.

Dans le répertoire ‘C:Users%User profile% AppDataRoamingWhatsApp’ il contient plusieurs sous-répertoires :

Le fichier ‘main-process.log’ contient des informations sur le fonctionnement du programme WhatsApp.

Sous-répertoire ‘databases’ contient le fichier ‘Databases.db’, mais ce fichier ne contient aucune information sur les chats ou les contacts.

Les fichiers les plus intéressants d'un point de vue forensique sont ceux qui se trouvent dans le répertoire ‘Cache’. Ce sont principalement des fichiers nommés ‘f_*******’ où * est un chiffre de 0 à 9, contenant des fichiers multimédia et des documents chiffrés, mais parmi eux se trouvent également des fichiers non chiffrés. Les fichiers ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, qui se trouvent dans ce même sous-répertoire, sont particulièrement intéressants. Les fichiers ‘data_0’, ‘data_1’, ‘data_3’ contiennent des liens externes vers des fichiers multimédia chiffrés et des documents transmis.

Un exemple d'informations contenues dans le fichier ‘data_1’
Le fichier ‘data_3’ peut également contenir des fichiers graphiques.

Le fichier ‘data_2’ contient les avatars des contacts (peuvent être récupérés par des recherches dans les noms de fichiers).

Les avatars contenus dans le fichier ‘data_2’:

Ainsi, il n'est pas possible de trouver les chats eux-mêmes dans la mémoire de l'ordinateur, mais il est possible de retrouver :

• des fichiers multimédia ;
• des documents échangés via WhatsApp ;
• des informations sur les contacts du titulaire du compte.

Artefacts WhatsApp sur MacOS

Sur MacOS, il est possible de trouver des types d'artefacts WhatsApp similaires à ceux présents sur Windows.

Les fichiers du programme se trouvent dans les répertoires :

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile%Library Mobile Documents WhatsApp Accounts’
  Dans ce répertoire se trouvent des sous-répertoires, dont les noms sont les numéros de téléphone associés au titulaire du compte WhatsApp.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  Dans ce répertoire se trouvent des informations sur l'installation du programme.
• ‘C:Users%User profile%PicturesMédiathèque iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesMédiathèque iPhoto.photolibraryThumbnails’
  Ces répertoires contiennent des fichiers système de l'application, y compris des photos et des miniatures des contacts WhatsApp.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  Ce répertoire contient plusieurs bases de données SQLite, utilisées pour la mise en cache des données.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  Ce répertoire contient plusieurs sous-répertoires :

  
  Dans le répertoire ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ contiennent des fichiers ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ et des fichiers avec des noms ‘f_*******’ (où * est un chiffre de 0 à 9). Les informations concernant le contenu de ces fichiers sont décrites dans la section « Artefacts WhatsApp sous Windows ».

  Dans le répertoire ‘C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB’ peuvent contenir des fichiers multimédias (les fichiers n'ont pas d'extensions).

  Le fichier ‘main-process.log’ contient des informations sur le fonctionnement du programme WhatsApp.

Sources

1. Analyse forensic de WhatsApp Messenger sur les smartphones Android, par Cosimo Anglano, 2014.
2. Forensique de WhatsApp : Exploration du système de fichiers et des bases de données sur les applications Android et iOS par Ahmad Pratama, 2014.

Dans les prochains articles de cette série :

Décryptage des bases de données chiffrées de WhatsAppArticle dans lequel nous fournirons des informations sur la manière dont la clé de chiffrement de WhatsApp est générée, avec des exemples pratiques montrant comment déchiffrer les bases de données chiffrées de cette application.
Extraction des données WhatsApp depuis les stocks en cloudArticle dans lequel nous expliquerons quelles données WhatsApp sont stockées dans le cloud et décrirons les méthodes d'extraction de ces données depuis des stocks en cloud.
Extraction des données WhatsApp : exemples pratiquesArticle dans lequel nous décrirons étape par étape quels programmes utiliser et comment extraire les données WhatsApp de divers appareils.

Source : habr.com