Az adatkinyerés Android-eszközökről napról napra egyre nehezebb - néha még , mint az iPhone-ról. Igor Mihajlov, a Group-IB Számítógépes Kriminalisztikai Laboratórium szakértője, a következőket meséli el, mit tegyen, ha nem tud adatokat kinyerni egy Android okostelefonból a szokásos módon.
Néhány évvel ezelőtt kollégáimmal arról beszélgettünk, hogy az Android-eszközök biztonsági mechanizmusainak fejlődése azt fogja eredményezni, hogy a kriminalisztikai vizsgálatuk nehezebbé válik, mint az iOS-eszközök esetében. Ma magabiztosan mondhatjuk, hogy ez az idő elérkezett.
Nemrégiben a Huawei Honor 20 Pro-t vizsgáltam. Gondolja, mit sikerült kinyerni az ADB segédprogrammal készített biztonsági másolatából? Semmit! Az eszköz tele van adatokkal: hívásinformációk, telefonkönyv, SMS, üzenetek a csevegőalkalmazásokban, e-mail, multimédiás fájlok stb. És ezekből semmit sem tud kibányászni. Borzalmas érzés!
Mit tegyünk egy ilyen helyzetben? Jó megoldás a gyártói biztonsági mentési segédprogramok használata (Mi PC Suite - Xiaomi okostelefonokhoz, Samsung Smart Switch - Samsung számára, HiSuite - Huawei számára).
Ebben a cikkben megvizsgáljuk a Huawei okostelefonok biztonsági másolatának létrehozását és adatainak kinyerését a HiSuite használatával, valamint ezt követő elemzésüket a Belkasoft Evidence Center segítségével.
Milyen típusú adatok kerülnek a HiSuite biztonsági másolataiba?
A HiSuite biztonsági másolataiba a következő típusú adatok kerülnek:
- fiók- és jelszóadatok (vagy tokenek)
- kapcsolatok
- hívások
- SMS- és MMS-üzenetek
- e-mailek
- multimédiás fájlok
- adatbázis
- dokumentumok
- archívumok
- alkalmazásfájlok (fájlok kiterjesztései.odex, .so, .apk)
- alkalmazásokból származó információk (mint például Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube stb.)
Részletesebben is megvizsgáljuk, hogyan készül el egy ilyen biztonsági másolat és hogyan elemezhető a Belkasoft Evidence Center segítségével.
A Huawei okostelefon biztonsági másolatának létrehozása a HiSuite segédprogrammal
Az üzleti segédprogram létrehozásához először le kell tölteni a weboldalról, majd telepíteni kell.
A HiSuite program letöltési oldala a Huawei weboldalán:
A készülék számítógépre csatlakoztatásához HDB (Huawei Debug Bridge) módot használunk. A Huawei weboldalán vagy a HiSuite programban részletes útmutató található a HDB mód aktiválásáról a mobilkészüléken. A HDB mód aktiválása után indítsa el a HiSuite alkalmazást a mobilkészüléken, és írja be a programban megjelenő kódot a HiSuite számítógépen futó ablakába.
Kódbeviteli ablak a HiSuite asztali verziójában:
A biztonsági másolat létrehozásakor meg kell adni a jelszót, amely a készülék memóriájából kinyert adatok védelmére szolgál. A létrehozott biztonsági másolat a következő helyen lesz elérhető: C:/Users/%User profile%/Documents/HiSuite/backup/.
Huawei Honor 20 Pro okostelefon biztonsági másolata:
A HiSuite biztonsági másolatának elemzése a Belkasoft Evidence Center segítségével
A kapott biztonsági másolat elemzéséhez új ügyet kell létrehozni. Ezután az adatforrások közül válassza a Mobile Image. Az előugró menüben adja meg a könyvtár elérési útját, ahol a mobiltelefon biztonsági másolata található, és válassza ki a fájlt: info.xml.
A biztonsági másolat elérési útjának megadása:
A következő ablakban a program felajánlja a megtalálandó artefaktumtípusok kiválasztását. A vizsgálat megkezdése után lépjen a Task Manager fülre, és kattintson a Configure taskgombra, mivel a program jelszó megadását várja a titkosított biztonsági másolat dekódolásához.
Gomb Configure task:
A biztonsági másolat dekódolása után a Belkasoft Evidence Center újra kéri az kinyert artefaktumtípusok megadását. Az elemzés befejezése után az kinyert artefaktumok információját a Case Explorer és Áttekintés .
A Huawei Honor 20 Pro biztonsági másolatának elemzésének eredményei:
A HiSuite biztonsági másolatának elemzése a 'Mobil Kriminalista Szakértő' programmal
Egy másik kriminalisztikai program, amellyel a HiSuite biztonsági másolatából adatokat lehet kinyerni, a .
A HiSuite biztonsági másolatának feldolgozásához kattintson az 'Importálás biztonsági másolatok' lehetőségre a program főablakában. Importálás biztonsági másolatok A 'Mobil Kriminalista Szakértő' program főablakának részlete:
Vagy az 'Importálás' szekció alatt válassza ki az importálni kívánt adat típusát.
Huawei biztonsági másolat A megjelenő ablakban adja meg a fájl elérési útját. выберите тип импортируемых данных Резервная копия Huawei:
В открывшемся окне укажите путь до файла info.xmlA folyamat elindításakor megjelenik egy ablak, amelyben felajánlják, hogy adja meg a HiSuite biztonsági mentésének visszafejtéséhez szükséges jelszót, vagy alkalmazza a Passware cég eszközét, hogy megpróbálja kitalálni ezt a jelszót, ha az ismeretlen:
A biztonsági mentés elemzésének eredményeként a „Mobil Kémikus Expert” program ablakában láthatóak a kinyert artefaktumok típusai: hívások, kapcsolatok, üzenetek, fájlok, eseménysor, alkalmazásadatok. Vegye figyelembe az adat mennyiségét, amelyet ez a kriminalisztikai program különböző alkalmazásokból kinyert. Egyszerűen hatalmas!
A HiSuite biztonsági mentéséből kinyert adatfajták listája a „Mobil Kémikus Expert” programban:
HiSuite biztonsági mentések visszafejtése
Mi a teendő, ha nem rendelkezik ezekkel a csodálatos programokkal? Ebben az esetben segíteni fog egy Python-kript, amelyet Francesco Picasso, a Reality Net System Solutions munkatársa fejlesztett és támogatott. Ezt a szkriptet a következőkön találja: , részletesebb leírását pedig itt: „Huawei backup decryptor”.
A visszafejtett HiSuite biztonsági mentés később importálható és elemezhető klasszikus kriminalisztikai eszközökkel (például: ) vagy manuálisan.
Következtetések
Így tehát a HiSuite biztonsági mentési eszköz használatával a Huawei okostelefonokból sokkal több adatot lehet kinyerni, mint az ADB eszköz használatával ugyanazokból a készülékekből. A mobiltelefonokkal való munkához elérhető sok eszköz ellenére a Belkasoft Evidence Center és a „Mobil Kémikus Expert” az egyike azon kevés kriminalisztikai programoknak, amelyek támogatják a HiSuite biztonsági mentések kinyerését és elemzését.
Források
Forrás: habr.com
