L'estrazione dei dati dai dispositivi Android diventa ogni giorno più complessa — talvolta anche , che da un iPhone. Igor Mikhailov, esperto del Laboratorio di Criminalistica Informatica di Group-IB, spiega cosa fare se non riesci ad estrarre i dati da uno smartphone Android con i metodi standard.
Diversi anni fa, io e i miei colleghi discutevamo delle tendenze nello sviluppo dei meccanismi di sicurezza nei dispositivi Android e siamo giunti alla conclusione che arriverà il momento in cui la loro analisi forense diventerà più difficile rispetto a quella dei dispositivi iOS. E oggi possiamo dire con certezza che quel momento è arrivato.
Di recente ho esaminato un Huawei Honor 20 Pro. Cosa pensate di cosa sono riuscito a estrarre dalla sua copia di backup, ottenuta tramite l'utilità ADB? Niente! Nel dispositivo ci sono molti dati: informazioni sulle chiamate, rubrica, SMS, messaggi nei servizi di messaggistica, email, file multimediali, ecc. Ma non puoi estrarre niente di tutto ciò. Una sensazione tremenda!
Cosa fare in una situazione del genere? Una buona soluzione è l'uso di utilità di backup proprietarie (Mi PC Suite per smartphone Xiaomi, Samsung Smart Switch per Samsung, HiSuite per Huawei).
In questo articolo esamineremo la creazione e l'estrazione di dati dai smartphone Huawei utilizzando l'utilità HiSuite e il loro successivo analisi tramite Belkasoft Evidence Center.
Quali tipi di dati sono inclusi nei backup HiSuite?
Nei backup HiSuite sono inclusi i seguenti tipi di dati:
- dati sugli account e le password (o token)
- contatti
- chiamate
- messaggi SMS e MMS
- file multimediali
- database
- documenti
- archivi
- file delle applicazioni (file con estensioni.odex, .so, .apk)
- informazioni dalle applicazioni (come Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, ecc.)
Esaminiamo più nel dettaglio come viene creato un tale backup e come analizzarlo con Belkasoft Evidence Center.
Creazione di un backup dello smartphone Huawei utilizzando l'utilità HiSuite
Per creare un backup con l'utilità proprietaria, è necessario scaricarla dal sito e installarla.
Pagina di download del programma HiSuite sul sito Huawei:
Per collegare il dispositivo al computer, utilizzare la modalità HDB (Huawei Debug Bridge). Sul sito Huawei o nell'app HiSuite c'è una guida dettagliata su come attivare la modalità HDB sul dispositivo mobile. Dopo aver attivato la modalità HDB, avviare l'app HiSuite sul dispositivo mobile e immettere il codice visualizzato in quest'applicazione nella finestra del programma HiSuite avviato sul computer.
Finestra di immissione del codice nella versione desktop di HiSuite:
Durante il processo di creazione del backup, sarà necessario inserire una password che verrà utilizzata per proteggere i dati estratti dalla memoria del dispositivo. Il backup creato sarà collocato al percorso C:/Users/%User profile%/Documents/HiSuite/backup/.
Backup dello smartphone Huawei Honor 20 Pro:
Analisi del backup di HiSuite tramite Belkasoft Evidence Center
Per analizzare il backup ottenuto utilizzando crea un nuovo caso. Quindi, come fonte dei dati, seleziona l'opzione Mobile Image. Nel menu che si apre, specifica il percorso della cartella dove si trova il backup dello smartphone e seleziona il file info.xml.
Indicazione del percorso del backup:
Nella finestra successiva, il programma ti chiederà di selezionare i tipi di artefatti da cercare. Dopo aver avviato la scansione, passa alla scheda Task Manager e fai clic sul pulsante Configure task, poiché il programma attende l'inserimento della password per decrittografare il backup crittografato.
Pulsante Configure task:
Dopo la decrittografia del backup, Belkasoft Evidence Center ti chiederà di specificare nuovamente i tipi di artefatti che devono essere estratti. Al termine dell'analisi, le informazioni sugli artefatti estratti possono essere visualizzate nelle schede Case Explorer e Overview .
Risultati dell'analisi del backup di Huawei Honor 20 Pro:
Analisi del backup di HiSuite tramite il programma "Mobile Forensics Expert"
Un altro programma di criminalistica che può estrarre dati dal backup di HiSuite è .
Per elaborare i dati presenti nel backup di HiSuite, fai clic sull'opzione Importa backup nella finestra principale del programma.
Sezione della finestra principale del programma "Mobile Forensics Expert":
Oppure nella sezione Importa seleziona il tipo di dati da importare Backup Huawei:
Nella finestra che si apre, specifica il percorso del file info.xml. All'avvio della procedura di estrazione apparirà una finestra che offrirà l'opzione di inserire una password nota per decriptare il backup di HiSuite oppure di utilizzare lo strumento Passware per cercare di recuperare tale password nel caso sia sconosciuta:
Il risultato dell'analisi del backup sarà una finestra del programma «Esperto di Criminalistica Mobile», che mostrerà i tipi di reperti estratti: chiamate, contatti, messaggi, file, cronologia eventi, dati delle applicazioni. Fai attenzione alla quantità di dati estratti da varie applicazioni tramite questo programma di criminalistica. È davvero enorme!
Elenco dei tipi di dati estratti dal backup di HiSuite nel programma «Esperto di Criminalistica Mobile»:
Decrittazione dei backup di HiSuite
Cosa fare se non hai questi fantastici programmi? In tal caso, puoi utilizzare uno script Python, sviluppato e mantenuto da Francesco Picasso, dipendente di Reality Net System Solutions. Puoi trovare questo script su , e una descrizione più dettagliata è in «Decrittatore di backup Huawei».
Una volta decrittato, il backup di HiSuite può essere importato e analizzato utilizzando strumenti di criminalistica classici (ad esempio, ) o manualmente.
Conclusioni
In questo modo, utilizzando l'utility di backup HiSuite, è possibile estrarre di gran lunga più dati dai telefoni Huawei rispetto all'estrazione dei dati da questi stessi dispositivi utilizzando l'utility ADB. Nonostante la vasta gamma di utility per lavorare con i telefoni cellulari, Belkasoft Evidence Center e «Esperto di Criminalistica Mobile» sono tra i pochi programmi di criminalistica che supportano l'estrazione e l'analisi dei backup di HiSuite.
Fonti
Fonte: habr.com
