🥇ניתוח משפטי של גיבויים HiSuite

חילוץ נתונים ממכשירי אנדרואיד הופך לקשה יותר מדי יום - לפעמים אפילו קשה יותרמאשר מהאייפון. איגור מיכאילוב, מומחה במעבדה לזיהוי פלילי מחשבים Group-IB, אומר לך מה לעשות אם אינך יכול לחלץ נתונים מסמארטפון אנדרואיד שלך בשיטות סטנדרטיות.

לפני מספר שנים, עמיתיי ואני דנו במגמות בפיתוח מנגנוני אבטחה במכשירי אנדרואיד והגענו למסקנה שיבוא הזמן שבו החקירה המשפטית שלהם תהפוך לקשה יותר מאשר עבור מכשירי iOS. והיום אנחנו יכולים לומר בביטחון שהזמן הזה הגיע.

לאחרונה סקרתי את Huawei Honor 20 Pro. מה לדעתך הצלחנו לחלץ מהגיבוי שלו שהושג באמצעות כלי השירות ADB? שום דבר! המכשיר מלא בנתונים: מידע שיחות, ספר טלפונים, SMS, הודעות מיידיות, מייל, קבצי מולטימדיה וכו'. ואתה לא יכול להוציא שום דבר מזה. הרגשה נוראית!

מה לעשות במצב כזה? פתרון טוב הוא להשתמש בכלי גיבוי קנייניים (Mi PC Suite עבור סמארטפונים של Xiaomi, Samsung Smart Switch עבור Samsung, HiSuite עבור Huawei).

במאמר זה נבחן את היצירה והחילוץ של נתונים מסמארטפונים של Huawei באמצעות כלי השירות HiSuite וניתוחם לאחר מכן באמצעות Belkasoft Evidence Center.

אילו סוגי נתונים כלולים בגיבויים של HiSuite?

סוגי הנתונים הבאים כלולים בגיבויים של HiSuite:

נתונים על חשבונות וסיסמאות (או אסימונים)
קשר
אתגרים
הודעות SMS ו-MMS
דואר אלקטרוני
קבצי מולטימדיה
מאגרי מידע
תיעוד
אַרְכִיוֹן
קבצי יישומים (קבצים עם סיומות.odex, .לכן, . Apk)
מידע מיישומים (כגון Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, וכו')

הבה נבחן ביתר פירוט כיצד נוצר גיבוי כזה וכיצד לנתח אותו באמצעות Belkasoft Evidence Center.

גיבוי סמארטפון Huawei באמצעות כלי השירות HiSuite

כדי ליצור עותק גיבוי עם כלי עזר קנייני, עליך להוריד אותו מהאתר Huawei ולהתקין.

דף הורדה של HiSuite באתר Huawei:

כדי להתאים את המכשיר למחשב, נעשה שימוש במצב HDB (Huawei Debug Bridge). ישנן הנחיות מפורטות באתר Huawei או בתוכנית HiSuite עצמה כיצד להפעיל מצב HDB במכשיר הנייד שלך. לאחר הפעלת מצב HDB, הפעל את אפליקציית HiSuite במכשיר הנייד שלך והזן את הקוד המוצג ביישום זה בחלון התוכנית HiSuite הפועל במחשב שלך.

חלון הזנת קוד בגרסת שולחן העבודה של HiSuite:

במהלך תהליך הגיבוי, תתבקשו להזין סיסמה, שתשמש להגנה על הנתונים שחולצו מזיכרון המכשיר. עותק הגיבוי שנוצר יהיה ממוקם לאורך הנתיב C:/Users/%User profile%/Documents/HiSuite/backup/.

גיבוי לסמארטפון Huawei Honor 20 Pro:

ניתוח גיבוי HiSuite באמצעות Belkasoft Evidence Center

כדי לנתח את הגיבוי שנוצר באמצעות Belkasoft Evidence Center ליצור עסק חדש. לאחר מכן בחר כמקור הנתונים תמונה לנייד. בתפריט שנפתח, ציין את הנתיב לספרייה שבה נמצא גיבוי הסמארטפון ובחר את הקובץ info.xml.

ציון הנתיב לגיבוי:

בחלון הבא, התוכנית תבקש ממך לבחור את סוגי החפצים שאתה צריך למצוא. לאחר התחלת הסריקה, עבור אל הכרטיסייה מנהל המשימות ולחץ על הכפתור הגדר משימה, מכיוון שהתוכנית מצפה לסיסמה שתפענח את הגיבוי המוצפן.

כפתור הגדר משימה:

לאחר פענוח הגיבוי, Belkasoft Evidence Center יבקש ממך לציין מחדש את סוגי החפצים שיש לחלץ. לאחר השלמת הניתוח, ניתן לראות מידע על החפצים שחולצו בכרטיסיות סייר מקרה и סקירה כללית .

תוצאות ניתוח הגיבוי של Huawei Honor 20 Pro:

ניתוח גיבוי HiSuite באמצעות תוכנית Mobile Forensic Expert

תוכנית משפטית נוספת שניתן להשתמש בה כדי לחלץ נתונים מגיבוי HiSuite היא "מומחה לזיהוי פלילי לנייד".

לעיבוד נתונים המאוחסנים בגיבוי HiSuite, לחץ על האפשרות ייבוא גיבויים בחלון התוכנית הראשי.

קטע מהחלון הראשי של התוכנית "מומחה לזיהוי פלילי לנייד":

או במדור יבוא בחר את סוג הנתונים לייבא גיבוי Huawei:

בחלון שנפתח, ציין את הנתיב לקובץ info.xml. כאשר אתה מתחיל את הליך החילוץ, יופיע חלון שבו תתבקש להזין סיסמה ידועה כדי לפענח את הגיבוי של HiSuite, או להשתמש בכלי Passware כדי לנסות לנחש את הסיסמה הזו אם היא לא ידועה:

התוצאה של ניתוח עותק הגיבוי תהיה חלון התוכנית "מומחה לזיהוי פלילי לנייד", המציג את סוגי החפצים שחולצו: שיחות, אנשי קשר, הודעות, קבצים, הזנת אירועים, נתוני אפליקציה. שימו לב לכמות הנתונים שחולצה מיישומים שונים על ידי תוכנית משפטית זו. זה פשוט ענק!

רשימה של סוגי נתונים שחולצו מגיבוי HiSuite בתוכנית Mobile Forensic Expert:

פענוח גיבויים של HiSuite

מה לעשות אם אין לך את התוכניות הנפלאות האלה? במקרה זה, סקריפט של Python שפותח ומתוחזק על ידי פרנצ'סקו פיקאסו, עובד של Reality Net System Solutions, יעזור לך. אתה יכול למצוא את הסקריפט הזה ב GitHub, והתיאור המפורט יותר שלו נמצא ב статье "מפענח גיבוי של Huawei."

לאחר מכן ניתן לייבא ולנתח את גיבוי HiSuite המפוענח באמצעות כלי עזר קלאסיים לזיהוי פלילי (למשל. בדיקה לאחר המות) או באופן ידני.

ממצאים

לפיכך, באמצעות כלי הגיבוי HiSuite, אתה יכול לחלץ סדר גודל יותר נתונים מסמארטפונים של Huawei מאשר בעת חילוץ נתונים מאותם מכשירים באמצעות כלי השירות ADB. למרות המספר הרב של כלי עזר לעבודה עם טלפונים ניידים, Belkasoft Evidence Center ו- Mobile Forensic Expert הם בין התוכניות הפורנזיות הבודדות שתומכות בחילוץ וניתוח של גיבויים של HiSuite.

מקורות

מקור: www.habr.com

ניתוח משפטי של גיבויים של HiSuite