וואטסאפ בכף היד: היכן וכיצד ניתן למצוא חפצים משפטיים?

אם אתה רוצה לדעת אילו סוגים של חפצי ווטסאפ פורנזיים קיימים במערכות הפעלה שונות והיכן בדיוק ניתן למצוא אותם, אז זה המקום בשבילך. מאמר זה הוא ממומחה במעבדה לזיהוי פלילי מחשבים Group-IB איגור מיכאילוב מתחיל סדרת פוסטים על זיהוי פלילי של WhatsApp ואיזה מידע ניתן לקבל מניתוח המכשיר.

מיד נציין שמערכות הפעלה שונות מאחסנות סוגים שונים של חפצי ווטסאפ, ואם חוקר יכול לחלץ סוגים מסוימים של נתוני ווטסאפ ממכשיר אחד, אין זה אומר שניתן לחלץ סוגים דומים של נתונים ממכשיר אחר. לדוגמה, אם תוסר יחידת מערכת עם מערכת ההפעלה של Windows, צ'אטים של WhatsApp כנראה לא יימצאו על הדיסקים שלה (למעט עותקי גיבוי של מכשירי iOS, אותם ניתן למצוא באותם כוננים). לתפיסת מחשבים ניידים ומכשירים ניידים יהיו מאפיינים משלה. בואו נדבר על זה ביתר פירוט.

חפצי WhatsApp במכשיר אנדרואיד

על מנת לחלץ חפצי WhatsApp ממכשיר אנדרואיד, על החוקר להיות בעל זכויות משתמש-על ('שורש') במכשיר הנחקר או להיות מסוגל לחלץ בדרך אחרת dump פיזי של זיכרון המכשיר, או מערכת הקבצים שלו (לדוגמה, שימוש בפרצות תוכנה של מכשיר נייד ספציפי).

קבצי יישומים ממוקמים בזיכרון הטלפון בחלק שבו נשמרים נתוני המשתמש. ככלל, סעיף זה נקרא בשם 'מידע משתמש'. ספריות משנה וקבצי תוכניות ממוקמים לאורך הנתיב: '/data/data/com.whatsapp/'.

הקבצים העיקריים המכילים חפצים משפטיים של WhatsApp במערכת ההפעלה אנדרואיד הם מסדי נתונים 'wa.db' и 'msgstore.db'.

במסד הנתונים 'wa.db' מכיל את רשימת אנשי הקשר המלאה של משתמש WhatsApp, כולל מספר טלפון, שם תצוגה, חותמות זמן וכל מידע אחר הנמסר בעת ההרשמה ל-WhatsApp. קוֹבֶץ 'wa.db' ממוקם לאורך השביל: '/data/data/com.whatsapp/databases/' ובעל המבנה הבא:

הטבלאות המעניינות ביותר במסד הנתונים 'wa.db' עבור החוקר הם:

• 'wa_contacts'
  טבלה זו מכילה מידע ליצירת קשר: מזהה איש קשר של WhatsApp, מידע סטטוס, שם תצוגת משתמש, חותמות זמן וכו'.

  מראה השולחן:

  
  מבנה השולחן

  שם שדה	ערך
  _יד	מספר רצף רשומה (בטבלת SQL)
  jid	מזהה איש קשר WhatsApp, כתוב בפורמט <מספר טלפון>@s.whatsapp.net
  is_whatsapp_user	מכיל '1' אם איש הקשר מתאים למשתמש WhatsApp בפועל, '0' אחרת
  מצב	מכיל את הטקסט המוצג בסטטוס איש הקשר
  חותמת_זמן	מכיל חותמת זמן בפורמט Unix Epoch Time (ms).
  מספר	מספר הטלפון המשויך לאיש הקשר
  raw_contact_id	מספר סידורי ליצירת קשר
  display_name	שם התצוגה של איש הקשר
  phone_type	סוג הטלפון
  phone_label	תווית המשויכת למספר איש הקשר
  unseen_msg_count	מספר ההודעות שנשלחו על ידי איש קשר אך לא נקראו על ידי הנמען
  photo_ts	מכיל חותמת זמן בפורמט Unix Epoch Time
  thumb_ts	מכיל חותמת זמן בפורמט Unix Epoch Time
  photo_id_timestamp	מכיל חותמת זמן בפורמט Unix Epoch Time (ms).
  שם פרטי	ערך השדה תואם 'display_name' עבור כל איש קשר
  wa_name	שם איש הקשר בוואטסאפ (השם שצוין בפרופיל איש הקשר מוצג)
  sort_name	שם איש הקשר בשימוש בפעולות מיון
  כינוי	הכינוי של איש הקשר בוואטסאפ (הכינוי שצוין בפרופיל של איש הקשר מוצג)
  חברה	חברה (החברה שצוינה בפרופיל של איש הקשר מוצגת)
  כותרת	כותרת (גברת/מר; הכותרת המוגדרת בפרופיל איש הקשר מוצגת)
  לקזז	עקירה

• 'sqlite_sequence'
  טבלה זו מכילה מידע על מספר אנשי הקשר;
• 'android_metadata'
  טבלה זו מכילה מידע על לוקליזציה של שפת WhatsApp.

במסד הנתונים 'msgstore.db' מכיל מידע על הודעות שנשלחו, כגון מספר איש קשר, טקסט הודעה, מצב הודעה, חותמות זמן, פרטים של קבצים שהועברו הכלולים בהודעות וכו'. קוֹבֶץ 'msgstore.db' ממוקם לאורך השביל: '/data/data/com.whatsapp/databases/' ובעל המבנה הבא:

הטבלאות הכי מעניינות בקובץ 'msgstore.db' עבור החוקר הם:

• 'sqlite_sequence'
  טבלה זו מכילה מידע כללי על מסד נתונים זה, כגון המספר הכולל של ההודעות המאוחסנות, המספר הכולל של הצ'אטים וכו'.

  מראה השולחן:

  

• 'message_fts_content'
  מכיל את הטקסט של ההודעות שנשלחו.

  מראה השולחן:

  

• 'הודעות'
  טבלה זו מכילה מידע כגון מספר איש קשר, טקסט הודעה, מצב הודעה, חותמות זמן, מידע על קבצים שהועברו הכלולים בהודעות.

  מראה השולחן:

  
  מבנה השולחן

  שם שדה	ערך
  _יד	מספר רצף רשומה (בטבלת SQL)
  key_remote_jid	מזהה WhatsApp של שותף תקשורת
  מפתח_ממני	כיוון ההודעה: '0' - נכנס, '1' - יוצא
  מפתח_יד	מזהה הודעה ייחודי
  מצב	סטטוס הודעה: '0' – נמסר, '4' – ממתין בשרת, '5' – התקבל ביעד, '6' – הודעת בקרה, '13' – הודעה שנפתחה על ידי הנמען (קרא)
  צריך_דחיפה	יש את הערך '2' אם זו הודעת שידור, אחרת מכילה '0'
  נתונים	טקסט הודעה (כאשר הפרמטר 'media_wa_type' הוא '0')
  חותם	מכיל חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר
  media_url	מכיל את כתובת האתר של הקובץ שהועבר (כאשר הפרמטר 'media_wa_type' הוא '1', '2', '3')
  media_mime_type	סוג MIME של הקובץ המועבר (כאשר הפרמטר 'media_wa_type' שווה ל-'1', '2', '3')
  media_wa_type	סוג הודעה: '0' - טקסט, '1' - קובץ גרפי, '2' - קובץ שמע, '3' - קובץ וידאו, '4' - כרטיס איש קשר, '5' - גיאוגרפיה
  גודל_מדיה	גודל הקובץ המועבר (כאשר הפרמטר 'media_wa_type' הוא '1', '2', '3')
  media_name	שם הקובץ שהועבר (כאשר הפרמטר 'media_wa_type' הוא '1', '2', '3')
  media_caption	מכיל את המילים 'audio', 'video' עבור הערכים התואמים של הפרמטר 'media_wa_type' (כאשר הפרמטר 'media_wa_type' הוא '1', '3')
  media_hash	hash מקודד base64 של הקובץ המשודר, מחושב באמצעות אלגוריתם HAS-256 (כאשר הפרמטר 'media_wa_type' שווה ל-'1', '2', '3')
  media_duration	משך שניות עבור קובץ המדיה (כאשר 'media_wa_type' הוא '1', '2', '3')
  מקור	יש את הערך '2' אם זו הודעת שידור, אחרת מכילה '0'
  רוחב	גיאוגרפיה: קו רוחב (כאשר הפרמטר 'media_wa_type' הוא '5')
  אורך	גיאוגרפיה: קו אורך (כאשר הפרמטר 'media_wa_type' הוא '5')
  thumb_image	מידע שירות
  מרוחק_משאב	מזהה השולח (לצ'אטים קבוצתיים בלבד)
  חותמת_זמן קיבלה	שעת הקבלה, מכילה חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר (כאשר לפרמטר 'key_from_me' יש '0', '-1' או ערך אחר)
  send_timestamp	לא בשימוש, בדרך כלל יש את הערך '-1'
  חותמת_זמן_שרת_קבלה	זמן שהתקבל על ידי השרת המרכזי, מכיל חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר (כאשר לפרמטר 'key_from_me' יש '1', '-1' או ערך אחר
  חותמת_זמן_התקן_קבלה	בזמן שההודעה התקבלה על ידי מנוי אחר, מכילה חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר (כאשר לפרמטר 'key_from_me' יש '1', '-1' או ערך אחר
  read_device_timestamp	שעת פתיחת (קריאת) ההודעה, מכילה חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר
  חותמת_זמן_מכשיר_משחק	זמן השמעת הודעה, מכיל חותמת זמן בפורמט Unix Epoch Time (ms), הערך נלקח משעון המכשיר
  נתונים_גולמיים	תמונה ממוזערת של הקובץ שהועבר (כאשר הפרמטר 'media_wa_type' הוא '1' או '3')
  ספירת_נמען	מספר נמענים (עבור הודעות שידור)
  participant_hash	משמש בעת העברת הודעות עם גיאודטה
  כיכב	לא בשימוש
  quoted_row_id	לא ידוע, מכיל בדרך כלל את הערך '0'
  הוזכר_ג'ידס	לא בשימוש
  multicast_id	לא בשימוש
  לקזז	עקירה

  רשימה זו של שדות אינה ממצה. עבור גרסאות שונות של WhatsApp, חלק מהשדות עשויים להיות קיימים או נעדרים. בנוסף, עשויים להיות שדות 'media_enc_hash', 'גרסה_עריכה', 'מזהה_עסקת_תשלום' וכו '

• 'messages_thumbnails'
  טבלה זו מכילה מידע על תמונות וחותמות זמן שהועברו. בעמודה 'חותמת זמן', השעה מצוינת בפורמט Unix Epoch Time (ms).
• 'רשימת_צ'אט'
  טבלה זו מכילה מידע על צ'אטים.

  מראה השולחן:

  

כמו כן, כאשר בוחנים את WhatsApp במכשיר נייד עם אנדרואיד, כדאי לשים לב לקבצים הבאים:

• קובץ 'msgstore.db.cryptXX' (כאשר XX הוא ספרה אחת או שתיים מ-0 עד 12, לדוגמה, msgstore.db.crypt12). מכיל גיבוי מוצפן של הודעות WhatsApp (קובץ גיבוי msgstore.db). קבצים) 'msgstore.db.cryptXX' ממוקם לאורך השביל: '/data/media/0/WhatsApp/Databases/' (כרטיס SD וירטואלי), '/mnt/sdcard/WhatsApp/Databases/ (כרטיס SD פיזי)'.
• קובץ 'מַפְתֵחַ'. מכיל מפתח קריפטוגרפי. ממוקם לאורך השביל: '/data/data/com.whatsapp/files/'. משמש לפענוח גיבויים מוצפנים של WhatsApp.
• קובץ 'com.whatsapp_preferences.xml'. מכיל מידע על פרופיל חשבון WhatsApp שלך. הקובץ ממוקם לאורך הנתיב: '/data/data/com.whatsapp/shared_prefs/'.

  קטע תוכן הקובץ

  <?xml version="1.0" encoding="ISO-8859-1"?>
  …
  <string name="ph">9123456789</string> (номер телефона, ассоциированный с аккаунтом WhatsApp)
  …
  <string name="version">2.17.395</string> (версия WhatsApp)
  …
  <string name="my_current_status">Hey there! I am using WhatsApp.</string> (сообщение, отображаемое в статусе аккаунта)
  …
  <string name="push_name">Alex</string> (имя владельца аккаунта)
  … 

• קובץ 'registration.RegisterPhone.xml'. מכיל מידע על מספר הטלפון המשויך לחשבון WhatsApp. הקובץ ממוקם לאורך הנתיב: '/data/data/com.whatsapp/shared_prefs/'.

  תוכן הקובץ

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• קובץ 'axolotl.db'. מכיל מפתחות קריפטוגרפיים ונתונים אחרים הדרושים לזיהוי בעל החשבון. ממוקם לאורך השביל: '/data/data/com.whatsapp/databases/'.
• קובץ 'chatsettings.db'. מכיל מידע על תצורת האפליקציה.
• קובץ 'wa.db'. מכיל פרטי התקשרות. מסד נתונים מאוד מעניין (מההיבט פורנזי) ואינפורמטיבי. זה יכול להכיל מידע מפורט על אנשי קשר שנמחקו.

אתה גם צריך לשים לב לספריות הבאות:

• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Images/'. מכיל קבצים גרפיים שהועברו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. מכיל הודעות קוליות בקבצים בפורמט OPUS.
• מדריך '/data/data/com.whatsapp/cache/Profile Pictures/'. מכיל קבצים גרפיים - תמונות של אנשי קשר.
• מדריך '/data/data/com.whatsapp/files/Avatars/'. מכיל קבצים גרפיים - תמונות ממוזערות של אנשי קשר. לקבצים אלה יש סיומת '.j' אך הם בכל זאת קובצי תמונה JPEG (JPG).
• מדריך '/data/data/com.whatsapp/files/Avatars/'. מכיל קבצים גרפיים - תמונה ותמונה ממוזערת של התמונה שהוגדרה כאווטר על ידי בעל החשבון.
• מדריך '/data/data/com.whatsapp/files/Logs/'. מכיל את יומן פעולות התוכנית (קובץ 'whatsapp.log') ועותקי גיבוי של יומני פעולות התוכנית (קבצים עם שמות בפורמט whatsapp-yyyy-mm-dd.1.log.gz).

קבצי יומן WhatsApp:

קטע יומן2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] Missedcall Notification/Update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] קובץ סיסמה חסר או בלתי קריא
2017-01-10 09:37:09.782 LL_I D [1:main] סטטיסטיקה הודעות טקסט: 59 נשלחו, 82 התקבלו / הודעות מדיה: 1 נשלחו (0 בתים), 0 התקבלו (9850158 בתים) / הודעות לא מקוונות: 81 התקבלו ( עיכוב ממוצע של 19522 אלפיות שניות) / שירות הודעות: 116075 בתים נשלחו, 211729 בייטים התקבלו / שיחות VoIP: 1 שיחה יוצאת, 0 שיחות נכנסות, 2492 בייטים נשלחו, 1530 בייטים התקבלו / Google Drive: 0 בייטים נשלחו, 0 בייטים התקבלו / נדידה: בתים נשלחו, 1524 בתים התקבלו / סה"כ נתונים: 1826 בתים שנשלחו, 118567 בתים התקבלו
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | זמן בילוי: 8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. מכיל את קבצי האודיו שהתקבלו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. מכיל קבצי שמע שנשלחו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Images/'. מכיל את הקבצים הגרפיים שנוצרו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. מכיל קבצים גרפיים שנשלחו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Video/'. מכיל קבצי וידאו שהתקבלו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. מכיל קבצי וידאו שנשלחו.
• מדריך '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. מכיל קבצים גרפיים המשויכים לבעלים של חשבון WhatsApp.
• כדי לחסוך במקום זיכרון בסמארטפון האנדרואיד שלך, ניתן לאחסן חלק מנתוני WhatsApp בכרטיס SD. בכרטיס ה-SD, בספריית השורש, יש ספריה 'וואטסאפ', שבו ניתן למצוא את החפצים הבאים של תוכנית זו:

  

• מדריך '.לַחֲלוֹק' ('/mnt/sdcard/WhatsApp/.Share/'). מכיל עותקים של קבצים ששותפו עם משתמשי WhatsApp אחרים.
• מדריך '.אַשׁפָּה' ('/mnt/sdcard/WhatsApp/.trash/'). מכיל קבצים שנמחקו.
• מדריך 'מאגרי מידע' ('/mnt/sdcard/WhatsApp/Databases/'). מכיל גיבויים מוצפנים. ניתן לפענח אותם אם הקובץ קיים 'מַפְתֵחַ', שחולץ מהזיכרון של המכשיר המנותח.

  קבצים שנמצאים בספריית משנה 'מאגרי מידע':

  

• מדריך 'חֲצִי' ('/mnt/sdcard/WhatsApp/Media/'). מכיל ספריות משנה 'טפט', 'אודיו של וואטסאפ', 'תמונות וואטסאפ', 'תמונות פרופיל וואטסאפ', 'סרטון וואטסאפ', 'הערות קוליות בוואטסאפ', המכילים קבצי מולטימדיה שהתקבלו ומשודרו (קבצי גרפיקה, קבצי וידאו, הודעות קוליות, תמונות הקשורות לפרופיל של בעל חשבון הוואטסאפ, טפטים).
• מדריך 'תמונת פרופיל' ('/mnt/sdcard/WhatsApp/Profile Pictures/'). מכיל קבצים גרפיים המשויכים לפרופיל של בעל חשבון WhatsApp.
• לפעמים ייתכן שיש ספרייה בכרטיס ה-SD 'קבצים' ('/mnt/sdcard/WhatsApp/Files/'). ספרייה זו מכילה קבצים המאחסנים הגדרות תוכנית והעדפות משתמש.

תכונות של אחסון נתונים בדגמים מסוימים של מכשירים ניידים

דגמים מסוימים של מכשירים ניידים המריצים מערכת הפעלה אנדרואיד עשויים לאחסן חפצי WhatsApp במיקום אחר. זה נובע משינויים בשטח האחסון של נתוני האפליקציה על ידי תוכנת המערכת של המכשיר הנייד. לדוגמה, למכשירים ניידים של Xiaomi יש פונקציה ליצירת סביבת עבודה שנייה ("SecondSpace"). כאשר פונקציה זו מופעלת, מיקום הנתונים משתנה. אז, אם במכשיר נייד רגיל המריץ מערכת הפעלה אנדרואיד, נתוני המשתמש מאוחסנים בספרייה '/data/user/0/' (שזו התייחסות לרגיל '/data/data/'), ואז בסביבת העבודה השנייה הנתונים מאוחסנים בספרייה '/data/user/10/'. כלומר, באמצעות הדוגמה של מיקום הקובץ 'wa.db':

• בסמארטפון רגיל עם מערכת הפעלה אנדרואיד: /data/user/0/com.whatsapp/databases/wa.db' (שזה שווה ערך '/data/data/com.whatsapp/databases/wa.db');
• בסביבת העבודה השנייה של הטלפון החכם Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db'.

חפצי WhatsApp במכשיר iOS

שלא כמו מערכת ההפעלה אנדרואיד, ב-iOS של אפליקציית WhatsApp הנתונים מועברים לעותק גיבוי (גיבוי iTunes). לכן, חילוץ נתונים מיישום זה אינו מצריך חילוץ של מערכת הקבצים או יצירת dump זיכרון פיזי של המכשיר הנחקר. רוב המידע הרלוונטי נמצא במאגר המידע 'ChatStorage.sqlite', שנמצא לאורך השביל: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (בתוכניות מסוימות נתיב זה מופיע בתור 'AppDomainGroup-group.net.whatsapp.WhatsApp.shared').

מבנה 'ChatStorage.sqlite':

הטבלאות האינפורמטיביות ביותר במסד הנתונים 'ChatStorage.sqlite' הן 'ZWAMESSAGE' и 'ZWAMEDIAITEM'.

מראה שולחן 'ZWAMESSAGE':

מבנה הטבלה 'ZWAMESSAGE'

שם שדה	ערך
Z_PK	מספר רצף רשומה (בטבלת SQL)
Z_ENT	מזהה טבלה, בעל הערך '9'
Z_OPT	לא ידוע, מכיל בדרך כלל ערכים מ-'1' עד '6'
ZCHILDMESSAGESDELIVEREDCOUNT	לא ידוע, מכיל בדרך כלל את הערך '0'
ZCHILDMESSAGESPLAYEDCOUNT	לא ידוע, מכיל בדרך כלל את הערך '0'
ZCHILDMESSAGESREADCOUNT	לא ידוע, מכיל בדרך כלל את הערך '0'
ZDATAITEMVERSION	לא ידוע, מכיל בדרך כלל את הערך '3', כנראה מחוון של הודעת טקסט
ZDOCID	לא ידוע
ZENCRETRYCOUNT	לא ידוע, מכיל בדרך כלל את הערך '0'
ZFILTEREDRECIPIENTCOUNT	לא ידוע, מכיל בדרך כלל את הערכים '0', '2', '256'
ZISFROMME	כיוון ההודעה: '0' - נכנס, '1' - יוצא
ZMESSAGEERRORSTATUS	מצב העברת הודעות. אם ההודעה נשלחת/התקבלה, אז יש לה את הערך '0'
ZMESSAGETYPE	סוג ההודעה המועברת
ZSORT	לא ידוע
ZSPOTLIGHSTATUS	לא ידוע
ZSTARRED	לא ידוע, לא בשימוש
ZCHATSESSION	לא ידוע
ZGROUPMEMBER	לא ידוע, לא בשימוש
ZLASTSESSION	לא ידוע
ZMEDIAITEM	לא ידוע
ZMESSAGEINFO	לא ידוע
ZPARENTMESSAGE	לא ידוע, לא בשימוש
ZMESSAGEDATE	חותמת זמן בפורמט OS X Epoch Time
ZSENTDATE	הזמן שבו ההודעה נשלחה בפורמט OS X Epoch Time
ZFROMJID	מזהה שולח וואטסאפ
ZMEDIASECTIONID	מכיל את השנה והחודש שבו נשלח קובץ המדיה
ZPHASH	לא ידוע, לא בשימוש
ZPUSHPAME	שם איש הקשר ששלח את קובץ המדיה בפורמט UTF-8
ZSTANZID	מזהה הודעה ייחודי
ZTEXT	הודעת טקסט
ZTOJID	מזהה WhatsApp של הנמען
OFFSET	עקירה

מראה שולחן 'ZWAMEDIAITEM':

מבנה הטבלה 'ZWAMEDIAITEM'

שם שדה	ערך
Z_PK	מספר רצף רשומה (בטבלת SQL)
Z_ENT	מזהה טבלה, בעל הערך '8'
Z_OPT	לא ידוע, מכיל בדרך כלל ערכים מ-'1' עד '3'.
ZCLOUDSTATUS	מכיל את הערך '4' אם הקובץ נטען.
ZFILESIZE	מכיל את אורך הקובץ (בבתים) עבור קבצים שהורדו
ZMEDIAORIGIN	לא ידוע, בדרך כלל יש את הערך '0'
ZMOVIEDURATION	משך קובץ המדיה, עבור קבצי pdf עשויים להכיל את מספר העמודים של המסמך
ZMESSAGE	מכיל מספר סידורי (המספר שונה מזה שמצוין בעמודה 'Z_PK')
ZASPECTRATIO	יחס רוחב-גובה, לא בשימוש, מוגדר בדרך כלל ל-'0'
זכיות	לא ידוע, בדרך כלל יש את הערך '0'
ZLATTITUDE	רוחב בפיקסלים
ZLONGTITUDE	גובה בפיקסלים
ZMEDIAURLDATE	חותמת זמן בפורמט OS X Epoch Time
ZAUTHORNAME	מחבר (עבור מסמכים, עשוי להכיל את שם הקובץ)
ZCOLLECTIONNAME	לא בשימוש
ZMEDIALOCALPATH	שם הקובץ (כולל נתיב) במערכת הקבצים של המכשיר
ZMEDIAURL	כתובת האתר שבה נמצא קובץ המדיה. אם קובץ הועבר ממנוי אחד לאחר, הוא הוצפן והסיומת שלו תצוין כסיומת הקובץ שהועבר - .enc
ZTHUMBNAILLOCALPATH	נתיב לתמונה הממוזערת של הקובץ במערכת הקבצים של המכשיר
ZTITLE	כותרת הקובץ
ZVCARDNAME	hash של קובץ המדיה; בעת העברת הקובץ לקבוצה, הוא עשוי להכיל את מזהה השולח
ZVCARDSTRING	מכיל מידע על סוג הקובץ המועבר (לדוגמה, image/jpeg); בעת העברת קובץ לקבוצה, הוא עשוי להכיל את המזהה של הנמען
ZXMPPTHUMBPATH	נתיב לתמונה הממוזערת של הקובץ במערכת הקבצים של המכשיר
ZMEDIAKEY	לא ידוע, כנראה מכיל את המפתח לפענוח הקובץ המוצפן.
ZMETADATA	מטא נתונים של ההודעה המועברת
לקזז	עקירה

טבלאות מסד נתונים מעניינות אחרות 'ChatStorage.sqlite' הם:

• 'ZWAPROFILEPUSHNAME'. מתאים מזהה WhatsApp עם שם איש הקשר;
• 'ZWAPROFILEPICTUREITEM'. תואם את מזהה WhatsApp לאוואטר של איש קשר;
• 'Z_PRIMARYKEY'. הטבלה מכילה מידע כללי על מסד נתונים זה, כגון המספר הכולל של ההודעות המאוחסנות, המספר הכולל של הצ'אטים וכו'.

כמו כן, בעת בחינת WhatsApp במכשיר נייד עם iOS, כדאי לשים לב לקבצים הבאים:

• קובץ 'BackedUpKeyValue.sqlite'. מכיל מפתחות קריפטוגרפיים ונתונים אחרים הדרושים לזיהוי בעל החשבון. ממוקם לאורך השביל: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• קובץ 'ContactsV2.sqlite'. מכיל מידע על אנשי הקשר של המשתמש, כגון שם מלא, מספר טלפון, סטטוס איש קשר (בצורת טקסט), מזהה WhatsApp וכו'. ממוקם לאורך השביל: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• קובץ 'גרסה_צרכן'. מכיל את מספר הגרסה של אפליקציית WhatsApp המותקנת. ממוקם לאורך השביל: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• קובץ 'current_wallpaper.jpg'. מכיל את טפט הרקע הנוכחי של WhatsApp. ממוקם לאורך השביל: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. גרסאות ישנות יותר של היישום משתמשות בקובץ 'טפט', שנמצא לאורך השביל: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
• קובץ 'blockedcontacts.dat'. מכיל מידע על אנשי קשר חסומים. ממוקם לאורך השביל: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• קובץ 'pw.dat'. מכיל סיסמה מוצפנת. ממוקם לאורך השביל: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
• קובץ 'net.whatsapp.WhatsApp.plist' (או קובץ 'group.net.whatsapp.WhatsApp.shared.plist'). מכיל מידע על פרופיל חשבון WhatsApp שלך. הקובץ ממוקם לאורך הנתיב: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.

תוכן הקובץ 'group.net.whatsapp.WhatsApp.shared.plist'
אתה גם צריך לשים לב לספריות הבאות:

• מדריך '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. מכיל תמונות ממוזערות של אנשי קשר, קבוצות (קבצים עם הסיומת .אֲגוּדָל), אווטרים ליצירת קשר, אווטר בעל חשבון WhatsApp (קובץ 'Photo.jpg').
• מדריך '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. מכיל קובצי מולטימדיה ותמונות ממוזערות שלהם
• מדריך '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. מכיל את יומן פעולות התוכנית (קובץ 'calls.log') ועותקי גיבוי של יומני פעולת התוכנית (קובץ 'calls.backup.log').
• מדריך '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. מכיל מדבקות (קבצים בפורמט '.webp').
• מדריך '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. מכיל יומני פעולת תוכנית.

חפצי WhatsApp ב-Windows

ניתן למצוא חפצי WhatsApp ב-Windows בכמה מקומות. קודם כל, אלו הן ספריות המכילות קבצי הפעלה וקבצי עזר של התוכנית (עבור Windows 8/10):

• 'C:Program Files (x86)WhatsApp'
• 'C:Users%User profile% AppDataLocalWhatsApp'
• 'C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp'

בקטלוג 'C:Users%User profile% AppDataLocalWhatsApp' קובץ היומן נמצא 'SquirrelSetup.log', המכיל מידע על בדיקת עדכונים והתקנת התוכנית.

בקטלוג 'C:Users%User profile% AppDataRoamingWhatsApp' ישנן מספר תיקיות משנה:

קובץ 'main-process.log' מכיל מידע על פעולת תוכנית WhatsApp.

ספריית משנה 'מאגרי מידע' מכיל קובץ 'Databases.db', אך קובץ זה אינו מכיל מידע על צ'אטים או אנשי קשר.

המעניינים ביותר מנקודת מבט משפטית הם הקבצים הממוקמים בספרייה 'מטמון'. אלה הם בעצם קבצים עם שם 'f*******' (כאשר * הוא מספר מ-0 עד 9) המכילים קבצי מולטימדיה ומסמכים מוצפנים, אך יש ביניהם גם קבצים לא מוצפנים. מעניינים במיוחד הקבצים 'data_0', 'data_1', 'data_2', 'data_3', הממוקם באותה ספריית משנה. קבצים 'data_0', 'data_1', 'data_3' מכילים קישורים חיצוניים לקבצי מולטימדיה ומסמכים מוצפנים המועברים.

דוגמה למידע הכלול בקובץ 'data_1'
גם קובץ 'data_3' עשוי להכיל קבצים גרפיים.

קובץ 'data_2' מכיל אווטרים של אנשי קשר (ניתן לשחזר על ידי חיפוש לפי כותרות קבצים).

אווטרים הכלולים בקובץ 'data_2':

לפיכך, את הצ'אטים עצמם לא ניתן למצוא בזיכרון המחשב, אבל אתה יכול למצוא:

• קבצי מולטימדיה;
• מסמכים המועברים באמצעות WhatsApp;
• מידע על אנשי הקשר של בעל החשבון.

חפצי WhatsApp ב-MacOS

ב-MacOS אתה יכול למצוא סוגים של חפצי WhatsApp הדומים לאלה שנמצאים במערכת ההפעלה Windows.

קבצי התוכנית ממוקמים בספריות הבאות:

• 'C:ApplicationsWhatsApp.app'
• 'C:Applications._WhatsApp.app'
• 'C:Users%User profile%LibraryPreferences'
• 'C:Users%User profile%LibraryLogsWhatsApp'
• 'C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState'
• 'C:Users%User profile%LibraryApplication Scripts'
• 'C:Users%User profile%LibraryApplication SupportCloudDocs'
• 'C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt'
• 'C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp'
• 'C:Users%User profile% Library מסמכים ניידים <משתנה טקסט> חשבונות WhatsApp'
  ספרייה זו מכילה ספריות משנה ששמותיהן הם מספרי טלפון המשויכים לבעלים של חשבון WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp.ShipIt'
  ספרייה זו מכילה מידע על התקנת התוכנית.
• 'C:Users%User profile%PicturesiPhoto Library.photolibraryMasters', 'C:Users%User profile%PicturesiPhoto Library.photolibraryThumbnails'
  ספריות אלה מכילות קבצי שירות של התוכנית, כולל תמונות ותמונות ממוזערות של אנשי קשר ב-WhatsApp.
• 'C:Users%User profile%LibraryCachesWhatsApp'
  ספרייה זו מכילה מספר מסדי נתונים של SQLite המשמשים לאחסון נתונים במטמון.
• 'C:Users%User profile%LibraryApplication SupportWhatsApp'
  ספרייה זו מכילה מספר ספריות משנה:

  
  בקטלוג 'C:Users%User profile%LibraryApplication SupportWhatsAppCache' יש קבצים 'data_0', 'data_1', 'data_2', 'data_3' וקבצים עם שמות 'f*******' (כאשר * הוא מספר מ-0 עד 9). למידע על המידע הקבצים האלה מכילים, ראה חפצי WhatsApp ב-Windows.

  בקטלוג 'C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB' עשוי להכיל קובצי מולטימדיה (לקבצים אין הרחבות).

  קובץ 'main-process.log' מכיל מידע על פעולת תוכנית WhatsApp.

מקורות

1. ניתוח משפטי של WhatsApp Messenger בסמארטפונים של אנדרואיד, מאת Cosimo Anglano, 2014.
2. Whatsapp Forensics: מערכת הסברה מבוססת נתונים ואפליקציית אנדרואיד ו-iOS מאת אחמד פראטמה, 2014.

במאמרים הבאים בסדרה זו:

פענוח של מסדי נתונים מוצפנים של WhatsAppמאמר שיספק מידע על אופן יצירת מפתח ההצפנה של WhatsApp ודוגמאות מעשיות המראות כיצד לפענח את מסדי הנתונים המוצפנים של אפליקציה זו.
חילוץ נתוני WhatsApp מאחסון ענןמאמר בו נספר לכם אילו נתוני וואטסאפ מאוחסנים בעננים ונתאר שיטות לאחזור נתונים אלו ממחסני ענן.
חילוץ נתונים של WhatsApp: דוגמאות מעשיותמאמר שיתאר שלב אחר שלב אילו תוכנות וכיצד לחלץ נתוני וואטסאפ ממכשירים שונים.

מקור: www.habr.com