🥇HiSuite 백업에 대한 법의학 분석

Android 기기에서 데이터를 추출하는 것이 매일 점점 더 어려워지고 있습니다. 더 어려운아이폰보다. Group-IB 컴퓨터 법의학 연구소의 전문가인 Igor Mikhailov는 다음과 같이 말했습니다. 표준 방법을 사용하여 Android 스마트폰에서 데이터를 추출할 수 없는 경우 어떻게 해야 하는지 알려줍니다.

몇 년 전, 동료들과 저는 Android 기기의 보안 메커니즘 개발 동향에 대해 논의한 후 포렌식 조사가 iOS 기기보다 더 어려워질 때가 올 것이라는 결론에 도달했습니다. 그리고 오늘 우리는 이런 때가 왔다고 자신있게 말할 수 있습니다.

최근 Huawei Honor 20 Pro를 리뷰했습니다. ADB 유틸리티를 사용하여 얻은 백업에서 무엇을 추출할 수 있었다고 생각하시나요? 아무것도 아님! 장치에는 통화 정보, 전화번호부, SMS, 인스턴트 메시징, 이메일, 멀티미디어 파일 등의 데이터가 가득합니다. 그리고 당신은 이것 중 어떤 것도 꺼낼 수 없습니다. 끔찍한 느낌!

이런 상황에서는 어떻게 해야 할까요? 좋은 해결책은 독점 백업 유틸리티(샤오미 스마트폰용 Mi PC Suite, 삼성용 Samsung Smart Switch, Huawei용 HiSuite)를 사용하는 것입니다.

이 기사에서는 HiSuite 유틸리티를 사용하여 Huawei 스마트폰에서 데이터를 생성 및 추출하고 Belkasoft Evidence Center를 사용한 후속 분석을 살펴보겠습니다.

HiSuite 백업에는 어떤 유형의 데이터가 포함됩니까?

HiSuite 백업에는 다음 유형의 데이터가 포함됩니다.

계정 및 비밀번호(또는 토큰)에 관한 데이터
연락처
도전들
SMS 및 MMS 메시지
이메일
멀티미디어 파일
데이터 베이스
문서
아카이브
응용 프로그램 파일(확장자를 가진 파일.odex, .그래서, 의 .apk)
애플리케이션(Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube 등)의 정보

이러한 백업이 어떻게 생성되고 Belkasoft Evidence Center를 사용하여 이를 분석하는 방법을 자세히 살펴보겠습니다.

HiSuite 유틸리티를 사용하여 Huawei 스마트폰 백업

독점 유틸리티를 사용하여 백업 복사본을 생성하려면 웹사이트에서 다운로드해야 합니다. 화웨이 그리고 설치하세요.

Huawei 웹사이트의 HiSuite 다운로드 페이지:

장치를 컴퓨터와 페어링하려면 HDB(Huawei Debug Bridge) 모드가 사용됩니다. 모바일 장치에서 HDB 모드를 활성화하는 방법에 대한 자세한 지침은 Huawei 웹사이트 또는 HiSuite 프로그램 자체에 있습니다. HDB 모드를 활성화한 후 모바일 장치에서 HiSuite 애플리케이션을 실행하고 이 애플리케이션에 표시된 코드를 컴퓨터에서 실행 중인 HiSuite 프로그램 창에 입력하세요.

HiSuite 데스크톱 버전의 코드 입력 창:

백업 프로세스 중에 장치 메모리에서 추출된 데이터를 보호하는 데 사용되는 비밀번호를 입력하라는 메시지가 표시됩니다. 생성된 백업 복사본은 경로를 따라 위치하게 됩니다. C:/Users/%사용자 프로필%/Documents/HiSuite/backup/.

Huawei Honor 20 Pro 스마트폰 백업:

Belkasoft Evidence Center를 사용하여 HiSuite 백업 분석

다음을 사용하여 결과 백업을 분석하려면 Belkasoft 증거 센터 새로운 사업을 만들어 보세요. 그런 다음 데이터 소스로 선택하십시오. 모바일 이미지. 열리는 메뉴에서 스마트폰 백업이 있는 디렉터리의 경로를 지정하고 파일을 선택합니다. info.xml.

백업 경로 지정:

다음 창에서 프로그램은 찾아야 할 유물 유형을 선택하라는 메시지를 표시합니다. 스캔을 시작한 후 탭으로 이동하십시오. Task Manager 그리고 버튼을 클릭 작업 구성, 프로그램은 암호화된 백업을 해독하기 위해 비밀번호를 기대하기 때문입니다.

단추 작업 구성:

백업의 암호를 해독한 후 Belkasoft Evidence Center는 추출해야 하는 아티팩트 유형을 다시 지정하도록 요청합니다. 분석이 완료되면 추출된 아티팩트에 대한 정보를 탭에서 확인할 수 있습니다. 사례 탐색기 и 살펴보기 .

Huawei Honor 20 Pro 백업 분석 결과:

Mobile Forensic Expert 프로그램을 이용한 HiSuite 백업 분석

HiSuite 백업에서 데이터를 추출하는 데 사용할 수 있는 또 다른 포렌식 프로그램은 다음과 같습니다. "모바일 포렌식 전문가".

HiSuite 백업에 저장된 데이터를 처리하려면 옵션을 클릭하세요. 백업 가져오기 메인 프로그램 창에서.

"Mobile Forensic Expert" 프로그램의 메인 창 일부:

아니면 섹션에서 수입 가져올 데이터 유형을 선택하세요. 화웨이 백업:

열리는 창에서 파일 경로를 지정하십시오. info.xml. 추출 절차를 시작하면 HiSuite 백업의 암호를 해독하기 위해 알려진 비밀번호를 입력하거나, 알 수 없는 경우 Passware 도구를 사용하여 이 비밀번호를 추측하라는 메시지가 표시되는 창이 나타납니다.

백업 복사본 분석 결과는 통화, 연락처, 메시지, 파일, 이벤트 피드, 애플리케이션 데이터 등 추출된 아티팩트 유형을 보여주는 "Mobile Forensic Expert" 프로그램 창입니다. 이 포렌식 프로그램이 다양한 애플리케이션에서 추출하는 데이터의 양에 주의하세요. 정말 거대해요!

Mobile Forensic Expert 프로그램의 HiSuite 백업에서 추출된 데이터 유형 목록:

HiSuite 백업 암호 해독

이런 훌륭한 프로그램이 없다면 어떻게 해야 할까요? 이 경우 Reality Net System Solutions의 직원인 Francesco Picasso가 개발하고 유지 관리하는 Python 스크립트가 도움이 될 것입니다. 이 스크립트는 다음에서 찾을 수 있습니다. GitHub의, 자세한 설명은 기사 "화웨이 백업 암호 해독기."

그런 다음 해독된 HiSuite 백업을 가져와서 클래식 포렌식 유틸리티(예: 부검) 또는 수동으로.

조사 결과

따라서 HiSuite 백업 유틸리티를 사용하면 ADB 유틸리티를 사용하여 동일한 장치에서 데이터를 추출할 때보다 Huawei 스마트폰에서 훨씬 더 많은 데이터를 추출할 수 있습니다. 휴대폰 작업을 위한 수많은 유틸리티에도 불구하고 Belkasoft Evidence Center 및 Mobile Forensic Expert는 HiSuite 백업의 추출 및 분석을 지원하는 몇 안 되는 포렌식 프로그램 중 하나입니다.

소스

출처 : habr.com

HiSuite 백업에 대한 포렌식 분석