🥇Форензичка анализа на бекап на HiSuite

Извлекувањето податоци од уредите со Android станува сè потешко секој ден - понекогаш дури потешкоотколку од iPhone. Игор Михаилов, специјалист во Лабораторијата за компјутерска форензика Group-IB, ви кажува што да направите ако не можете да извлечете податоци од вашиот паметен телефон со Android користејќи стандардни методи.

Пред неколку години, јас и моите колеги разговаравме за трендовите во развојот на безбедносните механизми во уредите со Android и дојдовме до заклучок дека ќе дојде време кога нивната форензичка истрага ќе стане потешка отколку за уредите со iOS. И денес можеме со сигурност да кажеме дека ова време дојде.

Неодамна го прегледав Huawei Honor 20 Pro. Што мислите дека успеавме да извлечеме од неговата резервна копија добиена со помош на алатката ADB? Ништо! Уредот е полн со податоци: информации за повици, именик, SMS, инстант пораки, е-пошта, мултимедијални датотеки итн. И ништо од ова не можете да извадите. Страшно чувство!

Што да направите во таква ситуација? Добро решение е да користите комерцијални алатки за резервна копија (Mi PC Suite за паметни телефони Xiaomi, Samsung Smart Switch за Samsung, HiSuite за Huawei).

Во оваа статија ќе го разгледаме создавањето и вадењето податоци од паметните телефони Huawei со помош на алатката HiSuite и нивната последователна анализа со помош на Центарот за докази Belkasoft.

Кои видови податоци се вклучени во резервните копии на HiSuite?

Следниве типови податоци се вклучени во резервните копии на HiSuite:

податоци за сметки и лозинки (или токени)
детали за контакт
предизвици
СМС и ММС пораки
Е-пошта
мултимедијални датотеки
База на податоци
документација
архиви
апликативни датотеки (датотеки со екстензии.одекс, .so, .apk)
информации од апликации (како што се Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, итн.)

Ајде да погледнеме подетално како се создава таква резервна копија и како да ја анализираме користејќи го Belkasoft Evidence Center.

Правење резервна копија од паметен телефон Huawei со помош на алатката HiSuite

За да креирате резервна копија со комерцијална алатка, треба да ја преземете од веб-страницата Huawei и инсталирај.

Страница за преземање HiSuite на веб-страницата на Huawei:

За да го спарите уредот со компјутер, се користи режимот HDB (Huawei Debug Bridge). Има детални упатства на веб-страницата на Huawei или во самата програма HiSuite за тоа како да го активирате режимот HDB на вашиот мобилен уред. Откако ќе го активирате режимот HDB, стартувајте ја апликацијата HiSuite на вашиот мобилен уред и внесете го кодот прикажан во оваа апликација во прозорецот на програмата HiSuite што работи на вашиот компјутер.

Прозорец за внесување код во десктоп верзијата на HiSuite:

За време на процесот на резервна копија, ќе треба да внесете лозинка што ќе се користи за заштита на податоците извлечени од меморијата на уредот. Создадената резервна копија ќе се наоѓа долж патеката C:/Корисници/%Кориснички профил%/Документи/HiSuite/резервна копија/.

Бекап на паметен телефон Huawei Honor 20 Pro:

Анализирање на резервна копија на HiSuite со помош на Центарот за докази на Belkasoft

Да се анализира добиената резервна копија користејќи Центар за докази на Belkasoft создаде нов бизнис. Потоа изберете како извор на податоци Мобилна слика. Во менито што се отвора, наведете ја патеката до директориумот каде што се наоѓа резервната копија на паметниот телефон и изберете ја датотеката info.xml.

Одредување на патеката до резервната копија:

Во следниот прозорец, програмата ќе ве поттикне да ги изберете видовите артефакти што треба да ги најдете. Откако ќе го започнете скенирањето, одете на јазичето Задачата на менаџерот и кликнете на копчето Конфигурирајте ја задачата, бидејќи програмата очекува лозинка за дешифрирање на шифрираната резервна копија.

копче Конфигурирајте ја задачата:

По дешифрирањето на резервната копија, Belkasoft Evidence Center ќе побара од вас повторно да ги наведете типовите на артефакти што треба да се извлечат. По завршувањето на анализата, информациите за извлечените артефакти може да се видат во јазичињата Истражувач на случаи и Преглед .

Резултати од анализата на резервната копија на Huawei Honor 20 Pro:

Анализа на резервна копија на HiSuite со помош на програмата Mobile Forensic Expert

Друга форензичка програма што може да се користи за извлекување податоци од резервна копија на HiSuite е „Мобилен форензичар“.

За да обработите податоци зачувани во резервна копија на HiSuite, кликнете на опцијата Увезување резервни копии во главниот прозорец на програмата.

Фрагмент од главниот прозорец на програмата „Мобилен форензички експерт“:

Или во делот Увоз изберете го типот на увезени податоци Резервна копија на Huawei:

Во прозорецот што се отвора, наведете ја патеката до датотеката info.xml. Кога ќе ја започнете процедурата за извлекување, ќе се појави прозорец во кој ќе биде побарано или да внесете позната лозинка за да ја дешифрирате резервната копија на HiSuite или да ја користите алатката Passware за да се обидете да ја погодите оваа лозинка ако е непозната:

Резултатот од анализата на резервната копија ќе биде прозорецот на програмата „Mobile Forensic Expert“, кој ги прикажува типовите на извлечени артефакти: повици, контакти, пораки, датотеки, довод на настани, податоци за апликацијата. Обрнете внимание на количината на податоци извлечени од различни апликации од оваа форензичка програма. Тоа е само огромно!

Список на извлечени типови податоци од резервната копија на HiSuite во програмата Mobile Forensic Expert:

Дешифрирање бекап на HiSuite

Што да направите ако ги немате овие прекрасни програми? Во овој случај, Python скрипта развиена и одржувана од Франческо Пикасо, вработен во Reality Net System Solutions, ќе ви помогне. Оваа скрипта можете да ја најдете на GitHub, а неговиот подетален опис е во Член „Декриптор за резервни копии на Huawei“.

Дешифрираната резервна копија на HiSuite потоа може да се увезе и анализира со користење на класични форензички алатки (на пр. Аутопсија) или рачно.

Наоди

Така, користејќи ја алатката за резервна копија HiSuite, можете да извлечете по ред повеќе податоци од паметните телефони на Huawei отколку кога извлекувате податоци од истите уреди користејќи ја алатката ADB. И покрај големиот број комунални услуги за работа со мобилни телефони, Belkasoft Evidence Center и Mobile Forensic Expert се меѓу ретките форензички програми кои поддржуваат извлекување и анализа на резервните копии на HiSuite.

Извори

Извор: www.habr.com

Форензичка анализа на резервните копии на HiSuite