Extrahovanie údajov z Android zariadení sa stáva čoraz zložitejším — niekedy aj , ako z iPhone. Igor Michailov, odborník z Laboratória počítačovej kriminalistiky Group-IB, vysvetľuje, čo robiť, ak nemôžete extrahovať údaje zo smartfónu s Androidom štandardnými spôsobmi.
Pred niekoľkými rokmi sme sa s kolegami rozprávali o trendoch vo vývoji bezpečnostných mechanizmov v Android zariadeniach a dospeli sme k názoru, že nastane čas, keď ich kriminalistické skúmanie sa stane zložitejším, než pre zariadenia s iOS. A dnes môžeme s istotou povedať, že tento čas prišiel.
Nedávno som skúmal Huawei Honor 20 Pro. Ako si myslíte, čo sa mi podarilo extrahovať z jeho záložnej kópie, získanej pomocou nástroja ADB? Nič! V zariadení je množstvo údajov: informácie o hovoroch, telefónny zoznam, SMS, komunikácia v messengeroch, elektronická pošta, multimediálne súbory atď. A nemôžete z toho nič extrahovať. Hrozné pocity!
Čo robiť v takej situácii? Dobrým riešením je používanie štandardných zálohovacích nástrojov (Mi PC Suite — pre smartfóny Xiaomi, Samsung Smart Switch pre — Samsung, HiSuite pre — Huawei).
V tomto článku preskúmame vytvorenie a extrakciu údajov zo smartfónov Huawei pomocou nástroja HiSuite a ich následnú analýzu pomocou Belkasoft Evidence Center.
Aké typy údajov sa dostávajú do záloh HiSuite?
Do záloh HiSuite sa dostávajú nasledujúce typy údajov:
- údaje o účtoch a heslách (alebo tokenoch)
- kontakty
- hovory
- SMS a MMS správy
- elektronická pošta
- multimediálne súbory
- databázy
- dokumenty
- archívy
- súbory aplikácií (súbory s príponami.odex, .so, .apk)
- informácie z aplikácií (ako Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube a ďalšie)
Podrobnejšie preskumáme, ako sa vytvára taká zálohová kópia a ako ju analyzovať pomocou Belkasoft Evidence Center.
Vytvorenie zálohy smartfónu Huawei pomocou nástroja HiSuite
Na vytvorenie zálohy musíte stiahnuť oficiálny nástroj z webovej stránky a nainštalovať.
Stránka na stiahnutie programu HiSuite na stránke Huawei:
Na spojenie zariadenia s počítačom sa používa režim HDB (Huawei Debug Bridge). Na stránke Huawei alebo v samotnom programe HiSuite nájdete podrobný návod, ako aktivovať režim HDB na mobilnom zariadení. Po aktivácii režimu HDB spustite na mobilnom zariadení aplikáciu HiSuite a zadajte kód, ktorý sa zobrazí v tejto aplikácii, do okna programu HiSuite, spusteného na počítači.
Okno na zadanie kódu vo desktopovej verzii HiSuite:
Počas vytvárania zálohy bude potrebné zadať heslo, ktoré sa použije na ochranu údajov získaných z pamäte zariadenia. Vytvorená záloha sa bude nachádzať na ceste C:/Users/%User profile%/Documents/HiSuite/backup/.
Záloha smartfónu Huawei Honor 20 Pro:
Analýza zálohy HiSuite pomocou Belkasoft Evidence Center
Na analýzu získanej zálohy pomocou vytvorte novú vec. Potom ako zdroj dát vyberte položku Mobile Image. V otvorenom menu zadajte cestu do adresára, kde sa nachádza záloha smartfónu, a vyberte súbor info.xml.
Určenie cesty k zálohe:
V nasledujúcom okne program navrhne vybrať typy artefaktov, ktoré je potrebné nájsť. Po spustení skenovania prejdite na kartu Task Manager a kliknite na tlačidlo Configure task, keďže program očakáva zadanie hesla na dešifrovanie zašifrovanej zálohy.
Tlačidlo Configure task:
Po dešifrovaní zálohy Belkasoft Evidence Center požiada znovu určiť typy artefaktov, ktoré je potrebné extrahovať. Po skončení analýzy môžete informácie o extrahovaných artefaktoch zobraziť na kartách Case Explorer a Prehľad .
Výsledky analýzy zálohy Huawei Honor 20 Pro:
Analýza zálohy HiSuite pomocou programu „Mobilný Kriminalista Expert“
Ďalší kriminalistický program, pomocou ktorého môžete extrahovať údaje zo zálohy HiSuite, je .
Aby ste spracovali údaje nachádzajúce sa v zálohe HiSuite, kliknite na možnosť Importovať zálohy v hlavnom okne programu.
Fragment hlavného okna programu „Mobilný Kriminalista Expert“:
Alebo v sekcii Import vyberte typ importovaných údajov Záloha Huawei:
V otvorenom okne určte cestu k súboru info.xmlPri spustení procesu extrakcie sa objaví okno, v ktorom sa ponúkne buď zadať známe heslo na dešifrovanie zálohy HiSuite, alebo použiť nástroj spoločnosti Passware, aby sa pokúsil získať toto heslo, ak nie je známe:
Výsledkom analýzy zálohy bude okno programu „Mobilný Kriminalista Expert“, v ktorom sú zobrazené typy extrahovaných artefaktov: hovory, kontakty, správy, súbory, časová os udalostí, údaje aplikácií. Všimnite si množstvo údajov, ktoré sa vyextrahovali z rôznych aplikácií týmto kriminalistickým programom. Je to naozaj ohromné!
Zoznam extrahovaných typov údajov z zálohy HiSuite v programe „Mobilný Kriminalista Expert“:
Dešifrovanie záloh HiSuite
Čo robiť, ak tieto úžasné programy nemáte? V takom prípade vám pomôže Python skript, ktorý vyvinul a spravuje Francesco Picasso, zamestnanec Reality Net System Solutions. Tento skript nájdete na , a jeho podrobnejší popis nájdete v „Huawei backup decryptor“.
V ďalšom kroku môže byť dešifrovaná záloha HiSuite importovaná a analyzovaná pomocou klasických kriminalistických nástrojov (napríklad ) alebo ručne.
Zhrnutie
Takto, pomocou nástroja na zálohovanie HiSuite je možné extrahovať z telefónov Huawei poriadne viac údajov, než pri extrakcii údajov z týchto zariadení pomocou nástroja ADB. Napriek množstvu nástrojov na prácu s mobilnými telefónmi sú Belkasoft Evidence Center a „Mobilný Kriminalista Expert“ jedny z mála kriminalistických programov, ktoré podporujú extrakciu a analýzu záloh HiSuite.
Zdroje
Zdroj: habr.com
