Ekstraktimi i tĂ« dhĂ«nave nga pajisjet Android po bĂ«het çdo ditĂ« e mĂ« i komplikuar â ndonjĂ«herĂ« madje , sesa nga iPhone. Igor Mihajllov, specialisti i LaboratorisĂ« sĂ« KriminalistikĂ«s Informatike Group-IB, thotĂ« se çfarĂ« tĂ« bĂ«ni nĂ«se nuk mund tĂ« nxirrni tĂ« dhĂ«na nga njĂ« smartphone Android me metodat standarde.
Pak vite më parë, unë dhe kolegët e mi diskutuam trendet në zhvillimin e mekanizmave të sigurisë në pajisjet Android dhe arritëm në mendimin se do të ketë një kohë kur hetimi i tyre kriminalistik do të bëhet më i vështirë sesa për pajisjet iOS. Dhe sot mund të themi me siguri se kjo kohë ka ardhur.
Së fundmi kam hetuar Huawei Honor 20 Pro. Si mendoni, çfarë arrita të nxjerr nga kopja rezervë e fituar me ndihmën e mjetit ADB? Asgjë! Pajisja ka plot të dhëna: informacion mbi thirrjet, bukuroshe telefonike, SMS, biseda në mesazherë, email, skedarë multimedialë, etj. Dhe ju nuk mund të nxirrni asgjë prej këtyre. Ndjenja e tmerrshme!
ĂfarĂ« tĂ« bĂ«ni nĂ« njĂ« situatĂ« tĂ« tillĂ«? NjĂ« zgjidhje e mirĂ« Ă«shtĂ« pĂ«rdorimi i mjeteve tĂ« rezervĂ«s markĂ« (Mi PC Suite â pĂ«r smartphone tĂ« Xiaomi, Samsung Smart Switch pĂ«r â Samsung, HiSuite pĂ«r â Huawei).
Në këtë artikull do të shqyrtojmë krijimin dhe nxjerrjen e të dhënave nga smartphone Huawei me mjete HiSuite dhe analizimin e tyre të mëpasshëm me ndihmën e Belkasoft Evidence Center.
Cilat lloje të dhënash përfshihen në kopjet rezervë HiSuite?
Në kopjet rezervë HiSuite përfshihen llojet e mëposhtme të të dhënave:
- të dhënat për llogaritë dhe fjalëkalimet (apo tokenët)
- kontaktet
- .
- mesazhet SMS dhe MMS
- skedarë multimedialë
- të bazës së të dhënave
- dokumente
- arkivë
- skedarë aplikativë (skedarë me përmasa.odex, .so, .apk)
- informacione nga aplikacione (të tilla si Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, etj.)
Të shqyrtojmë më në detaje se si krijohet një kopje rezervë e tillë dhe si ta analizojmë me ndihmën e Belkasoft Evidence Center.
Krijimi i kopjës rezervë të smartphone Huawei me mjete HiSuite
Për të krijuar një kopje rezervë me mjetin e markës, duhet ta shkarkoni nga faqja dhe ta instaloni.
Faqja e shkarkimit të programit HiSuite në faqen e Huawei:
Për të lidhur pajisjen me kompjuterin, përdoret moda HDB (Huawei Debug Bridge). Në sajtin e Huawei ose në vetë programin HiSuite ka një udhëzim të detajuar se si të aktivizohet moda HDB në pajisjen mobile. Pas aktivizimit të modës HDB, hapni aplikacionin HiSuite në pajisjen mobile dhe shkruani kodin që shfaqet në këtë aplikacion, në dritaren e programit HiSuite të hapur në kompjuter.
Dritarja e hyrjes së kodit në versionin desktop të HiSuite:
Gjatë krijimit të një kopjeje rezervë, do të kërkohet të shkruani një fjalëkalim që do të përdoret për të mbrojtur të dhënat e nxjerra nga memoria e pajisjes. Kopja rezervë e krijuar do të gjendet në rrugën C:/Users/%User profile%/Documents/HiSuite/backup/.
Kopja rezervë e smartphone-it Huawei Honor 20 Pro:
Analiza e kopjes rezervë HiSuite me ndihmën e Belkasoft Evidence Center
Për të analizuar kopjen rezervë të marrë me ndihmën e krijoni një rast të ri. Pastaj, si burim të dhënash, zgjidhni opsionin Mobile Image. Në menunë që hapet, specifikoni rrugën deri në katalogun ku ruhet kopja rezervë e smartphone-it dhe zgjidhni skedarin info.xml.
Specifikimi i rrugës deri në kopjen rezervë:
Në dritaren tjetër, programi do të kërkojë të zgjidhni llojet e artefakteve që duhet të gjenden. Pas fillimit të skanimit, kaloni te tab-ul Menaxheri i Detyrave dhe klikoni butonin Konfiguroni detyrën, pasi programi pret hyrjen e fjalëkalimit për të dekriptuar kopjen rezervë të enkriptuar.
Butoni Konfiguroni detyrën:
Pas dekriptimeve të kopjes rezervë, Belkasoft Evidence Center do t'ju kërkojë përsëri të specifikoni llojet e artefakteve që duhet të nxirren. Pas përfundimit të analizës, informacioni për artefaktet e nxjerra mund të shikohet në tab-ul Eksploruesi i Rastit dhe Përmbledhje .
Rezultatet e analizës së kopjes rezervë Huawei Honor 20 Pro:
Analiza e kopjes rezervë HiSuite me ndihmën e programit 'Mobil Kiminalist Ekspert'
Një program tjetër kriminalistike, me ndihmën e të cilit mund të nxirren të dhëna nga kopja rezervë HiSuite, është .
Për të përpunuar të dhënat që ndodhen në kopjen rezervë HiSuite, klikoni në opsionin Importoni kopjet rezervë në dritaren kryesore të programit.
Fragmenti i dritares kryesore të programit 'Mobil Kiminalist Ekspert':
Ose në seksionin Import zgjidhni llojin e të dhënave të importuara Kopja rezervë Huawei:
Në dritaren që hapet, specifikoni rrugën deri në skedarin info.xml. Në fillim të procedurës së nxjerrjes do të shfaqet një dritare, ku do të ofrohet të futni një fjalëkalim të njohur për deshifrimin e kopjes rezervë HiSuite, ose të aplikoni mjetin e kompanisë Passware për të provuar të gjeni këtë fjalëkalim, nëse ai nuk është i njohur:
Rezultati i analizës së kopjes rezervë do të jetë një dritare e programit «Mobile Forensic Expert», në të cilën shfaqen llojet e artefakteve të nxjerra: thirrje, kontakte, mesazhe, skedarë, rryma ngjarjesh, të dhëna aplikacionesh. Vini re sasinë e të dhënave të nxjerra nga aplikacione të ndryshme nga ky program kriminalistik. Ajo është thjesht e jashtëzakonshme!
Lista e llojeve të të dhënave të nxjerra nga kopja rezervë HiSuite në programin «Mobile Forensic Expert»:
Deshifrimi i kopjeve rezervë HiSuite
ĂfarĂ« tĂ« bĂ«ni nĂ«se nuk e keni kĂ«tĂ« programe tĂ« mrekullueshme? NĂ« kĂ«tĂ« rast, ju ndihmon njĂ« skript Python, i zhvilluar dhe mbĂ«shtetur nga Francesco Picasso, njĂ« punonjĂ«s i Reality Net System Solutions. Ky skript mund ta gjeni tek , dhe njĂ« pĂ«rshkrim mĂ« i detajuar - nĂ« «Huawei backup decryptor».
Në vazhdim, kopja rezervë HiSuite e deshifruar mund të importohet dhe analizohen me ndihmën e mjeteve tradicionale kriminalistike (p.sh., ) ose manualisht.
PĂ«rfundimet
Kështu, duke përdorur mjetin e kopjimit rezervë HiSuite, nga telefonat Huawei mund të nxirren shumë më tepër të dhëna se sa duke nxjerrë të dhëna nga këto pajisje me ndihmën e mjetit ADB. Pavarësisht numrit të madh të mjeteve për punën me telefonat mobilë, Belkasoft Evidence Center dhe «Mobile Forensic Expert» janë disa nga programet kriminalistike më të pakta që mbështesin nxjerrjen dhe analizimin e kopjeve rezervë HiSuite.
Burimet
Burimi: habr.com
