Ekstraktimi i tĂ« dhĂ«nave nga pajisjet Android po bĂ«het gjithnjĂ« e mĂ« i vĂ«shtirĂ« â ndonjĂ«herĂ« madje , se sa nga iPhone. Igor Mikhailov, specialist nĂ« Laboratorin e KriminalistikĂ«s Kompjuterike tĂ« Group-IB, shpjegon se çfarĂ« tĂ« bĂ«ni nĂ«se nuk mund tĂ« ekstraktoni tĂ« dhĂ«nat nga njĂ« smartphone Android me metodat standarde.
Disa vjet më parë, unë dhe kolegët e mi diskutuam tendencat e zhvillimit të mekanizmave të sigurisë në pajisjet Android dhe arritëm në përfundimin se do të vijë koha kur hulumtimi i tyre kriminalistik do të bëhet më i vështirë se për pajisjet iOS. Dhe sot mund të themi me siguri se ky moment ka ardhur.
Së fundmi, unë hulumtova Huawei Honor 20 Pro. Si mendoni, çfarë arritëm të nxjerrim nga kopja e tij, e marrë me ndihmën e utilitarios ADB? Asgjë! Në pajisje ka shumë të dhëna: informacion mbi thirrjet, libri telefonik, SMS, biseda në mesazherët, email, skedarë multimedialë etj. Dhe ju nuk mund të nxirrni asgjë prej këtij informacioni. Një ndjesi e tmerrshme!
Si ndodhet në një situatë të tillë? Një zgjidhje e mirë është përdorimi i utilitareve të rezervës të markës (Mi PC Suite për telefonat inteligjentë Xiaomi, Samsung Smart Switch për Samsung, HiSuite për Huawei).
Në këtë artikull, ne do të shqyrtojmë krijimin dhe nxjerrjen e të dhënave nga telefonat inteligjentë Huawei duke përdorur utilitarin HiSuite dhe analizën e tyre të mëtejshme me ndihmën e Belkasoft Evidence Center.
Cilat lloje të të dhënave përfshihen në kopjet rezervë HiSuite?
Kopjet rezervë HiSuite përfshijnë llojet e mëposhtme të të dhënave:
- të dhënat për llogaritë dhe fjalëkalimet (ose tokenët)
- kontaktet
- telefonatat
- mesazhet SMS dhe MMS
- posta elektronike
- skedarë multimedia
- e bazës së të dhënave
- dokumenti
- arkiva
- skedarët e aplikacioneve (skedarë me zgjerimet.odex, .so, .apk)
- informacionin nga aplikacionet (të tilla si Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, etj.)
Të shqyrtojmë më në detaje se si krijohet një kopje rezervë e tillë dhe si mund të analizohet me Belkasoft Evidence Center.
Krijimi i kopjes rezervë të telefonit inteligjent Huawei me ndihmën e utilitarit HiSuite
Për krijimin e kopjes rezervë me utilitarin, ajo duhet shkarkuar nga faqja dhe instaluar.
Faqja e shkarkimit të programit HiSuite në faqen e Huawei:
Për të lidhur pajisjen me kompjuterin, përdoret mënyra HDB (Huawei Debug Bridge). Në faqen e internetit të Huawei ose në programin e vet HiSuite ka udhëzime të detajuara se si të aktivizoni mënyrën HDB në pajisjen mobile. Pasi të aktivizohet mënyra HDB, hapni aplikacionin HiSuite në pajisjen mobile dhe futni kodin që shfaqet në këtë aplikacion në dritaren e programit HiSuite, i hapur në kompjuter.
Dritarja e futjes së kodit në versionin desktop të HiSuite:
Gjatë procesit të krijimit të kopjes rezervë do të duhet të futni fjalëkalimin që do të përdoret për të mbrojtur të dhënat e nxjerra nga memoria e pajisjes. Kopja rezervë e krijuar do të ndodhet në rrugën C:/Users/%User profile%/Documents/HiSuite/backup/.
Kopja rezervë e smartfonit Huawei Honor 20 Pro:
Analizimi i kopjes rezervë HiSuite me Belkasoft Evidence Center
Për të analizuar kopjen rezervë të marrë me krijoni një rast të ri. Pastaj, si burim të dhënash, zgjidhni opsionin Mobile Image. Në menynë që hapet, specifikoni rrugën deri në direktoriumin ku ndodhet kopja rezervë e smartfonit dhe zgjidhni skedarin info.xml.
Specifikimi i rrugës deri në kopjen rezervë:
Në dritaren e ardhshme, programi do t'ju propozojë të zgjidhni llojet e artefaktëve që duhet të gjenden. Pas nismës së skanimit, kaloni në skedën Menaxheri i Detyrave dhe klikoni butonin Konfiguro detyrën, pasi programi pret të hyjë një fjalëkalim për të dekriptuar kopjen e sigurisë të enkriptuar.
Butoni Konfiguro detyrën:
Pas dekriptimit të kopjes së sigurisë, Belkasoft Evidence Center do t'ju kërkojë të përcaktoni përsëri llojet e artefaktëve që duhet të nxirren. Pas përfundimit të analizës, informacionin mbi artefaktët e nxjerrë mund ta shihni në skedat Eksploruesi i Rastit dhe Përmbledhje .
Rezultatet e analizës së kopjes së sigurisë nga Huawei Honor 20 Pro:
Analiza e kopjes së sigurisë HiSuite me programin «Eksperti Mobil i Kriminalistikës»
Një program tjetër kriminalistik, me të cilin mund të nxirrni të dhëna nga kopja e sigurisë HiSuite, është .
Për të procesuar të dhënat që ndodhen në kopjen e sigurisë HiSuite, klikoni mbi opsionin Importo kopjet e sigurisë në dritaren kryesore të programit.
Shkurtimi i dritares kryesore të programit «Eksperti Mobil i Kriminalistikës»:
Ose në seksionin Importo zgjidhni llojin e të dhënave që po importoni Kopja e sigurisë Huawei:
NĂ« dritaren qĂ« hapet, tregoni rrugĂ«n deri nĂ« skedarin info.xml. Kur tĂ« filloni procedurĂ«n e nxjerrjes, do tĂ« shfaqet njĂ« dritare qĂ« do tâju kĂ«rkojĂ« tĂ« futni njĂ« fjalĂ«kalim tĂ« njohur pĂ«r dekriptimin e kopjes rezervĂ« HiSuite, ose tĂ« aplikoni mjetin e kompanisĂ« Passware pĂ«r tĂ« provuar tĂ« gjeni kĂ«tĂ« fjalĂ«kalim nĂ«se ai nuk Ă«shtĂ« i njohur:
Si rezultat i analizës së kopjes rezervë do të shfaqet një dritare e programit «Mobili Kriminalist Ekspert», ku tregohen llojet e artefakteve të nxjerra: thirrjet, kontaktet, mesazhet, skedarët, rrjedha e ngjarjeve, të dhënat e aplikacioneve. Kushtojini vëmendje sasisë së të dhënave të nxjerra nga aplikacione të ndryshme nga ky program kriminalistik. Ato janë jashtëzakonisht të mëdha!
Lista e llojeve të të dhënave të nxjerra nga kopja rezervë HiSuite në programin «Mobili Kriminalist Ekspert»:
Dekriptimi i kopjeve rezervë HiSuite
ĂfarĂ« tĂ« bĂ«ni nĂ«se nuk keni kĂ«to programe tĂ« shkĂ«lqyera? NĂ« kĂ«tĂ« rast, do tâju ndihmojĂ« njĂ« skritp Python, i zhvilluar dhe mbajtur nga Francesco Picasso, njĂ« punonjĂ«s i Reality Net System Solutions. Ky skritp mund ta gjeni nĂ« , dhe pĂ«rshkrimi i tij mĂ« i detajuar â nĂ« «Huawei backup decryptor».
Në të ardhmen, kopja e rezervës së dekoduar e HiSuite mund të importohet dhe analizohet me mjete klasike kriminalistike (p.sh., ) ose manualisht.
PĂ«rfundimet
Pra, duke përdorur mjetin e kopjimit të HiSuite, mund të nxiren shumë më tepër të dhëna nga telefonat smart Huawei sesa nga këto pajisje duke përdorur mjetin ADB. Megjithëse ka shumë mjete për të punuar me telefona mobilë, Belkasoft Evidence Center dhe "Mobil Kriminalisti Ekspert" janë disa nga programet kriminalistike që mbështesin nxjerrjen dhe analizën e kopjeve rezervë HiSuite.
Burimet
Burimi: habr.com
