DĂ«shironi tĂ« dini se cilat lloje artefaktesh kriminalistike tĂ« WhatsApp ekzistojnĂ« nĂ« sisteme operative tĂ« ndryshme dhe ku saktĂ«sisht mund tĂ« zbulohen ato â atĂ«herĂ« jeni nĂ« vendin e duhur. Kjo artikull Ă«shtĂ« shkruar nga specialisti i LaboratorisĂ« sĂ« KriminalistikĂ«s Kompjuterike Group-IB Igor Mikhailov hap serinĂ« e publikimeve mbi hetimin kriminalistik tĂ« WhatsApp dhe se çfarĂ« informacioni mund tĂ« merrni duke analizuar njĂ« pajisje.
Fillimisht vëmendja se në sisteme operative të ndryshme ruhen lloje të ndryshme artefaktesh të WhatsApp, dhe nëse nga një pajisje një hulumtues mund të nxjerrë disa lloje të dhënash të WhatsApp, kjo nuk do të thotë se lloje të ngjashme të dhënash mund të nxjerren nga një pajisje tjetër. Për shembull, nëse merret një njësi kompjuterike që punon me OS Windows, atëherë në disqet e saj, me siguri, nuk do të gjejmë biseda të WhatsApp (përjashtim përbën kopjet rezervë të pajisjeve iOS, të cilat mund të zbulohen në këto disqe). Ndërsa në rastin e marrjes së laptopëve dhe pajisjeve mobile do të ketë veçori të tjera. Le të flasim për këtë më në detaje.
Artefaktet e WhatsApp në pajisjet Android
Për të nxjerrë artefaktet e WhatsApp nga një pajisje që punon me OS Android, hulumtuesi duhet të ketë të drejtat e superpërdoruesit ('root') në pajisjen e hulumtuar ose të ketë mundësi ta nxjerrë ndryshe një dump fizik të memorjes së pajisjes, ose sistemin e saj të dosjeve (për shembull, duke përdorur dobësitë softuerike të pajisjes mobile të caktuar).
Skedarët e aplikacionit ruhen në memorjen e telefonit në një seksion ku ruhen të dhënat e përdoruesit. Në përgjithësi, ky seksion quhet 'userdata'. Nënkatalogët dhe skedarët e programit ndodhen në rrugën: '/data/data/com.whatsapp/'.
Skedarët kryesorë që përmbajnë artefakte kriminalistike të WhatsApp në OS Android janë bazat e të dhënave 'wa.db' dhe 'msgstore.db'.
Në bazën e të dhënave 'wa.db' ndodhet lista e plotë e kontakteve të përdoruesit të WhatsApp, duke përfshirë numrin e telefonit, emrin e shfaqur, markat e kohës dhe çdo informacion tjetër të dhënë gjatë regjistrimit në WhatsApp. Skedari 'wa.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:
Tabelat më interessante në bazën e të dhënave 'wa.db' për hulumtuesin janë:
- 'wa_contacts'
Kjo tabelë përmban informacion mbi kontaktet: id e kontaktit në WhatsApp, informacion mbi statusin, emrin e shfaqur të përdoruesit, markat e kohës etj.Pamja e tabelës:
Struktura e tabelĂ«sEmri i fushĂ«s Vlera _id numri rendor i zapisĂ«ve (nĂ« tabelĂ«n SQL) jid ID e kontaktit nĂ« WhatsApp, shkruhet nĂ« formatin @s.whatsapp.net is_whatsapp_user pĂ«rmban â1â nĂ«se kontakti pĂ«rputhet me njĂ« pĂ«rdorues aktual tĂ« WhatsApp, â0â nĂ« tĂ« kundĂ«rt status pĂ«rmban tekstin qĂ« shfaqet nĂ« statusin e kontaktit status_timestamp pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time (ms) numri numri i telefonit tĂ« asociuar me kontaktin raw_contact_id numri rendor i kontaktit display_name emri i shfaqur i kontaktit phone_type lloji i telefonit phone_label etiketa e asociuar me numrin e kontaktit unseen_msg_count numri i mesazheve qĂ« janĂ« dĂ«rguar nga kontakti por nuk janĂ« lexuar nga marrĂ«si photo_ts pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time thumb_ts pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time photo_id_timestamp pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time (ms) given_name vlera e fushĂ«s pĂ«rputhet me âdisplay_nameâ pĂ«r çdo kontakt wa_name emri i kontaktit nĂ« WhatsApp (emri i shfaqur qĂ« Ă«shtĂ« vendosur nĂ« profilin e kontaktit) sort_name emri i kontaktit qĂ« pĂ«rdoret nĂ« operacionet e renditjes nickname noja e kontaktit nĂ« WhatsApp (noja qĂ« shfaqet qĂ« Ă«shtĂ« vendosur nĂ« profilin e kontaktit) company kompania (emri i kompanisĂ« qĂ« shfaqet nĂ« profilin e kontaktit) title titulli (zonjĂ«s/zotĂ«ri; titulli qĂ« shfaqet nĂ« profilin e kontaktit) offset zhvendosja - 'sqlite_sequence'
Kjo tabelë përmban informacion mbi numrin e kontakteve; - 'android_metadata'
Kjo tabelë përmban informacion mbi lokalizimin gjuhësor të WhatsApp.
Në bazën e të dhënave 'msgstore.db' përmban informacion mbi mesazhet e dërguara, të tilla si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, të dhënat për skedarët e dërguar të përfshirë në mesazhe etj. Skedari 'msgstore.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:
Tabelat më interesante në skedarin 'msgstore.db' për hulumtuesin janë:
- 'sqlite_sequence'
Kjo tabelë përmban informacion të përgjithshëm mbi këtë bazë të të dhënave, për shembull, numrin total të mesazheve të ruajtura, numrin total të bisedave etj.Pamja e tabelës:
- 'message_fts_content'
Përmban tekstin e mesazheve të dërguara.Pamja e tabelës:
- 'messages'
Kjo tabelë përmban informacion të tillë si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, të dhënat për skedarët e dërguar të përfshirë në mesazhe.Pamja e tabelës:
Struktura e tabelĂ«sEmri i fushĂ«s Vlera _id numri rendor i zapisĂ«ve (nĂ« tabelĂ«n SQL) key_remote_jid ID e WhatsApp e partnerit tĂ« komunikimit key_from_me direksioni i mesazhit: â0â â hyrĂ«se, â1â â dalĂ«se key_id identifikuesi unik i mesazhit status statusi i mesazhit: â0â â i dĂ«rguar, â4â â nĂ« pritje tĂ« serveri, â5â â arritur nĂ« destinacion, â6â â mesazh kontrolli, â13â â mesazhi Ă«shtĂ« hapur nga marrĂ«si (lexuar) need_push ka vlerĂ«n â2â nĂ«se Ă«shtĂ« mesazh nĂ« grup, pĂ«rndryshe pĂ«rmban â0â data teksti i mesazhit (kur parametri âmedia_wa_typeâ Ă«shtĂ« â0â) timestamp pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes media_url pĂ«rmban URL-nĂ« e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_mime_type Lloji MIME i skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_wa_type tipo i mesazhit: â0â â tekst, â1â â skedar grafik, â2â â skedar audio, â3â â skedar video, â4â â kartĂ« kontakti, â5â â tĂ« dhĂ«na gjeografike media_size masat e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_name emri i skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_caption PĂ«rmban fjalĂ«t âaudioâ, âvideoâ pĂ«r vlerat pĂ«rkatĂ«se tĂ« parametrave âmedia_wa_typeâ (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â3â) media_hash hash i koduar nĂ« formatin base64 i skedarit tĂ« dĂ«rguar, llogaritur me algoritmin HAS-256 (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_duration kohĂ«zgjatja nĂ« sekonda pĂ«r skedarin mediatik (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) origin ka vlerĂ«n â2â nĂ«se Ă«shtĂ« mesazh nĂ« grup, pĂ«rndryshe pĂ«rmban â0â latitude tĂ« dhĂ«na gjeografike: gjerĂ«sia (kur parametri âmedia_wa_typeâ Ă«shtĂ« â5â) longitude tĂ« dhĂ«na gjeografike: gjatĂ«sia (kur parametri âmedia_wa_typeâ Ă«shtĂ« â5â) thumb_image tĂ« dhĂ«na shĂ«rbimi remote_recource ID e dĂ«rguesit (vetĂ«m pĂ«r bisedat nĂ« grup) received_timestamp koha e marrjes, pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â0â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r) send_timestamp nuk pĂ«rdoret, zakonisht ka vlerĂ«n â-1â receipt_server_timestamp koha e marrjes nga serveri qendror serverin, pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â1â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r receipt_device_timestamp koha e marrjes sĂ« mesazhit nga pajisja tjetĂ«r, pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â1â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r read_device_timestamp koha e hapjes (leximit) tĂ« mesazhit, pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes played_device_timestamp koha e luajtjes sĂ« mesazhit, pĂ«rmban njĂ« timestamp nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes raw_data miniatura e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â ose â3â) recipient_count numri i marrĂ«sve (pĂ«r mesazhet nĂ« grup) participant_hash pĂ«rdoret gjatĂ« dĂ«rgimit tĂ« mesazheve me tĂ« dhĂ«na gjeografike starred nuk pĂ«rdoret quoted_row_id nuk dihet, zakonisht pĂ«rmban vlerĂ«n â0â mentioned_jids nuk pĂ«rdoret multicast_id nuk pĂ«rdoret offset zhvendosja Ky listĂ« fushash nuk Ă«shtĂ« shteruese. PĂ«r versione tĂ« ndryshme tĂ« WhatsApp, disa nga fushat mund tĂ« jenĂ« tĂ« pranishme ose tĂ« mungojnĂ«. Fusha tĂ« tjera gjithashtu mund tĂ« jenĂ« tĂ« pranishme âmedia_enc_hashâ, âedit_versionâ, âpayment_transaction_idâ etj.
- âmessages_thumbnailsâ
Ky tabelĂ« pĂ«rmban informacione rreth imazheve tĂ« dĂ«rguara dhe timestampet. NĂ« kolonĂ«n âtimestampâ koha Ă«shtĂ« e shĂ«nuar nĂ« formatin Unix Epoch Time (ms). - âchat_listâ
Ky tabelë përmban informacione rreth bisedave.Pamja e tabelës:
Gjithashtu, gjatë hetimit të WhatsApp në një pajisje mobile që funksionon me Android, duhet të kushtoni vëmendje ndaj skedarëve të mëposhtëm:
- Skedari âmsgstore.db.cryptXXâ (ku XX â njĂ« ose dy numra nga 0 deri nĂ« 12, pĂ«r shembull, msgstore.db.crypt12). PĂ«rmban njĂ« kopje rezervĂ« tĂ« enkriptuar tĂ« mesazheve WhatsApp (kopja rezervĂ« e skedarit msgstore.db). Skedari (ose skedarĂ«t) âmsgstore.db.cryptXXâ ndodhet nĂ« rrugĂ«n: â/data/media/0/WhatsApp/Databases/â (kartela virtuale SD), â/mnt/sdcard/WhatsApp/Databases/â (kartela fizike SD).
- Skedari âkeyâ. PĂ«rmban çelĂ«sin kriptografik. Ndodhet nĂ« rrugĂ«n: â/data/data/com.whatsapp/files/â. PĂ«rdoret pĂ«r tĂ« dekriptuar kopjet rezervĂ« tĂ« enkriptuara tĂ« WhatsApp.
- Skedari âcom.whatsapp_preferences.xmlâ. PĂ«rmban informacione pĂ«r profilin e llogarisĂ« WhatsApp. Skedari ndodhet nĂ« rrugĂ«n: â/data/data/com.whatsapp/shared_prefs/â.
Fraksioni i përmbajtjes së skedarit
⊠9123456789 (numri i telefonit, i lidhur me llogarinĂ« WhatsApp) ⊠2.17.395 (versioni i WhatsApp) ⊠Hey there! I am using WhatsApp. (mesazhi qĂ« shfaqet nĂ« statusin e llogarisĂ«) ⊠Alex (emri i pronarit tĂ« llogarisĂ«) ⊠- Skedari âregistration.RegisterPhone.xmlâ. PĂ«rmban informacione pĂ«r numrin e telefonit tĂ« lidhur me llogarinĂ« WhatsApp. Skedari ndodhet nĂ« rrugĂ«n: â/data/data/com.whatsapp/shared_prefs/â.
PĂ«rmbajtja e skedarit
- Skedari 'axolotl.db'. Përmban çelësa kriptografikë dhe të dhëna të tjera që janë të nevojshme për identifikimin e pronarit të llogarisë. Gjejmë në rrugë: '/data/data/com.whatsapp/databases/'.
- Skedari 'chatsettings.db'. Përmban informacion në lidhje me konfigurimin e aplikacionit.
- Skedari 'wa.db'. Përmban detaje të kontakteve. Një bazë të dhënash shumë interesante (në aspektin kriminalistik) dhe informuese. Aty mund të gjenden informacione të hollësishme për kontaktet e fshira.
Po ashtu duhet të kushtohet vëmendje katalogëve të mëposhtëm:
- Katalóg '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Përmban skedarët grafikë të dërguar.
- Katalóg '/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/'. Përmban mesazhe zanore në formate .OPUS.
- Katalóg '/data/data/com.whatsapp/cache/Profile Pictures/'. Përmban skedarë grafikë - imazhe të kontakteve.
- Katalóg '/data/data/com.whatsapp/files/Avatars/'. Përmban skedarë grafikë - miniaturat e imazheve të kontakteve. Këta skedarë kanë zgjerimin '.j', megjithatë, janë skedarë grafikë në formatin JPEG (JPG).
- Katalóg '/data/data/com.whatsapp/files/Avatars/'. Përmban skedarë grafikë - imazhin dhe miniaturën e imazhit të vendosur si avatar nga pronari i llogarisë.
- Katalóg '/data/data/com.whatsapp/files/Logs/'. Përmban ditarin e funksionit të programit (skedari 'whatsapp.log') dhe kopje rezervë të ditarëve të funksionit të programit (skedarët me emrat në formatin whatsapp-gggg-mm-dd.1.log.gz).
Skedarët e ditarëve të WhatsApp:
Fragmenti i ditarit2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 sent, 82 received / Media Messages: 1 sent (0 bytes), 0 received (9850158 bytes) / Offline Messages: 81 received (19522 msec average delay) / Message Service: 116075 bytes sent, 211729 bytes received / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes received / Google Drive: 0 bytes sent, 0 bytes received / Roaming: 1524 bytes sent, 1826 bytes received / Total Data: 118567 bytes sent, 10063417 bytes received
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Audio/â. Contains received audio files.
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/â. Contains sent audio files.
- KatalĂłg '/data/media/0/WhatsApp/Media/WhatsApp Images/'. Contains received graphic files.
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/â. Contains sent graphic files.
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Video/â. Contains received video files.
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/â. Contains sent video files.
- KatalĂłg â/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/â. Contains graphic files associated with the WhatsApp account owner.
- To save space on your Android smartphone, some WhatsApp data can be stored on the SD card. In the root directory of the SD card, there is a directory âWhatsAppâ, where the following artifacts of this program can be found:
- KatalĂłg â.Shareâ (â/mnt/sdcard/WhatsApp/.Share/â). Contains copies of files that have been sent to other WhatsApp users.
- KatalĂłg â.trashâ (â/mnt/sdcard/WhatsApp/.trash/â). Contains deleted files.
- KatalĂłg âDatabasesâ (â/mnt/sdcard/WhatsApp/Databases/â). Contains encrypted backups. They can be decrypted if the file âkeyâ, extracted from the memory of the analyzed device, is available.
Files located in the subdirectory âDatabasesâ:
- KatalĂłg Media (â/mnt/sdcard/WhatsApp/Media/â). Ka pĂ«rmban nĂ«nfoldere âWallPaperâ, âWhatsApp Audioâ, âWhatsApp Imagesâ, âWhatsApp Profile Photosâ, âWhatsApp Videoâ, âWhatsApp Voice Notesâ, ku ndodhen skedarĂ«t multimediatikĂ« tĂ« pranuar dhe tĂ« dĂ«rguar (skedarĂ« grafikĂ«, skedarĂ« video, mesazhe zanore, fotografi, tĂ« lidhura me profilin e pronarit tĂ« llogarisĂ« WhatsApp, sfondet).
- KatalĂłg âProfile Picturesâ (â/mnt/sdcard/WhatsApp/Profile Pictures/â). Ka skedarĂ« grafikĂ« tĂ« lidhur me profilin e pronarit tĂ« llogarisĂ« WhatsApp.
- HerĂ« pas here, nĂ« kartelĂ«n SD mund tĂ« jetĂ« e pranishme njĂ« katalog âfilesâ (â/mnt/sdcard/WhatsApp/Files/â). NĂ« kĂ«tĂ« katalog ruhen skedarĂ«, nĂ« tĂ« cilĂ«t ruhen parameteret e programit dhe preferencat e pĂ«rdoruesit.
Karakteristikat e ruajtjes së të dhënave në disa modele të pajisjeve mobile
NĂ« disa modele tĂ« pajisjeve mobile qĂ« pĂ«rdorin OS Android, Ă«shtĂ« e mundur ruajtja e artefakteve tĂ« WhatsApp nĂ« njĂ« vend tjetĂ«r. Kjo pĂ«r shkak tĂ« ndĂ«rrimit tĂ« hapĂ«sirĂ«s sĂ« ruajtjes sĂ« tĂ« dhĂ«nave tĂ« aplikacioneve nga softueri i sistemit tĂ« pajisjes mobile. PĂ«r shembull, nĂ« pajisjet mobile Xiaomi ka funksionin e krijimit tĂ« njĂ« hapĂ«sire tĂ« dytĂ« tĂ« punĂ«s (âSecondSpaceâ). Kur aktivizohet ky funksion, ndodhin ndryshime nĂ« vendndodhjen e tĂ« dhĂ«nave. KĂ«shtu, nĂ« njĂ« pajisje mobile tĂ« zakonshme qĂ« pĂ«rdor OS Android, tĂ« dhĂ«nat e pĂ«rdoruesit ruhen nĂ« katalogun â/data/user/0/â (e cila Ă«shtĂ« njĂ« referencĂ« nĂ« tĂ« njohurĂ«n â/data/data/â), nĂ« hapĂ«sirĂ«n e dytĂ« tĂ« punĂ«s, tĂ« dhĂ«nat e aplikacioneve ruhen nĂ« katalogun â/data/user/10/â. KĂ«shtu, pĂ«rmes vendndodhjes sĂ« skedarit 'wa.db':
- nĂ« njĂ« smartphone tĂ« zakonshĂ«m qĂ« pĂ«rdor OS Android: /data/user/0/com.whatsapp/databases/wa.dbâ (e cila Ă«shtĂ« ekuivalente me â/data/data/com.whatsapp/databases/wa.dbâ);
- nĂ« hapĂ«sirĂ«n e dytĂ« tĂ« punĂ«s tĂ« smartphone-it Xiaomi: â/data/user/10/com.whatsapp/databases/wa.dbâ.
Artefaktet e WhatsApp në pajisjet iOS
Ndryshe nga sistemi operativ Android, nĂ« iOS tĂ« dhĂ«nat e aplikacionit WhatsApp janĂ« tĂ« ruajtura nĂ« njĂ« kopje rezervĂ« (iTunes backup). Prandaj, nxjerrja e tĂ« dhĂ«nave tĂ« kĂ«tij aplikacioni nuk kĂ«rkon nxjerrjen e sistemit tĂ« skedarĂ«ve ose krijimin e njĂ« dump-i fizik tĂ« memories sĂ« pajisjes sĂ« hetueshme. Shumica e informacionit tĂ« rĂ«ndĂ«sishĂ«m gjendet nĂ« databazĂ«n âChatStorage.sqliteâ, e cila Ă«shtĂ« nĂ« rrugĂ«n: â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/â (nĂ« disa programe, kjo rrugĂ« shfaqet si âAppDomainGroup-group.net.whatsapp.WhatsApp.sharedâ).
Struktura âChatStorage.sqliteâ:
Tabelat mĂ« informative nĂ« databazĂ«n âChatStorage.sqliteâ janĂ« âZWAMESSAGEâ dhe âZWAMEDIAITEMâ.
Pamja e tabelĂ«s âZWAMESSAGEâ:
Struktura e tabelĂ«s âZWAMESSAGEâ
| Emri i fushës | Vlera |
|---|---|
| Z_PK | numri rendor i zapisëve (në tabelën SQL) |
| Z_ENT | identifikuesi i tabelĂ«s, ka vlerĂ«n â9â |
| Z_OPT | nuk dihet, zakonisht pĂ«rmban vlera nga â1â deri â6â |
| ZCHILDMESSAGESDELIVEREDCOUNT | nuk dihet, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZCHILDMESSAGESPLAYEDCOUNT | nuk dihet, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZCHILDMESSAGESREADCOUNT | nuk dihet, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZDATAITEMVERSION | nuk dihet, zakonisht pĂ«rmban vlerĂ«n â3â, ndoshta Ă«shtĂ« njĂ« tregues pĂ«r mesazhin tekstual |
| ZDOCID | e panjohur |
| ZENCRETRYCOUNT | nuk dihet, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZFILTEREDRECIPIENTCOUNT | nuk dihet, zakonisht pĂ«rmban vlera â0â, â2â, â256â |
| ZISFROMME | direksioni i mesazhit: â0â â hyrĂ«se, â1â â dalĂ«se |
| ZMESSAGEERRORSTATUS | statusi i dĂ«rgimit tĂ« mesazhit. NĂ«se mesazhi Ă«shtĂ« dĂ«rguar/marrĂ«, atĂ«herĂ« ka vlerĂ«n â0â |
| ZMESSAGETYPE | tipi i mesazhit të dërguar |
| ZSORT | e panjohur |
| ZSPOTLIGHSTATUS | e panjohur |
| ZSTARRED | nuk dihet, nuk përdoret |
| ZCHATSESSION | e panjohur |
| ZGROUPMEMBER | nuk dihet, nuk përdoret |
| ZLASTSESSION | e panjohur |
| ZMEDIAITEM | e panjohur |
| ZMESSAGEINFO | e panjohur |
| ZPARENTMESSAGE | nuk dihet, nuk përdoret |
| ZMESSAGEDATE | timestamp në formatin OS X Epoch Time |
| ZSENTDATE | koha e dërgimit të mesazhit në formatin OS X Epoch Time |
| ZFROMJID | WhatsApp ID i dërguesit |
| ZMEDIASECTIONID | përmban vitin dhe muajin e dërgimit të skedarit mediatik |
| ZPHASH | nuk dihet, nuk përdoret |
| ZPUSHPAME | emri i kontaktit të dërguesit të skedarit mediatik në formatin UTF-8 |
| ZSTANZID | identifikuesi unik i mesazhit |
| ZTEXT | teksti i mesazhit |
| ZTOJID | WhatsApp ID i marrësit |
| OFFSET | zhvendosja |
Pamja e tabelĂ«s âZWAMEDIAITEMâ:
Struktura e tabelĂ«s âZWAMEDIAITEMâ
| Emri i fushës | Vlera |
|---|---|
| Z_PK | numri rendor i zapisëve (në tabelën SQL) |
| Z_ENT | identifikuesi i tabelĂ«s, ka vlerĂ«n â8â |
| Z_OPT | nuk dihet, zakonisht pĂ«rmban vlera nga â1â deri â3â. |
| ZCLOUDSTATUS | ka vlerĂ«n â4â nĂ«se skedari Ă«shtĂ« ngarkuar. |
| ZFILESIZE | përmban madhësinë e skedarit (në byte) për skedarët e ngarkuar |
| ZMEDIAORIGIN | nuk dihet, zakonisht ka vlerĂ«n â0â |
| ZMOVIEDURATION | gjatësia e skedarit mediatik, për skedarët pdf mund të përmbajë numrin e faqeve të dokumentit |
| ZMESSAGE | pĂ«rmban numrin rendor (numri ndryshon nga ai qĂ« shfaqet nĂ« kolonĂ«n âZ_PKâ) |
| ZASPECTRATIO | raporti i aspektit, nuk pĂ«rdoret, zakonisht ka vlerĂ«n â0â |
| ZHACCURACY | nuk dihet, zakonisht ka vlerĂ«n â0â |
| ZLATTITUDE | gjerësia në piksel |
| ZLONGTITUDE | lartësia në piksel |
| ZMEDIAURLDATE | timestamp në formatin OS X Epoch Time |
| ZAUTHORNAME | autori (për dokumente, mund të përmbajë emrin e skedarit) |
| ZCOLLECTIONNAME | nuk përdoret |
| ZMEDIALOCALPATH | emri i skedarit (me rrugën e specifikuar) në sistemin e skedarëve të pajisjes |
| ZMEDIAURL | URL ku ndodhej skedari mediatik. NĂ«se skedari u dha nga njĂ« abonent tek tjetri, ai ishte i enkriptuar, dhe zgjerimi i tij do tĂ« indikohet si zgjerimi i skedarit tĂ« dĂ«rguar â .enc |
| ZTHUMBNAILLOCALPATH | rruga deri te miniatura e skedarit në sistemin e skedarëve të pajisjes |
| ZTITLE | titulli i skedarit |
| ZVCARDNAME | hash i skedarit mediatik, kur skedari dërgohet në grup mund të përmbajë identifikuesin e dërguesit |
| ZVCARDSTRING | përmban informacion mbi tipin e skedarit të dërguar (p.sh., image/jpeg), kur skedari dërgohet në grup mund të përmbajë identifikuesin e marrësit |
| ZXMPPTHUMBPATH | rruga deri te miniatura e skedarit në sistemin e skedarëve të pajisjes |
| ZMEDIAKEY | e panjohur, ndoshta përmban një çelës për dekriptime të skedarëve të kriptuar. |
| ZMETADATA | metadatat e mesazhit të dërguar |
| Offset | zhvendosja |
TĂ« tjera tabela interesante tĂ« bazĂ«s sĂ« tĂ« dhĂ«nave âChatStorage.sqliteâ janĂ«:
- âZWAPROFILEPUSHNAMEâ. Korrrespondon ID-nĂ« e WhatsApp me emrin e kontaktit;
- âZWAPROFILEPICTUREITEMâ. Korrrespondon ID-nĂ« e WhatsApp me avatarin e kontaktit;
- âZ_PRIMARYKEYâ. Tabela pĂ«rmban informacione tĂ« pĂ«rgjithshme mbi kĂ«tĂ« bazĂ« tĂ« tĂ« dhĂ«nave, siç janĂ« numri total i mesazheve tĂ« ruajtura, numri total i bisedave, etj.
Gjithashtu, kur hulumtoni WhatsApp në një pajisje mobile me sistemin operativ iOS, duhet të drejtoni vëmendjen në skedarët e mëposhtëm:
- Skedari âBackedUpKeyValue.sqliteâ. PĂ«rmban çelĂ«sa kriptografikĂ« dhe tĂ« dhĂ«na tĂ« tjera qĂ« janĂ« tĂ« nevojshme pĂ«r identifikimin e pronarit tĂ« llogarisĂ«. GjejmĂ« nĂ« rrugĂ«: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skedari âContactsV2.sqliteâ. PĂ«rmban informacione rreth kontakteve tĂ« pĂ«rdoruesit, si emri, numri i telefonit, statusi i kontaktit (nĂ« formĂ« teksti), ID e WhatsApp, etj. Gjendet nĂ« rrugĂ«n: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skedari âconsumer_versionâ. PĂ«rmban numrin e versionit tĂ« aplikacionit tĂ« instaluar WhatsApp. Gjendet nĂ« rrugĂ«n: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skedari âcurrent_wallpaper.jpgâ. PĂ«rmban tapetin aktual tĂ« aplikacionit WhatsApp. Gjendet nĂ« rrugĂ«n: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. NĂ« versionet e vjetra tĂ« aplikacionit pĂ«rdoret skedari âwallpaperâ, qĂ« gjendet nĂ« rrugĂ«n: â/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/â.
- Skedari âblockedcontacts.datâ. PĂ«rmban informacione mbi kontaktet e bllokuara. Gjendet nĂ« rrugĂ«n: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- Skedari âpw.datâ. PĂ«rmban fjalĂ«kalimin e kriptuar. Gjendet nĂ« rrugĂ«n: â/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/â.
- Skedari ânet.whatsapp.WhatsApp.plistâ (ose skedari âgroup.net.whatsapp.WhatsApp.shared.plistâ). PĂ«rmban informacione mbi profilin e llogarisĂ« WhatsApp. Skedari gjendet nĂ« rrugĂ«n: â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/â.
PĂ«rmbajtja e skedarit âgroup.net.whatsapp.WhatsApp.shared.plistâ 
Po ashtu duhet të kushtohet vëmendje katalogëve të mëposhtëm:
- KatalĂłg â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/â. PĂ«rmban miniatura tĂ« kontakteve, grupeve (skedarĂ« me zgjatjen .thumb), avatarĂ«t e kontakteve, avatarin e pronarit tĂ« llogarisĂ« WhatsApp (skedari âPhoto.jpgâ).
- KatalĂłg â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/â. PĂ«rmban skedarĂ« multimedial dhe miniaturat e tyre
- KatalĂłg â/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/â. PĂ«rmban regjistrimin e aktivitetit tĂ« programit (skedari âcalls.logâ) dhe kopjet rezervĂ« tĂ« regjistrimeve tĂ« aktivitetit tĂ« programit (skedari âcalls.backup.logâ).
- KatalĂłg â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/â. PĂ«rmban stickers (skedarĂ« nĂ« formatin â.webpâ).
- KatalĂłg â/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/â. PĂ«rmban regjistrat e aktivitetit tĂ« programit.
Artefaktet e WhatsApp në Windows
Artefaktet e WhatsApp në Windows mund të gjenden në disa vende. Para se gjithash, janë katalogët që përmbajnë skedarë ekzekutivë dhe ndihmës të programit (për Windows 8/10):
- âC:Program Files (x86)WhatsAppâ
- âC:Users%User profile% AppDataLocalWhatsAppâ
- âC:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsAppâ
NĂ« katalog âC:Users%User profile% AppDataLocalWhatsAppâ gjendet skedari i regjistrit âSquirrelSetup.logâ, nĂ« tĂ« cilin gjendet informacioni mbi verifikimin e azhurnimeve dhe instalimin e programit.
NĂ« katalog âC:Users%User profile% AppDataRoamingWhatsAppâ pĂ«rmban disa katalogĂ« tĂ« brendshĂ«m:
Skedari âmain-process.logâ pĂ«rmban informacione rreth aktivitetit tĂ« programit WhatsApp.
Katalogu i brendshĂ«m âdatabasesâ pĂ«rmban skedarin âDatabases.dbâ, por ky skedar nuk pĂ«rmban asnjĂ« informacion mbi bisedat ose kontaktet.
SkedarĂ«t mĂ« interesantĂ« nga kĂ«ndvĂ«shtrimi kriminalistik janĂ« ata qĂ« ndodhen nĂ« katalogun âCacheâ. Kryesisht, kĂ«ta janĂ« skedarĂ« me emra âf_*******â (ku * Ă«shtĂ« njĂ« numĂ«r nga 0 nĂ« 9), qĂ« pĂ«rmbajnĂ« skedarĂ« multimedial dhe dokumente tĂ« kriptuara, por mes tyre ndodhen edhe skedarĂ« tĂ« pa kriptuar. SkedarĂ«t âdata_0â, âdata_1â, âdata_2â, âdata_3â, qĂ« ndodhen nĂ« kĂ«tĂ« nĂ«nkatalog. SkedarĂ«t âdata_0â, âdata_1â, âdata_3â pĂ«rmbajnĂ« lidhje tĂ« jashtme me skedarĂ«t multimedial dhe dokumentet e kriptuara nĂ« proces tĂ« dĂ«rgimit.
Shembuj tĂ« informacionit qĂ« pĂ«rmban skedari âdata_1â
Gjithashtu, skedari âdata_3â mund tĂ« pĂ«rmbajĂ« skedarĂ« grafikĂ«.
Skedari âdata_2â pĂ«rmban avatarĂ«t e kontakteve (mund tĂ« rikuperohen pĂ«rmes kĂ«rkimit sipas titujve tĂ« skedarĂ«ve).
AvatarĂ«t qĂ« pĂ«rmbahen nĂ« skedarin âdata_2â:
Kështu, në kujtesën e kompjuterit nuk mund të gjenden bisedat vetë, por mund të gjenden:
- skedarë multimedial;
- dokumente, të dërguara përmes WhatsApp;
- informacione rreth kontakteve të pronarit të llogarisë.
Artefaktet e WhatsApp në MacOS
Në MacOS mund të gjenden lloje artefaktësh të WhatsApp, të ngjashme me ato që ekzistojnë në sistemin operativ Windows.
Skedarët e aplikacionit gjenden në katalogët:
- âC:ApplicationsWhatsApp.appâ
- âC:Applications._WhatsApp.appâ
- âC:Users%User profile%LibraryPreferencesâ
- âC:Users%User profile%LibraryLogsWhatsAppâ
- âC:Users%User profile%LibrarySaved Application StateWhatsApp.savedStateâ
- âC:Users%User profile%LibraryApplication Scriptsâ
- âC:Users%User profile%LibraryApplication SupportCloudDocsâ
- âC:Users%User profile%LibraryApplication SupportWhatsApp.ShipItâ
- âC:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsappâ
- âC:Users%User profile% Library Mobile Documents WhatsApp Accountsâ
NĂ« kĂ«tĂ« katalog gjenden nĂ«nkatalogĂ«, emrat e tĂ« cilĂ«ve pĂ«rfaqĂ«sojnĂ« numrat e telefonit, tĂ« asocuar me pronarin e llogarisĂ« WhatsApp. - âC:Users%User profile%LibraryCachesWhatsApp.ShipItâ
NĂ« kĂ«tĂ« katalog, gjendet informacioni mbi instalimin e programit. - âC:Users%User profile%PicturesMediateka iPhoto.photolibraryMastersâ, âC:Users%User profile%PicturesMediateka iPhoto.photolibraryThumbnailsâ
NĂ« kĂ«to katalogĂ« gjenden skedarĂ«t shĂ«rbim tĂ« programit dhe, pĂ«rfshirĂ«, fotografitĂ« dhe miniaturat e kontakteve WhatsApp. - âC:Users%User profile%LibraryCachesWhatsAppâ
NĂ« kĂ«tĂ« katalog janĂ« disa baza tĂ« tĂ« dhĂ«nave SQLite qĂ« pĂ«rdoren pĂ«r ruajtjen e informacionit nĂ« cache. - âC:Users%User profile%LibraryApplication SupportWhatsAppâ
Në këtë katalog ndodhen disa nënkatalogë:
NĂ« katalog âC:Users%User profile%LibraryApplication SupportWhatsAppCacheâ ndodhen skedarĂ«t âdata_0â, âdata_1â, âdata_2â, âdata_3â dhe skedarĂ«t me emra âf_*******â (ku * Ă«shtĂ« njĂ« numĂ«r nga 0 nĂ« 9). Informacioni mbi pĂ«rmbajtjen e kĂ«tyre skedarĂ«ve pĂ«rshkruhet nĂ« seksionin "Artefaktet e WhatsApp nĂ« Windows".NĂ« katalog âC:Users%User profile%LibraryApplication SupportWhatsAppIndexedDBâ mund tĂ« pĂ«rmbajnĂ« skedarĂ« multimedialĂ« (skedarĂ«t nuk kanĂ« shtrirje).
Skedari âmain-process.logâ pĂ«rmban informacione rreth aktivitetit tĂ« programit WhatsApp.
Burimet
- Analiza forenzike e WhatsApp Messenger në smartfonët Android, nga Cosimo Anglano, 2014.
- WhatsApp Forensics: Eksplorimi i sistemeve të skedarëve dhe bazave të të dhënave në aplikacionet Android dhe iOS nga Ahmad Pratama, 2014.
Në artikujt e ardhshëm të kësaj serie:
Dekodimi i bazave të dhënave të enkriptuara të WhatsAppNjë artikull në të cilin do të ofrohet informacion mbi mënyrën e gjenerimit të çelësit të enkriptimit të WhatsApp dhe shembuj praktikë që tregojnë se si të dekodoni bazat e dhënave të enkriptuara të këtij aplikacioni.
Nxjerrja e të dhënave nga WhatsApp nga ruajtjet në reNjë artikull në të cilin do të përshkruajmë se cilat të dhëna të WhatsApp ruhen në re dhe do të përmendim metodat e nxjerrjes së këtyre të dhënave nga ruajtjet në re.
Nxjerrja e të dhënave të WhatsApp: shembuj praktikëNjë artikull në të cilin do të përshkruajmë hapat se me cilat programe dhe si të nxirrni të dhënat e WhatsApp nga pajisje të ndryshme.
Burimi: habr.com
