A dëshironi të dini se cilat lloje të artefakteve kriminalistike të WhatsApp ekzistojnë në sisteme të ndryshme operativë dhe ku mund të zbulohen ato - atëherë jeni në vendin e duhur. Me këtë artikull, specialisti i Laboratorisë së Kriminalistikës Kompjuterike Group-IB Igor Mikhailov hap serinë e publikimeve mbi hetimin kriminalistik të WhatsApp dhe se çfarë informacioni mund të merret nga analiza e pajisjeve.
Së pari, le të theksojmë se në sisteme të ndryshme operativë ruhet lloje të ndryshme artefaktesh të WhatsApp, dhe nëse një hulumtues mund të nxjerrë lloje të caktuara të të dhënave të WhatsApp nga një pajisje, kjo nuk do të thotë se po të njëjtat lloje të të dhënave mund të nxirren nga një pajisje tjetër. Për shembull, nëse merret një sistem i punës nën OS Windows, atëherë në disqet e saj, me shumë gjasa nuk do të zbulohen biseda të WhatsApp (përjashtim përbën kopjet rezervë të pajisjeve iOS, të cilat mund të zbulohen në këto disqe të njëjta). Kur merret një laptop ose pajisje mobile, do të ketë njësi të tjera. Do të flasim më shumë rreth kësaj.
Artefaktet e WhatsApp në pajisje Android
Për të nxjerrë artefaktet e WhatsApp nga një pajisje që punon me OS Android, hulumtuesi duhet të ketë të drejta superpërdoruesi ('root') në pajisjen që po shqyrtohet ose të ketë mundësinë ndryshe për të nxjerrë një dump fizik të memorie së pajisjes ose sistemit të saj të skedarëve (për shembull, duke përdorur dobësitë e softuerit të një pajisjeje specifike mobile).
Skedarët e aplikacionit ndodhen në memorien e telefonit në seksionin ku ruhen të dhënat e përdoruesit. Në përgjithësi, ky seksion quhet 'userdata'. Nënkatësit dhe skedarët e programit ndodhen në rrugën: '/data/data/com.whatsapp/'.
Skedarët kryesorë që përmbajnë artefakte kriminalistike të WhatsApp në OS Android janë bazat e të dhënave 'wa.db' dhe 'msgstore.db'.
Në bazën e të dhënave 'wa.db' ndodhet lista e plotë e kontakteve të përdoruesit të WhatsApp, duke përfshirë numrin e telefonit, emrin e shfaqur, shenjat e kohës dhe çdo informacion tjetër që është dhënë gjatë regjistrimit në WhatsApp. Skedari 'wa.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:
Tabelat më interesante në bazën e të dhënave 'wa.db' për hulumtuesin janë:
- 'wa_contacts'
Ky tabelë përmban informacion rreth kontakteve: id e kontaktit në WhatsApp, informacion rreth statusit, emrin e përdoruesit të shfaqur, markat e kohës, etj.Pamja e tabelës:
Struktura e tabelĂ«sEmri i fushĂ«s Vlera _id numri rendor i regjistrimit (nĂ« tabelĂ«n SQL) jid WhatsApp ID e kontaktit, shkruhet nĂ« formatin @s.whatsapp.net is_whatsapp_user pĂ«rmban â1â nĂ«se kontakti i pĂ«rket njĂ« pĂ«rdoruesi tĂ« vĂ«rtetĂ« tĂ« WhatsApp, â0â nĂ« rast tĂ« kundĂ«rt status pĂ«rmban tekstin qĂ« shfaqet nĂ« statusin e kontaktit status_timestamp pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time (ms) number numri i telefonit tĂ« lidhur me kontaktin raw_contact_id numri rendor i kontaktit display_name emri i shfaqur i kontaktit phone_type tipi i telefonit phone_label etiketa e lidhur me numrin e kontaktit unseen_msg_count numri i mesazheve qĂ« janĂ« dĂ«rguar nga kontakti por nuk janĂ« lexuar nga marrĂ«si photo_ts pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time thumb_ts pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time photo_id_timestamp pĂ«rmban markĂ«n e kohĂ«s nĂ« formatin Unix Epoch Time (ms) given_name vlera e fushĂ«s pĂ«rputhet me âdisplay_nameâ pĂ«r çdo kontakt wa_name emri i kontaktit nĂ« WhatsApp (shfaqet emri i vendosur nĂ« profilin e kontaktit) sort_name emri i kontaktit qĂ« pĂ«rdoret nĂ« operacionet e renditjes nickname nikov i kontaktit nĂ« WhatsApp (shfaqet niksi i vendosur nĂ« profilin e kontaktit) company kompania (shfaqet kompania e vendosur nĂ« profilin e kontaktit) titullin pĂ«rshĂ«ndetje (zonjĂ«/zotĂ«ri; shfaqet pĂ«rshĂ«ndetja e vendosur nĂ« profilin e kontaktit) offset shkallĂ«zim - âsqlite_sequenceâ
Ky tabelĂ« pĂ«rmban informacion rreth numrit tĂ« kontakteve; - âandroid_metadataâ
Ky tabelë përmban informacion rreth lokalizimit gjuhësor të WhatsApp.
Në bazën e të dhënave 'msgstore.db' përmban informacion rreth mesazheve të dërguara, si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, informacioni mbi skedarët e dërguar, të përfshirë në mesazhe, etj. Skedari 'msgstore.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:
Tabelat më interesante në skedar 'msgstore.db' për hulumtuesin janë:
- âsqlite_sequenceâ
Ky tabelë përmban informacion të përgjithshëm rreth kësaj baze të dhënash, si numri total i mesazheve të ruajtura, numrin total të bisedave, etj.Pamja e tabelës:
- âmessage_fts_contentâ
Përmban tekstin e mesazheve të dërguara.Pamja e tabelës:
- âmessagesâ
Ky tabelë përmban informacion të tillë si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, informacioni mbi skedarët e dërguar, të përfshirë në mesazhe.Pamja e tabelës:
Struktura e tabelĂ«sEmri i fushĂ«s Vlera _id numri rendor i regjistrimit (nĂ« tabelĂ«n SQL) key_remote_jid WhatsApp ID i partnerit tĂ« komunikimit key_from_me drejtimi i mesazhit: â0â â hyrĂ«s, â1â â dalĂ«s key_id identifikues unik i mesazhit status statusi i mesazhit: â0â â i dorĂ«zuar, â4â â nĂ« pritje server, â5â â marrĂ« nĂ« destinacion, â6â â mesazh kontrolli, â13â â mesazh i hapur nga marrĂ«si (lexuar) needing_push shton vlerĂ«n â2â nĂ«se Ă«shtĂ« njĂ« mesazh grupor, pĂ«rndryshe pĂ«rmban â0â data teksti i mesazhit (kur parametri âmedia_wa_typeâ Ă«shtĂ« â0â) timestamp pĂ«rmban njĂ« ndĂ«rlidhje tĂ« DukatĂ«s nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes media_url pĂ«rmban URL-nĂ« e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_mime_type lloji MIME i skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_wa_type lloji i mesazhit: â0â â tekst, â1â â skedar grafik, â2â- skedar audio, â3â â skedar video, â4â â kartelĂ« kontakti, â5â â tĂ« dhĂ«na gjeografike media_size madhĂ«sia e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_name emri i skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_caption PĂ«rmban fjalĂ«t âaudioâ, âvideoâ pĂ«r vlerat pĂ«rkatĂ«se tĂ« parametrave âmedia_wa_typeâ (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â3â) media_hash hash i skedarit tĂ« dĂ«rguar tĂ« koduar nĂ« formatin base64, i llogaritur sipas algoritmit HAS-256 (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) media_duration koha nĂ« sekonda pĂ«r skedarin mediatik (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â, â2â, â3â) origin shton vlerĂ«n â2â nĂ«se Ă«shtĂ« njĂ« mesazh grupor, pĂ«rndryshe pĂ«rmban â0â latitude tĂ« dhĂ«nat gjeografike: gjerĂ«si (kur parametri âmedia_wa_typeâ Ă«shtĂ« â5â) longitude tĂ« dhĂ«nat gjeografike: gjatĂ«si (kur parametri âmedia_wa_typeâ Ă«shtĂ« â5â) thumb_image informacion ndihmĂ«s remote_recource ID e dĂ«rguesit (vetĂ«m pĂ«r bisedat grupore) received_timestamp koha e marrjes, pĂ«rmban njĂ« ndĂ«rlidhje tĂ« DukatĂ«s nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â0â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r) send_timestamp nuk pĂ«rdoret, zakonisht ka vlerĂ«n â-1â receipt_server_timestamp koha e marrjes nga qendra server, pĂ«rmban njĂ« ndĂ«rlidhje tĂ« DukatĂ«s nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â1â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r receipt_device_timestamp koha e marrjes sĂ« mesazhit nga njĂ« abonent tjetĂ«r, pĂ«rmban njĂ« ndĂ«rlidhje tĂ« DukatĂ«s nĂ« formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri âkey_from_meâ ka â1â, â-1â ose ndonjĂ« vlerĂ« tjetĂ«r read_device_timestamp koha e hapjes (leximit) tĂ« mesazhit, pĂ«rmban njĂ« shenjĂ« temporale nĂ« formatin Unix Epoch Time (ms), vlera merret nga orĂ«t e pajisjes played_device_timestamp koha e luajtjes sĂ« mesazhit, pĂ«rmban njĂ« shenjĂ« temporale nĂ« formatin Unix Epoch Time (ms), vlera merret nga orĂ«t e pajisjes raw_data miniatura e skedarit tĂ« dĂ«rguar (kur parametri âmedia_wa_typeâ Ă«shtĂ« â1â ose â3â) recipient_count numri i marrĂ«sve (pĂ«r mesazhe tĂ« pĂ«rhapura nĂ« masĂ«) participant_hash pĂ«rdoret kur dĂ«rgoni mesazhe me tĂ« dhĂ«na gjeografike starred nuk pĂ«rdoret quoted_row_id e panjohur, zakonisht pĂ«rmban vlerĂ«n â0â mentioned_jids nuk pĂ«rdoret multicast_id nuk pĂ«rdoret offset shkallĂ«zim Ky listĂ« fushash nuk Ă«shtĂ« shteruese. PĂ«r versione tĂ« ndryshme tĂ« WhatsApp disa fusha mund tĂ« jenĂ« tĂ« pranishme ose tĂ« mungojnĂ«. Gjithashtu mund tĂ« jenĂ« presente fusha âmedia_enc_hashâ, âedit_versionâ, âpayment_transaction_idâ etj.
- âmessages_thumbnailsâ
Ky tabelĂ« pĂ«rmban informacion mbi imazhet e dĂ«rguara dhe shenjĂ« temporale. NĂ« kolonĂ«n âtimestampâ koha Ă«shtĂ« e shprehur nĂ« formatin Unix Epoch Time (ms). - âchat_listâ
Ky tabelë përmban informacion rreth bisedave.Pamja e tabelës:
Gjithashtu, gjatë hulumtimit të WhatsApp në pajisjen mobile që punon me Android, është e rëndësishme të kushtohet vëmendje skedareve të mëposhtme:
- Skeda âmsgstore.db.cryptXXâ (ku XX Ă«shtĂ« njĂ« ose dy shifra nga 0 nĂ« 12, pĂ«r shembull, msgstore.db.crypt12). PĂ«rmban njĂ« kopje rezervĂ« tĂ« enkriptuar tĂ« mesazheve tĂ« WhatsApp (kopja rezervĂ« e skedarit msgstore.db). Skedari (ose skedarĂ«t) âmsgstore.db.cryptXXâ ndodhet nĂ« rrugĂ«n: â/data/media/0/WhatsApp/Databases/â (kartela virtuale) â/mnt/sdcard/WhatsApp/Databases/â (kartela fizike)â.
- Skeda âkeyâ. PĂ«rmban çelĂ«sin kriptografik. Gjenet nĂ« kĂ«tĂ« rrugĂ«: â/data/data/com.whatsapp/files/â. PĂ«rdoret pĂ«r deshifrimin e kopjeve rezervĂ« tĂ« enkriptuara tĂ« WhatsApp.
- Skeda âcom.whatsapp_preferences.xmlâ. PĂ«rmban informacion mbi profilin e llogarisĂ« WhatsApp. Skedari ndodhet nĂ« kĂ«tĂ« rrugĂ«: â/data/data/com.whatsapp/shared_prefs/â.
Fragmenti i përmbajtjes së skedarit
⊠9123456789 (numri i telefonit, i asociuar me llogarinĂ« WhatsApp) ⊠2.17.395 (versioni i WhatsApp) ⊠Hey there! I am using WhatsApp. (mesazhi qĂ« shfaqet nĂ« statusin e llogarisĂ«) ⊠Alex (emri i pronarit tĂ« llogarisĂ«) ⊠- Skeda âregistration.RegisterPhone.xmlâ. PĂ«rmban informacion mbi numrin e telefonit, i asociuar me llogarinĂ« WhatsApp. Skedari ndodhet nĂ« kĂ«tĂ« rrugĂ«: â/data/data/com.whatsapp/shared_prefs/â.
PĂ«rmbajtja e skedarit
- Skeda âaxolotl.dbâ. PĂ«rmban çelĂ«sa kriptografikĂ« dhe tĂ« dhĂ«na tĂ« tjera tĂ« nevojshme pĂ«r identifikimin e pronarit tĂ« llogarisĂ«. Ndodhet nĂ« rrugĂ«n: '/data/data/com.whatsapp/databases/'.
- Skeda âchatsettings.dbâ. PĂ«rmban informacion mbi konfigurimin e aplikacionit.
- Skeda 'wa.db'. Përmban detaje për kontaktet. Një bazë të dhënash shumë interesante (në aspektin e kriminalistikës) dhe informuese. Mund të gjenden informacione të detajuara mbi kontaktet e fshira.
Duhet gjithashtu të jepni vëmendje ndaj katalogëve të tjerë:
- Katalogu â/data/media/0/WhatsApp/Media/WhatsApp Images/â. PĂ«rmban skedarĂ«t grafikĂ« tĂ« dĂ«rguar.
- Katalogu â/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/â. PĂ«rmban mesazhe zanore nĂ« skedarĂ« me format .OPUS.
- Katalogu â/data/data/com.whatsapp/cache/Profile Pictures/â. PĂ«rmban skedarĂ«t grafikĂ« â imazhe tĂ« kontakteve.
- Katalogu â/data/data/com.whatsapp/files/Avatars/â. PĂ«rmban skedarĂ«t grafikĂ« â miniaturat e imazheve tĂ« kontakteve. KĂ«ta skedarĂ« kanĂ« zgjerimin â.jâ, por gjithsesi janĂ« skedarĂ« grafikĂ« tĂ« formatit JPEG (JPG).
- Katalogu â/data/data/com.whatsapp/files/Avatars/â. PĂ«rmban skedarĂ«t grafikĂ« â imazhin dhe miniaturĂ«n e imazhit tĂ« vendosur si avatar nga pronari i llogarisĂ«.
- Katalogu â/data/data/com.whatsapp/files/Logs/â. PĂ«rmban ditarin e punĂ«s sĂ« programit (skedari âwhatsapp.logâ) dhe kopje rezervĂ« tĂ« ditarĂ«ve tĂ« punĂ«s sĂ« programit (skedarĂ«t me emra nĂ« formatin whatsapp-YYYY-MM-DD.1.log.gz).
Skedarët e ditarëve WhatsApp:
Fragmenti i ditarit2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] file i fjalëkalimit mungon ose është e palexueshme
2017-01-10 09:37:09.782 LL_I D [1:main] statistikat Mesazhe Teksti: 59 dërguar, 82 marrë / Mesazhe Media: 1 dërguar (0 byte), 0 marrë (9850158 byte) / Mesazhe Offline: 81 marrë (19522 msec vonesë mesatare) / Shërbimi i Mesazheve: 116075 byte të dërguara, 211729 byte të marrë / Thirrje Voip: 1 thirrje dalëse, 0 thirrje përcjellëse, 2492 byte të dërguara, 1530 byte të marrë / Google Drive: 0 byte të dërguara, 0 byte të marrë / Roaming: 1524 byte të dërguara, 1826 byte të marrë / Të Dhëna Totale: 118567 byte të dërguara, 10063417 byte të marrë
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Audio/'. Përmban skedarët audio të marrë.
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/'. Përmban skedarët audio të dërguar.
- Katalogu â/data/media/0/WhatsApp/Media/WhatsApp Images/â. PĂ«rmban skedarĂ«t grafike tĂ« marrĂ«.
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/'. Përmban skedarët grafike të dërguar.
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Video/'. Përmban skedarët video të marrë.
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/'. Përmban skedarët video të dërguar.
- Katalogu '/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/'. Përmban skedarët grafikë që lidhën me pronarin e llogarisë WhatsApp.
- Për të kursyer hapësirë në kujtesën e smartfonëve Android, disa të dhëna të WhatsApp mund të ruhen në kartën SD. Në kartën SD, në katalogun rrënjor, ndodhet katalogu 'WhatsApp', ku mund të gjenden artefaktet e mëposhtme të këtij programi:
- Katalogu '.Share' ('/mnt/sdcard/WhatsApp/.Share/'). Përmban kopje të skedarëve që janë dërguar përdoruesve të tjerë të WhatsApp.
- Katalogu '.trash' ('/mnt/sdcard/WhatsApp/.trash/'). Përmban skedarët e fshirë.
- Katalogu 'Databases' ('/mnt/sdcard/WhatsApp/Databases/'). PĂ«rmban kopjet e enkriptuara. Ato mund tĂ« dekryptohen nĂ«se ka njĂ« skedĂ« âkeyâ, e nxjerrĂ« nga kujtesa e pajisjes qĂ« po analizohet.
Skedarët, që ndodhen në nënkatalog 'Databases':
- Katalogu âMediaâ (â/mnt/sdcard/WhatsApp/Media/â). Ka pĂ«rmban nĂ«nkatalogĂ« âWallPaperâ, âWhatsApp Audioâ, âWhatsApp Imagesâ, âWhatsApp Profile Photosâ, âWhatsApp Videoâ, âWhatsApp Voice Notesâ, nĂ« tĂ« cilat ndodhen skedarĂ«t multimedia tĂ« pranuar dhe tĂ« dĂ«rguar (skedarĂ« grafikĂ«, skedarĂ« video, mesazhe zanore, fotografi, tĂ« lidhura me profilin e pronarit tĂ« llogarisĂ« WhatsApp, sfondet).
- Katalogu âProfile Picturesâ (â/mnt/sdcard/WhatsApp/Profile Pictures/â). Ka skedarĂ« grafikĂ«, tĂ« lidhura me profilin e pronarit tĂ« llogarisĂ« WhatsApp.
- NganjĂ«herĂ« nĂ« kartĂ«n SD mund tĂ« jetĂ« prezent njĂ« katalog âfilesâ (â/mnt/sdcard/WhatsApp/Files/â). NĂ« kĂ«tĂ« katalog ka skedarĂ«, nĂ« tĂ« cilĂ«t ruhet konfigurimi i programit dhe preferencat e pĂ«rdoruesit.
Karakteristikat e ruajtjes së të dhënave në disa modele të pajisjeve mobile
NĂ« disa modele tĂ« pajisjeve mobile me sistemin operativ Android Ă«shtĂ« e mundur tĂ« ruhet artefaktet e WhatsApp nĂ« njĂ« vend tjetĂ«r. Kjo Ă«shtĂ« e shkaktuar nga ndryshimi i hapĂ«sirĂ«s sĂ« ruajtjes sĂ« tĂ« dhĂ«nave tĂ« aplikacioneve nga softueri sistemor i pajisjes mobile. PĂ«r shembull, nĂ« pajisjet mobile Xiaomi ka njĂ« funksion pĂ«r krijimin e njĂ« hapĂ«sire tĂ« dytĂ« punuese (âSecondSpaceâ). Kur aktivizohet ky funksion, ndodh ndryshimi i vendndodhjes sĂ« tĂ« dhĂ«nave. Pra, nĂ«se nĂ« njĂ« pajisje normale mobile me sistemin operativ Android, tĂ« dhĂ«nat e pĂ«rdoruesit ruhen nĂ« katalogun â/data/user/0/â (çfarĂ« pĂ«rfaqĂ«son lidhjen me tĂ« njohurit â/data/data/â), atĂ«herĂ« nĂ« hapĂ«sirĂ«n e dytĂ« punuese tĂ« dhĂ«nat e aplikacioneve ruhen nĂ« katalogun â/data/user/10/â. Pra, duke e marrĂ« si shembull vendndodhjen e skedarit 'wa.db':
- nĂ« njĂ« smartphone normal me sistemin operativ Android: /data/user/0/com.whatsapp/databases/wa.dbâ (çfarĂ« Ă«shtĂ« ekuivalente me â/data/data/com.whatsapp/databases/wa.dbâ);
- nĂ« hapĂ«sirĂ«n e dytĂ« punuese tĂ« smartphone-it Xiaomi: â/data/user/10/com.whatsapp/databases/wa.dbâ.
Artefaktet e WhatsApp në pajisjet iOS
NĂ« krahasim me sistemin operativ Android, nĂ« iOS tĂ« dhĂ«nat e aplikacionit WhatsApp dĂ«rgohen nĂ« njĂ« kopje rezervĂ« (iTunes backup). Prandaj, nxjerrja e tĂ« dhĂ«nave tĂ« kĂ«tij aplikacioni nuk kĂ«rkon nxjerrjen e sistemit tĂ« skedarĂ«ve ose krijimin e njĂ« dump-it fizik tĂ« memories sĂ« pajisjes nĂ« hetim. Shumica e informacionit tĂ« rĂ«ndĂ«sishĂ«m ndodhet nĂ« bazĂ«n e tĂ« dhĂ«nave âChatStorage.sqliteâ, e cila Ă«shtĂ« e vendosur nĂ« rrugĂ«n: â/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/â (nĂ« disa programa kjo rrugĂ« shfaqet si âAppDomainGroup-group.net.whatsapp.WhatsApp.sharedâ).
Struktura âChatStorage.sqliteâ:
Tabela mĂ« informative nĂ« bazĂ«n e tĂ« dhĂ«nave âChatStorage.sqliteâ janĂ« âZWAMESSAGEâ dhe âZWAMEDIAITEMâ.
Pamja e tabelĂ«s âZWAMESSAGEâ:
Struktura e tabelĂ«s âZWAMESSAGEâ
| Emri i fushës | Vlera |
|---|---|
| Z_PK | numri rendor i regjistrimit (në tabelën SQL) |
| Z_ENT | identifikuesi i tabelĂ«s, ka vlerĂ«n â9â |
| Z_OPT | e panjohur, zakonisht pĂ«rmban vlera nga â1â deri nĂ« â6â |
| ZCHILDMESSAGESDELIVEREDCOUNT | e panjohur, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZCHILDMESSAGESPLAYEDCOUNT | e panjohur, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZCHILDMESSAGESREADCOUNT | e panjohur, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZDATAITEMVERSION | e panjohur, zakonisht pĂ«rmban vlerĂ«n â3â, ndoshta Ă«shtĂ« njĂ« tregues i mesazhit tekstor |
| ZDOCID | e panjohur |
| ZENCRETRYCOUNT | e panjohur, zakonisht pĂ«rmban vlerĂ«n â0â |
| ZFILTEREDRECIPIENTCOUNT | e panjohur, zakonisht pĂ«rmban vlera â0â, â2â, â256â |
| ZISFROMME | drejtimi i mesazhit: â0â â hyrĂ«s, â1â â dalĂ«s |
| ZMESSAGEERRORSTATUS | statusi i dĂ«rgimit tĂ« mesazhit. NĂ«se mesazhi Ă«shtĂ« dĂ«rguar/pranuar, ka vlerĂ«n â0â |
| ZMESSAGETYPE | tipi i mesazhit të dërguar |
| ZSORT | e panjohur |
| ZSPOTLIGHSTATUS | e panjohur |
| ZSTARRED | e panjohur, nuk përdoret |
| ZCHATSESSION | e panjohur |
| ZGROUPMEMBER | e panjohur, nuk përdoret |
| ZLASTSESSION | e panjohur |
| ZMEDIAITEM | e panjohur |
| ZMESSAGEINFO | e panjohur |
| ZPARENTMESSAGE | e panjohur, nuk përdoret |
| ZMESSAGEDATE | vëmendja e kohës në formatin OS X Epoch Time |
| ZSENTDATE | koha e dërgimit të mesazhit në formatin OS X Epoch Time |
| ZFROMJID | WhatsApp ID i dërguesit |
| ZMEDIASECTIONID | përmban vitin dhe muajin e dërgimit të medias |
| ZPHASH | e panjohur, nuk përdoret |
| ZPUSHPAME | emri i kontaktit që ka dërguar median në formatin UTF-8 |
| ZSTANZID | identifikues unik i mesazhit |
| ZTEXT | teksti i mesazhit |
| ZTOJID | WhatsApp ID i marrësit |
| OFFSET | shkallëzim |
Pamja e tabelĂ«s âZWAMEDIAITEMâ:
Struktura e tabelĂ«s âZWAMEDIAITEMâ
| Emri i fushës | Vlera |
|---|---|
| Z_PK | numri rendor i regjistrimit (në tabelën SQL) |
| Z_ENT | identifikuesi i tabelĂ«s, ka vlerĂ«n â8â |
| Z_OPT | e panjohur, zakonisht pĂ«rmban vlera nga â1â deri nĂ« â3â. |
| ZCLOUDSTATUS | pĂ«rmban vlerĂ«n â4â nĂ«se skedari Ă«shtĂ« ngarkuar. |
| ZFILESIZE | përmban gjatësinë e skedarit (në byte) për skedarët e ngarkuar |
| ZMEDIAORIGIN | e panjohur, zakonisht ka vlerĂ«n â0â |
| ZMOVIEDURATION | kohëzgjatja e medias, për skedarët pdf mund të përmbajë numrin e faqeve të dokumentit |
| ZMESSAGE | pĂ«rmban numrin rendor (numri ndryshon nga ai i shĂ«nuar nĂ« kolonĂ«n âZ_PKâ) |
| ZASPECTRATIO | raporti i aspekteve, nuk pĂ«rdoret, zakonisht ka vlerĂ«n â0â |
| ZHACCURACY | e panjohur, zakonisht ka vlerĂ«n â0â |
| ZLATTITUDE | gjerësi në pikselë |
| ZLONGTITUDE | lartësi në pikselë |
| ZMEDIAURLDATE | vëmendja e kohës në formatin OS X Epoch Time |
| ZAUTHORNAME | autori (për dokumente, mund të përmbajë emrin e skedarit) |
| ZCOLLECTIONNAME | nuk përdoret |
| ZMEDIALOCALPATH | emri i skedarit (me shënim të rrugës) në sistemin e skedarëve të pajisjes |
| ZMEDIAURL | URL, ku ndodhej media. NĂ«se skedari u dĂ«rgua nga njĂ« abonent te tjetri, ai Ă«shtĂ« koduar, dhe zgjatimi do tĂ« shĂ«nohet si zgjatimi i skedarit tĂ« dĂ«rguar â .enc |
| ZTHUMBNAILLOCALPATH | rruga deri te miniatura e skedarit në sistemin e skedarëve të pajisjes |
| ZTITLE | titulli i skedarit |
| ZVCARDNAME | hash i media, gjatë transferimit të skedarit në grup mund të përmbajë identifikuesin e dërguesit |
| ZVCARDSTRING | përmban informacion mbi llojin e skedarit të dërguar (p.sh. image/jpeg), gjatë transferimit të skedarit në grup mund të përmbajë identifikuesin e marrësit |
| ZXMPPTHUMBPATH | rruga deri te miniatura e skedarit në sistemin e skedarëve të pajisjes |
| ZMEDIAKEY | e panjohur, ndoshta përmban një çelës për dekryptimin e skedarit të kriptuar. |
| ZMETADATA | metadat të mesazhit të dërguar |
| Offset | shkallëzim |
Tabelat e tjera interesante tĂ« bazĂ«s sĂ« tĂ« dhĂ«nave âChatStorage.sqliteâ janĂ«:
- 'ZWAPROFILEPUSHNAME'. Nć łèo WhatsApp ID me emrin e kontaktit;
- 'ZWAPROFILEPICTUREITEM'. Nć łèo WhatsApp ID me avatarin e kontaktit;
- 'Z_PRIMARYKEY'. Tabela përmban informacion të përgjithshëm për këtë bazë të të dhënave, si numrin total të mesazheve të ruajtura, numrin total të bisedave, etj.
Gjithashtu, gjatë hetimit të WhatsApp në një pajisje mobile me sistemin operativ iOS, duhet të kushtoni vëmendje për këta skedarë:
- Skeda 'BackedUpKeyValue.sqlite'. Përmban çelësa kriptografikë dhe të dhëna të tjera të nevojshme për identifikimin e pronarit të llogarisë. Ndodhet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skeda 'ContactsV2.sqlite'. Përmban informacion mbi kontaktet e përdoruesit, si emri dhe mbiemri, numri i telefonit, statusi i kontaktit (në formë teksti), WhatsApp ID, etj. Ndodhet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skeda 'consumer_version'. Përmban numrin e versionit të aplikacionit WhatsApp të instaluar. Ndodhet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
- Skeda 'current_wallpaper.jpg'. Përmban wallpaper-in aktual të aplikacionit WhatsApp. Ndodhet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Në versionet e vjetra të aplikacionit përdoret skedari 'wallpaper', i cili ndodhet në rrugën: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'.
- Skeda 'blockedcontacts.dat'. Përmban informacion mbi kontaktet e bllokuara. Ndodhet në rrugën: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
- Skeda 'pw.dat'. Përmban fjalëkalimin e kriptuar. Ndodhet në rrugën: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/'.
- Skeda 'net.whatsapp.WhatsApp.plist' (ose skedari 'group.net.whatsapp.WhatsApp.shared.plist'). Përmban informacion mbi profilin e llogarisë WhatsApp. Skedari ndodhet në rrugën: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/'.
Përmbajtja e skedarit 'group.net.whatsapp.WhatsApp.shared.plist' 
Duhet gjithashtu të jepni vëmendje ndaj katalogëve të tjerë:
- Katalogu '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/'. Përmban miniaturat e kontakteve, grupeve (skedarë me zgjerimin .thumb), avatarët e kontakteve, avatarin e pronarit të llogarisë WhatsApp (skedari 'Photo.jpg').
- Katalogu '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/'. Përmban skedarë multimedia dhe miniaturat e tyre
- Katalogu '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/'. Përmban regjistrin e funksionimit të aplikacionit (skedari 'calls.log') dhe kopjet rezervë të regjistrave të punës së aplikacionit (skedari 'calls.backup.log').
- Katalogu '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/'. Përmban ngjitësit (skedarë në formatin '.webp').
- Katalogu '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/'. Përmban regjistrat e punës së aplikacionit.
Artifactet WhatsApp në Windows
Artifactet WhatsApp në Windows mund të gjenden në disa vende. Së pari, këto janë katalogët që përmbajnë skedarët ekzekutivë dhe ndihmës të aplikacionit (për Windows 8/10):
- 'C:Program Files (x86)WhatsApp'
- âC:Users%User profile% AppDataLocalWhatsAppâ
- âC:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsAppâ
NĂ« katalog âC:Users%User profile% AppDataLocalWhatsAppâ ndodhet skedari i log-ut âSquirrelSetup.logâ, i cili pĂ«rmban informacion rreth kontrollit tĂ« pĂ«rditĂ«simeve dhe instalimit tĂ« programit.
NĂ« katalog âC:Users%User profile% AppDataRoamingWhatsAppâ nĂ« tĂ« ndodhen disa nĂ«n-katalogĂ«:
Skeda âmain-process.logâ pĂ«rmban informacion rreth funksionimit tĂ« programit WhatsApp.
NĂ«n-katalogu âdatabasesâ pĂ«rmban skedarin âDatabases.dbâ, por ky skedar nuk pĂ«rmban asnjĂ« informacion rreth bisedave ose kontakteve.
TĂ« dhĂ«nat mĂ« interesante nga pikĂ«pamja kriminalistike janĂ« skedarĂ«t qĂ« ndodhen nĂ« katalogun âCacheâ. Kryesisht kĂ«to janĂ« skedarĂ« me emra âf_*******â (ku * Ă«shtĂ« njĂ« numĂ«r nga 0 nĂ« 9), qĂ« pĂ«rmbajnĂ« skedarĂ« multimedia tĂ« enkriptuar dhe dokumente, por mes tyre ndodhen edhe skedarĂ« tĂ« dekriptuar. Me interes tĂ« veçantĂ« janĂ« skedarĂ«t âdata_0â, âdata_1â, âdata_2â, âdata_3â, qĂ« ndodhen nĂ« kĂ«tĂ« nĂ«n-katalog. SkedarĂ«t âdata_0â, âdata_1â, âdata_3â pĂ«rmbajnĂ« lidhje tĂ« jashtme pĂ«r skedarĂ«t multimedia tĂ« enkriptuar dhe dokumentet qĂ« janĂ« dĂ«rguar.
NjĂ« shembull i informacionit qĂ« ndodhet nĂ« skedarin âdata_1â
Po ashtu, skedari âdata_3â mund tĂ« pĂ«rmbajĂ« skedarĂ« grafikĂ«.
Skeda âdata_2â pĂ«rmban avatarĂ«t e kontakteve (mund tĂ« rikuperohen duke kĂ«rkuar pĂ«rmes titujve tĂ« skedarĂ«ve).
AvatarĂ«t qĂ« ndodhen nĂ« skedarin âdata_2â:
Kështu, në memorien e kompjuterit nuk mund të gjesh bisedat vetë, por mund të gjesh:
- skedarë multimedia;
- dokumente që janë dërguar përmes WhatsApp;
- informacion rreth kontakteve të pronarit të llogarisë.
Artefaktet e WhatsApp në MacOS
Në MacOS mund të gjesh tipi artefaktesh të WhatsApp-it, të ngjashëm me ato që ndodhen në sistemin operativ Windows.
Skedarët e programit ndodhen në katalogët:
- âC:ApplicationsWhatsApp.appâ
- âC:Applications._WhatsApp.appâ
- âC:Users%User profile%LibraryPreferencesâ
- âC:Users%User profile%LibraryLogsWhatsAppâ
- âC:Users%User profile%LibrarySaved Application StateWhatsApp.savedStateâ
- âC:Users%User profile%LibraryApplication Scriptsâ
- âC:Users%User profile%LibraryApplication SupportCloudDocsâ
- âC:Users%User profile%LibraryApplication SupportWhatsApp.ShipItâ
- âC:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsappâ
- âC:Users%User profile% Library Mobile Documents WhatsApp Accountsâ
NĂ« kĂ«tĂ« katalog ndodhen nĂ«n-katalogĂ«, emrat e tĂ« cilĂ«ve pĂ«rbĂ«jnĂ« numra telefoni tĂ« lidhur me pronarin e llogarisĂ« WhatsApp. - âC:Users%User profile%LibraryCachesWhatsApp.ShipItâ
NĂ« kĂ«tĂ« katalog ndodhet informacion rreth instalimit tĂ« programit. - âC:Users%User profile%PicturesMediathek iPhoto.photolibraryMastersâ, âC:Users%User profile%PicturesMediathek iPhoto.photolibraryThumbnailsâ
Në këto katalogë ndodhen skedarë shërbimi të programit, përfshirë fotografitë dhe miniaturat e kontakteve WhatsApp. - 'C:Users%Profilin e përdoruesit%LibraryCachesWhatsApp'
Në këtë katalog ndodhen disa baza të dhënash SQLite të cilat përdoren për të ruajtur të dhëna në memorie. - 'C:Users%Profilin e përdoruesit%LibraryApplication SupportWhatsApp'
Në këtë katalog gjenden disa nënkatalogë:
NĂ« katalog 'C:Users%Profilin e pĂ«rdoruesit%LibraryApplication SupportWhatsAppCache' ndodhen skedarĂ« âdata_0â, âdata_1â, âdata_2â, âdata_3â dhe skedarĂ« me emra âf_*******â (ku * Ă«shtĂ« njĂ« numĂ«r nga 0 deri nĂ« 9). Informacioni rreth pĂ«rmbajtjes sĂ« kĂ«tyre skedarĂ«ve pĂ«rshkruhet nĂ« seksionin "Artifaktet e WhatsApp nĂ« Windows".NĂ« katalog 'C:Users%Profilin e pĂ«rdoruesit%LibraryApplication SupportWhatsAppIndexedDB' mund tĂ« pĂ«rmbajnĂ« skedarĂ« multimedia (skedarĂ«t nuk kanĂ« shpĂ«rndarje).
Skeda âmain-process.logâ pĂ«rmban informacion rreth funksionimit tĂ« programit WhatsApp.
Burimet
- Analiza forensike e WhatsApp Messenger në smartfonët Android, nga Cosimo Anglano, 2014.
- Forensika e Whatsapp: Eksplorimi i sistemit të skedarëve dhe bazave të të dhënave në aplikacionet Android dhe iOS nga Ahmad Pratama, 2014.
Në artikujt e ardhshëm të kësaj serie:
Dekriptime të bazave të të dhënave të enkriptuara të WhatsAppNjë artikull që do të japë informacion mbi mënyrën se si ndodhi gjenerimi i çelësit të enkriptimit të WhatsApp dhe do të ofrojë shembuj praktikë që tregojnë se si të kryhet dekriptimi i bazave të enkriptuara të kësaj aplikacioni.
Ekstraktimi i të dhënave të WhatsApp nga ruajtjet në cloudNjë artikull në të cilin ne do të diskutojmë se cilat të dhëna të WhatsApp ruhen në cloud dhe do të përshkruajmë metodat për të ekstraktuar këto të dhëna nga ruajtjet cloud.
Ekstraktimi i të dhënave të WhatsApp: shembuj praktikëNjë artikull në të cilin do të përshkruajmë hap pas hapi se me cilat programe dhe si të kryhet ekstraktimi i të dhënave të WhatsApp nga pajisje të ndryshme.
Burimi: habr.com
