WhatsApp në pëllëmbë: ku dhe si mund të zbuloni artefaktet kriminalistike?

Dëshironi të dini se cilat lloje artefaktesh kriminalistike të WhatsApp ekzistojnë në sisteme operative të ndryshme dhe ku saktësisht mund të zbulohen ato — atëherë jeni në vendin e duhur. Kjo artikull është shkruar nga specialisti i Laboratorisë së Kriminalistikës Kompjuterike Group-IB Igor Mikhailov hap serinë e publikimeve mbi hetimin kriminalistik të WhatsApp dhe se çfarë informacioni mund të merrni duke analizuar një pajisje.

Fillimisht vëmendja se në sisteme operative të ndryshme ruhen lloje të ndryshme artefaktesh të WhatsApp, dhe nëse nga një pajisje një hulumtues mund të nxjerrë disa lloje të dhënash të WhatsApp, kjo nuk do të thotë se lloje të ngjashme të dhënash mund të nxjerren nga një pajisje tjetër. Për shembull, nëse merret një njësi kompjuterike që punon me OS Windows, atëherë në disqet e saj, me siguri, nuk do të gjejmë biseda të WhatsApp (përjashtim përbën kopjet rezervë të pajisjeve iOS, të cilat mund të zbulohen në këto disqe). Ndërsa në rastin e marrjes së laptopëve dhe pajisjeve mobile do të ketë veçori të tjera. Le të flasim për këtë më në detaje.

Artefaktet e WhatsApp në pajisjet Android

Për të nxjerrë artefaktet e WhatsApp nga një pajisje që punon me OS Android, hulumtuesi duhet të ketë të drejtat e superpërdoruesit ('root') në pajisjen e hulumtuar ose të ketë mundësi ta nxjerrë ndryshe një dump fizik të memorjes së pajisjes, ose sistemin e saj të dosjeve (për shembull, duke përdorur dobësitë softuerike të pajisjes mobile të caktuar).

Skedarët e aplikacionit ruhen në memorjen e telefonit në një seksion ku ruhen të dhënat e përdoruesit. Në përgjithësi, ky seksion quhet 'userdata'. Nënkatalogët dhe skedarët e programit ndodhen në rrugën: '/data/data/com.whatsapp/'.

Skedarët kryesorë që përmbajnë artefakte kriminalistike të WhatsApp në OS Android janë bazat e të dhënave 'wa.db' dhe 'msgstore.db'.

Në bazën e të dhënave 'wa.db' ndodhet lista e plotë e kontakteve të përdoruesit të WhatsApp, duke përfshirë numrin e telefonit, emrin e shfaqur, markat e kohës dhe çdo informacion tjetër të dhënë gjatë regjistrimit në WhatsApp. Skedari 'wa.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:

Tabelat më interessante në bazën e të dhënave 'wa.db' për hulumtuesin janë:

• 'wa_contacts'
  Kjo tabelë përmban informacion mbi kontaktet: id e kontaktit në WhatsApp, informacion mbi statusin, emrin e shfaqur të përdoruesit, markat e kohës etj.

  Pamja e tabelës:

  
  Struktura e tabelës

  Emri i fushës	Vlera
  _id	numri rendor i zapisëve (në tabelën SQL)
  jid	ID e kontaktit në WhatsApp, shkruhet në formatin @s.whatsapp.net
  is_whatsapp_user	përmban ‘1’ nëse kontakti përputhet me një përdorues aktual të WhatsApp, ‘0’ në të kundërt
  status	përmban tekstin që shfaqet në statusin e kontaktit
  status_timestamp	përmban markën e kohës në formatin Unix Epoch Time (ms)
  numri	numri i telefonit të asociuar me kontaktin
  raw_contact_id	numri rendor i kontaktit
  display_name	emri i shfaqur i kontaktit
  phone_type	lloji i telefonit
  phone_label	etiketa e asociuar me numrin e kontaktit
  unseen_msg_count	numri i mesazheve që janë dërguar nga kontakti por nuk janë lexuar nga marrësi
  photo_ts	përmban markën e kohës në formatin Unix Epoch Time
  thumb_ts	përmban markën e kohës në formatin Unix Epoch Time
  photo_id_timestamp	përmban markën e kohës në formatin Unix Epoch Time (ms)
  given_name	vlera e fushës përputhet me ‘display_name’ për çdo kontakt
  wa_name	emri i kontaktit në WhatsApp (emri i shfaqur që është vendosur në profilin e kontaktit)
  sort_name	emri i kontaktit që përdoret në operacionet e renditjes
  nickname	noja e kontaktit në WhatsApp (noja që shfaqet që është vendosur në profilin e kontaktit)
  company	kompania (emri i kompanisë që shfaqet në profilin e kontaktit)
  title	titulli (zonjës/zotëri; titulli që shfaqet në profilin e kontaktit)
  offset	zhvendosja

• 'sqlite_sequence'
  Kjo tabelë përmban informacion mbi numrin e kontakteve;
• 'android_metadata'
  Kjo tabelë përmban informacion mbi lokalizimin gjuhësor të WhatsApp.

Në bazën e të dhënave 'msgstore.db' përmban informacion mbi mesazhet e dërguara, të tilla si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, të dhënat për skedarët e dërguar të përfshirë në mesazhe etj. Skedari 'msgstore.db' ndodhet në rrugën: '/data/data/com.whatsapp/databases/' dhe ka strukturën e mëposhtme:

Tabelat më interesante në skedarin 'msgstore.db' për hulumtuesin janë:

• 'sqlite_sequence'
  Kjo tabelë përmban informacion të përgjithshëm mbi këtë bazë të të dhënave, për shembull, numrin total të mesazheve të ruajtura, numrin total të bisedave etj.

  Pamja e tabelës:

  

• 'message_fts_content'
  Përmban tekstin e mesazheve të dërguara.

  Pamja e tabelës:

  

• 'messages'
  Kjo tabelë përmban informacion të tillë si numri i kontaktit, teksti i mesazhit, statusi i mesazhit, markat e kohës, të dhënat për skedarët e dërguar të përfshirë në mesazhe.

  Pamja e tabelës:

  
  Struktura e tabelës

  Emri i fushës	Vlera
  _id	numri rendor i zapisëve (në tabelën SQL)
  key_remote_jid	ID e WhatsApp e partnerit të komunikimit
  key_from_me	direksioni i mesazhit: ‘0’ – hyrëse, ‘1’ — dalëse
  key_id	identifikuesi unik i mesazhit
  status	statusi i mesazhit: ‘0’ – i dërguar, ‘4’ – në pritje të serveri, ‘5’ – arritur në destinacion, ‘6’ – mesazh kontrolli, ‘13’ – mesazhi është hapur nga marrësi (lexuar)
  need_push	ka vlerën ‘2’ nëse është mesazh në grup, përndryshe përmban ‘0’
  data	teksti i mesazhit (kur parametri ‘media_wa_type’ është ‘0’)
  timestamp	përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes
  media_url	përmban URL-në e skedarit të dërguar (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  media_mime_type	Lloji MIME i skedarit të dërguar (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  media_wa_type	tipo i mesazhit: ‘0’ – tekst, ‘1’ – skedar grafik, ‘2’ – skedar audio, ‘3’ – skedar video, ‘4’ – kartë kontakti, ‘5’ – të dhëna gjeografike
  media_size	masat e skedarit të dërguar (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  media_name	emri i skedarit të dërguar (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  media_caption	Përmban fjalët ‘audio’, ‘video’ për vlerat përkatëse të parametrave ‘media_wa_type’ (kur parametri ‘media_wa_type’ është ‘1’, ‘3’)
  media_hash	hash i koduar në formatin base64 i skedarit të dërguar, llogaritur me algoritmin HAS-256 (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  media_duration	kohëzgjatja në sekonda për skedarin mediatik (kur parametri ‘media_wa_type’ është ‘1’, ‘2’, ‘3’)
  origin	ka vlerën ‘2’ nëse është mesazh në grup, përndryshe përmban ‘0’
  latitude	të dhëna gjeografike: gjerësia (kur parametri ‘media_wa_type’ është ‘5’)
  longitude	të dhëna gjeografike: gjatësia (kur parametri ‘media_wa_type’ është ‘5’)
  thumb_image	të dhëna shërbimi
  remote_recource	ID e dërguesit (vetëm për bisedat në grup)
  received_timestamp	koha e marrjes, përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri ‘key_from_me’ ka ‘0’, ‘-1’ ose ndonjë vlerë tjetër)
  send_timestamp	nuk përdoret, zakonisht ka vlerën ‘-1’
  receipt_server_timestamp	koha e marrjes nga serveri qendror serverin, përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri ‘key_from_me’ ka ‘1’, ‘-1’ ose ndonjë vlerë tjetër
  receipt_device_timestamp	koha e marrjes së mesazhit nga pajisja tjetër, përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes (kur parametri ‘key_from_me’ ka ‘1’, ‘-1’ ose ndonjë vlerë tjetër
  read_device_timestamp	koha e hapjes (leximit) të mesazhit, përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes
  played_device_timestamp	koha e luajtjes së mesazhit, përmban një timestamp në formatin Unix Epoch Time (ms), vlera merret nga ora e pajisjes
  raw_data	miniatura e skedarit të dërguar (kur parametri ‘media_wa_type’ është ‘1’ ose ‘3’)
  recipient_count	numri i marrësve (për mesazhet në grup)
  participant_hash	përdoret gjatë dërgimit të mesazheve me të dhëna gjeografike
  starred	nuk përdoret
  quoted_row_id	nuk dihet, zakonisht përmban vlerën ‘0’
  mentioned_jids	nuk përdoret
  multicast_id	nuk përdoret
  offset	zhvendosja

  Ky listë fushash nuk është shteruese. Për versione të ndryshme të WhatsApp, disa nga fushat mund të jenë të pranishme ose të mungojnë. Fusha të tjera gjithashtu mund të jenë të pranishme ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ etj.

• ‘messages_thumbnails’
  Ky tabelë përmban informacione rreth imazheve të dërguara dhe timestampet. Në kolonën ‘timestamp’ koha është e shënuar në formatin Unix Epoch Time (ms).
• ‘chat_list’
  Ky tabelë përmban informacione rreth bisedave.

  Pamja e tabelës:

  

Gjithashtu, gjatë hetimit të WhatsApp në një pajisje mobile që funksionon me Android, duhet të kushtoni vëmendje ndaj skedarëve të mëposhtëm:

• Skedari ‘msgstore.db.cryptXX’ (ku XX – një ose dy numra nga 0 deri në 12, për shembull, msgstore.db.crypt12). Përmban një kopje rezervë të enkriptuar të mesazheve WhatsApp (kopja rezervë e skedarit msgstore.db). Skedari (ose skedarët) ‘msgstore.db.cryptXX’ ndodhet në rrugën: ‘/data/media/0/WhatsApp/Databases/’ (kartela virtuale SD), ‘/mnt/sdcard/WhatsApp/Databases/’ (kartela fizike SD).
• Skedari ‘key’. Përmban çelësin kriptografik. Ndodhet në rrugën: ‘/data/data/com.whatsapp/files/’. Përdoret për të dekriptuar kopjet rezervë të enkriptuara të WhatsApp.
• Skedari ‘com.whatsapp_preferences.xml’. Përmban informacione për profilin e llogarisë WhatsApp. Skedari ndodhet në rrugën: ‘/data/data/com.whatsapp/shared_prefs/’.

  Fraksioni i përmbajtjes së skedarit

  …
  9123456789 (numri i telefonit, i lidhur me llogarinë WhatsApp)
  …
  2.17.395 (versioni i WhatsApp)
  …
  Hey there! I am using WhatsApp. (mesazhi që shfaqet në statusin e llogarisë)
  …
  Alex (emri i pronarit të llogarisë)
  … 

• Skedari ‘registration.RegisterPhone.xml’. Përmban informacione për numrin e telefonit të lidhur me llogarinë WhatsApp. Skedari ndodhet në rrugën: ‘/data/data/com.whatsapp/shared_prefs/’.

  Përmbajtja e skedarit

  <?xml version="1.0" encoding="ISO-8859-1"?>
  <map>
  <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string>
  <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/>
  <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string>
  <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/>
  <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string>
  <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string>
  </map>

• Skedari ‘axolotl.db’. Содержит криптографические ключи и иные данные, которые необходимы для идентификации владельца аккаунта. Располагается по пути: '/data/data/com.whatsapp/databases/'.
• Skedari ‘chatsettings.db’. Содержит информацию о конфигурации приложения.
• Skedari 'wa.db'. Содержит детали контактов. Очень интересная (в криминалистическом аспекте) и информативная база данных. В ней может быть найдена подробная информация об удаленных контактах.

Также нужно обращать внимание на следующие каталоги:

• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Содержит переданные графические файлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Содержит голосовые сообщения в файлах формата .OPUS.
• Katalóg ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Содержит графические файлы – изображения контактов.
• Katalóg ‘/data/data/com.whatsapp/files/Avatars/’. Содержит графические файлы – миниатюры изображения контактов. Эти файлы имеют расширение ‘.j’, но, тем не менее, являются графическими файлами формата JPEG (JPG).
• Katalóg ‘/data/data/com.whatsapp/files/Avatars/’. Содержит графические файлы – изображение и миниатюру изображения, установленного как аватар владельцем аккаунта.
• Katalóg ‘/data/data/com.whatsapp/files/Logs/’. Содержит журнал работы программы (файл ‘whatsapp.log’) и резервные копии журналов работы программы (файлы с именами формата whatsapp-гггг-мм-дд.1.log.gz).

Файлы журналов WhatsApp:

Фрагмент журнала2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 sent, 82 received / Media Messages: 1 sent (0 bytes), 0 received (9850158 bytes) / Offline Messages: 81 received (19522 msec average delay) / Message Service: 116075 bytes sent, 211729 bytes received / Voip Calls: 1 outgoing calls, 0 incoming calls, 2492 bytes sent, 1530 bytes received / Google Drive: 0 bytes sent, 0 bytes received / Roaming: 1524 bytes sent, 1826 bytes received / Total Data: 118567 bytes sent, 10063417 bytes received
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Содержит полученные аудиофайлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Содержит отправленные аудиофайлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Содержит полученные графические файлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Содержит отправленные графические файлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Содержит полученные видеофайлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Содержит отправленные видеофайлы.
• Katalóg ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Содержит графические файлы, ассоциированные с владельцем аккаунта WhatsApp.
• Для экономии места в памяти Android-смартфона часть данных WhatsApp может храниться на SD-карте. На SD-карте, в корневом каталоге, расположен каталог ‘WhatsApp’, где могут быть найдены следующие артефакты этой программы:

  

• Katalóg ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Содержит копии файлов, которые были переданы другим пользователям WhatsApp.
• Katalóg ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Содержит удаленные файлы.
• Katalóg ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Содержит зашифрованные резервные копии. Они могут быть расшифрованы при наличии файла ‘key’, извлеченного из памяти анализируемого устройства.

  Файлы, находящиеся в подкаталоге ‘Databases’:

  

• Katalóg ‘Media’ (‘/mnt/sdcard/WhatsApp/Media/’). Ka përmban nënfoldere ‘WallPaper’, ‘WhatsApp Audio’, ‘WhatsApp Images’, ‘WhatsApp Profile Photos’, ‘WhatsApp Video’, ‘WhatsApp Voice Notes’, ku ndodhen skedarët multimediatikë të pranuar dhe të dërguar (skedarë grafikë, skedarë video, mesazhe zanore, fotografi, të lidhura me profilin e pronarit të llogarisë WhatsApp, sfondet).
• Katalóg ‘Profile Pictures’ (‘/mnt/sdcard/WhatsApp/Profile Pictures/’). Ka skedarë grafikë të lidhur me profilin e pronarit të llogarisë WhatsApp.
• Herë pas here, në kartelën SD mund të jetë e pranishme një katalog ‘files’ (‘/mnt/sdcard/WhatsApp/Files/’). Në këtë katalog ruhen skedarë, në të cilët ruhen parameteret e programit dhe preferencat e përdoruesit.

Karakteristikat e ruajtjes së të dhënave në disa modele të pajisjeve mobile

Në disa modele të pajisjeve mobile që përdorin OS Android, është e mundur ruajtja e artefakteve të WhatsApp në një vend tjetër. Kjo për shkak të ndërrimit të hapësirës së ruajtjes së të dhënave të aplikacioneve nga softueri i sistemit të pajisjes mobile. Për shembull, në pajisjet mobile Xiaomi ka funksionin e krijimit të një hapësire të dytë të punës (‘SecondSpace’). Kur aktivizohet ky funksion, ndodhin ndryshime në vendndodhjen e të dhënave. Kështu, në një pajisje mobile të zakonshme që përdor OS Android, të dhënat e përdoruesit ruhen në katalogun ‘/data/user/0/’ (e cila është një referencë në të njohurën ‘/data/data/’), në hapësirën e dytë të punës, të dhënat e aplikacioneve ruhen në katalogun ‘/data/user/10/’. Kështu, përmes vendndodhjes së skedarit 'wa.db':

• në një smartphone të zakonshëm që përdor OS Android: /data/user/0/com.whatsapp/databases/wa.db’ (e cila është ekuivalente me ‘/data/data/com.whatsapp/databases/wa.db’);
• në hapësirën e dytë të punës të smartphone-it Xiaomi: ‘/data/user/10/com.whatsapp/databases/wa.db’.

Artefaktet e WhatsApp në pajisjet iOS

Ndryshe nga sistemi operativ Android, në iOS të dhënat e aplikacionit WhatsApp janë të ruajtura në një kopje rezervë (iTunes backup). Prandaj, nxjerrja e të dhënave të këtij aplikacioni nuk kërkon nxjerrjen e sistemit të skedarëve ose krijimin e një dump-i fizik të memories së pajisjes së hetueshme. Shumica e informacionit të rëndësishëm gjendet në databazën ‘ChatStorage.sqlite’, e cila është në rrugën: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (në disa programe, kjo rrugë shfaqet si ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Struktura ‘ChatStorage.sqlite’:

Tabelat më informative në databazën ‘ChatStorage.sqlite’ janë ‘ZWAMESSAGE’ dhe ‘ZWAMEDIAITEM’.

Pamja e tabelës ‘ZWAMESSAGE’:

Struktura e tabelës ‘ZWAMESSAGE’

Pamja e tabelës ‘ZWAMEDIAITEM’:

Struktura e tabelës ‘ZWAMEDIAITEM’

Të tjera tabela interesante të bazës së të dhënave ‘ChatStorage.sqlite’ janë:

• ‘ZWAPROFILEPUSHNAME’. Korrrespondon ID-në e WhatsApp me emrin e kontaktit;
• ‘ZWAPROFILEPICTUREITEM’. Korrrespondon ID-në e WhatsApp me avatarin e kontaktit;
• ‘Z_PRIMARYKEY’. Tabela përmban informacione të përgjithshme mbi këtë bazë të të dhënave, siç janë numri total i mesazheve të ruajtura, numri total i bisedave, etj.

Gjithashtu, kur hulumtoni WhatsApp në një pajisje mobile me sistemin operativ iOS, duhet të drejtoni vëmendjen në skedarët e mëposhtëm:

• Skedari ‘BackedUpKeyValue.sqlite’. Содержит криптографические ключи и иные данные, которые необходимы для идентификации владельца аккаунта. Располагается по пути: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Skedari ‘ContactsV2.sqlite’. Përmban informacione rreth kontakteve të përdoruesit, si emri, numri i telefonit, statusi i kontaktit (në formë teksti), ID e WhatsApp, etj. Gjendet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Skedari ‘consumer_version’. Përmban numrin e versionit të aplikacionit të instaluar WhatsApp. Gjendet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Skedari ‘current_wallpaper.jpg’. Përmban tapetin aktual të aplikacionit WhatsApp. Gjendet në rrugën: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. Në versionet e vjetra të aplikacionit përdoret skedari ‘wallpaper’, që gjendet në rrugën: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Skedari ‘blockedcontacts.dat’. Përmban informacione mbi kontaktet e bllokuara. Gjendet në rrugën: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Skedari ‘pw.dat’. Përmban fjalëkalimin e kriptuar. Gjendet në rrugën: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Skedari ‘net.whatsapp.WhatsApp.plist’ (ose skedari ‘group.net.whatsapp.WhatsApp.shared.plist’). Përmban informacione mbi profilin e llogarisë WhatsApp. Skedari gjendet në rrugën: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Përmbajtja e skedarit ‘group.net.whatsapp.WhatsApp.shared.plist’
Также нужно обращать внимание на следующие каталоги:

• Katalóg ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Përmban miniatura të kontakteve, grupeve (skedarë me zgjatjen .thumb), avatarët e kontakteve, avatarin e pronarit të llogarisë WhatsApp (skedari ‘Photo.jpg’).
• Katalóg ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/’. Përmban skedarë multimedial dhe miniaturat e tyre
• Katalóg ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Përmban regjistrimin e aktivitetit të programit (skedari ‘calls.log’) dhe kopjet rezervë të regjistrimeve të aktivitetit të programit (skedari ‘calls.backup.log’).
• Katalóg ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Përmban stickers (skedarë në formatin ‘.webp’).
• Katalóg ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Përmban regjistrat e aktivitetit të programit.

Artefaktet e WhatsApp në Windows

Artefaktet e WhatsApp në Windows mund të gjenden në disa vende. Para se gjithash, janë katalogët që përmbajnë skedarë ekzekutivë dhe ndihmës të programit (për Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

Në katalog ‘C:Users%User profile% AppDataLocalWhatsApp’ gjendet skedari i regjistrit ‘SquirrelSetup.log’, në të cilin gjendet informacioni mbi verifikimin e azhurnimeve dhe instalimin e programit.

Në katalog ‘C:Users%User profile% AppDataRoamingWhatsApp’ përmban disa katalogë të brendshëm:

Skedari ‘main-process.log’ përmban informacione rreth aktivitetit të programit WhatsApp.

Katalogu i brendshëm ‘databases’ përmban skedarin ‘Databases.db’, por ky skedar nuk përmban asnjë informacion mbi bisedat ose kontaktet.

Skedarët më interesantë nga këndvështrimi kriminalistik janë ata që ndodhen në katalogun ‘Cache’. Kryesisht, këta janë skedarë me emra ‘f_*******’ (ku * është një numër nga 0 në 9), që përmbajnë skedarë multimedial dhe dokumente të kriptuara, por mes tyre ndodhen edhe skedarë të pa kriptuar. Skedarët ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, që ndodhen në këtë nënkatalog. Skedarët ‘data_0’, ‘data_1’, ‘data_3’ përmbajnë lidhje të jashtme me skedarët multimedial dhe dokumentet e kriptuara në proces të dërgimit.

Shembuj të informacionit që përmban skedari ‘data_1’
Gjithashtu, skedari ‘data_3’ mund të përmbajë skedarë grafikë.

Skedari ‘data_2’ përmban avatarët e kontakteve (mund të rikuperohen përmes kërkimit sipas titujve të skedarëve).

Avatarët që përmbahen në skedarin ‘data_2’:

Kështu, në kujtesën e kompjuterit nuk mund të gjenden bisedat vetë, por mund të gjenden:

• skedarë multimedial;
• dokumente, të dërguara përmes WhatsApp;
• informacione rreth kontakteve të pronarit të llogarisë.

Artefaktet e WhatsApp në MacOS

Në MacOS mund të gjenden lloje artefaktësh të WhatsApp, të ngjashme me ato që ekzistojnë në sistemin operativ Windows.

Skedarët e aplikacionit gjenden në katalogët:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile% Library Mobile Documents WhatsApp Accounts’
  Në këtë katalog gjenden nënkatalogë, emrat e të cilëve përfaqësojnë numrat e telefonit, të asocuar me pronarin e llogarisë WhatsApp.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  Në këtë katalog, gjendet informacioni mbi instalimin e programit.
• ‘C:Users%User profile%PicturesMediateka iPhoto.photolibraryMasters’, ‘C:Users%User profile%PicturesMediateka iPhoto.photolibraryThumbnails’
  Në këto katalogë gjenden skedarët shërbim të programit dhe, përfshirë, fotografitë dhe miniaturat e kontakteve WhatsApp.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  Në këtë katalog janë disa baza të të dhënave SQLite që përdoren për ruajtjen e informacionit në cache.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  Në këtë katalog ndodhen disa nënkatalogë:

  
  Në katalog ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ ndodhen skedarët ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ dhe skedarët me emra ‘f_*******’ (ku * është një numër nga 0 në 9). Informacioni mbi përmbajtjen e këtyre skedarëve përshkruhet në seksionin "Artefaktet e WhatsApp në Windows".

  Në katalog ‘C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB’ mund të përmbajnë skedarë multimedialë (skedarët nuk kanë shtrirje).

  Skedari ‘main-process.log’ përmban informacione rreth aktivitetit të programit WhatsApp.

Burimet

1. Analiza forenzike e WhatsApp Messenger në smartfonët Android, nga Cosimo Anglano, 2014.
2. WhatsApp Forensics: Eksplorimi i sistemeve të skedarëve dhe bazave të të dhënave në aplikacionet Android dhe iOS nga Ahmad Pratama, 2014.

Në artikujt e ardhshëm të kësaj serie:

Dekodimi i bazave të dhënave të enkriptuara të WhatsAppNjë artikull në të cilin do të ofrohet informacion mbi mënyrën e gjenerimit të çelësit të enkriptimit të WhatsApp dhe shembuj praktikë që tregojnë se si të dekodoni bazat e dhënave të enkriptuara të këtij aplikacioni.
Nxjerrja e të dhënave nga WhatsApp nga ruajtjet në reNjë artikull në të cilin do të përshkruajmë se cilat të dhëna të WhatsApp ruhen në re dhe do të përmendim metodat e nxjerrjes së këtyre të dhënave nga ruajtjet në re.
Nxjerrja e të dhënave të WhatsApp: shembuj praktikëNjë artikull në të cilin do të përshkruajmë hapat se me cilat programe dhe si të nxirrni të dhënat e WhatsApp nga pajisje të ndryshme.

Burimi: habr.com