🥇Форензичка анализа ХиСуите резервних копија

Извлачење података са Андроид уређаја постаје све теже сваким даном - понекад чак теженего са иПхоне-а. Игор Михајлов, специјалиста Лабораторије за компјутерску форензику Гроуп-ИБ, говори вам шта да радите ако не можете да извучете податке са свог Андроид паметног телефона помоћу стандардних метода.

Пре неколико година, моје колеге и ја смо разговарали о трендовима у развоју безбедносних механизама у Андроид уређајима и дошли до закључка да ће доћи време када ће њихова форензичка истрага постати тежа него за иОС уређаје. И данас можемо са сигурношћу рећи да је ово време дошло.

Недавно сам прегледао Хуавеи Хонор 20 Про. Шта мислите да смо успели да издвојимо из резервне копије добијене помоћу АДБ услужног програма? Ништа! Уређај је пун података: информације о позивима, телефонски именик, СМС, тренутне поруке, е-пошта, мултимедијалне датотеке итд. И ништа од овога не можете извући. Ужасан осећај!

Шта учинити у таквој ситуацији? Добро решење је коришћење сопствених услужних програма за прављење резервних копија (Ми ПЦ Суите за Ксиаоми паметне телефоне, Самсунг Смарт Свитцх за Самсунг, ХиСуите за Хуавеи).

У овом чланку ћемо погледати креирање и екстракцију података са Хуавеи паметних телефона помоћу услужног програма ХиСуите и њихову каснију анализу користећи Белкасофт Евиденце Центер.

Које врсте података су укључене у ХиСуите резервне копије?

Следећи типови података су укључени у ХиСуите резервне копије:

подаци о налозима и лозинкама (или токенима)
контакт подаци
изазови
СМС и ММС поруке
Е-маил
мултимедијалне датотеке
База података
документе
архиви
датотеке апликација (датотеке са екстензијама.одек, .тако, АПК.)
информације из апликација (као што су Фацебоок, Гоогле Дриве, Гоогле Пхотос, Гоогле Маилс, Гоогле Мапс, Инстаграм, ВхатсАпп, ИоуТубе, итд.)

Погледајмо детаљније како се креира таква резервна копија и како је анализирати користећи Белкасофт Евиденце Центер.

Прављење резервне копије Хуавеи паметног телефона помоћу услужног програма ХиСуите

Да бисте направили резервну копију помоћу власничког услужног програма, потребно је да је преузмете са веб локације хуавеи и инсталирати.

Страница за преузимање ХиСуите-а на Хуавеи веб локацији:

За упаривање уређаја са рачунаром користи се режим ХДБ (Хуавеи Дебуг Бридге). На Хуавеи веб локацији или у самом програму ХиСуите налазе се детаљна упутства о томе како да активирате ХДБ режим на свом мобилном уређају. Након активирања ХДБ режима, покрените апликацију ХиСуите на свом мобилном уређају и унесите код приказан у овој апликацији у прозор програма ХиСуите који ради на вашем рачунару.

Прозор за унос кода у десктоп верзији ХиСуите-а:

Током процеса прављења резервне копије, од вас ће се тражити да унесете лозинку, која ће се користити за заштиту података екстрахованих из меморије уређаја. Креирана резервна копија ће се налазити дуж путање Ц:/Усерс/%Кориснички профил%/Доцументс/ХиСуите/бацкуп/.

Резервна копија паметног телефона Хуавеи Хонор 20 Про:

Анализа резервне копије ХиСуите-а помоћу Белкасофт Евиденце Центер-а

Да бисте анализирали резултујућу резервну копију користећи Белкасофт центар за доказе створити нови посао. Затим изаберите као извор података Мобиле Имаге. У менију који се отвори одредите путању до директоријума у коме се налази резервна копија паметног телефона и изаберите датотеку инфо.кмл.

Одређивање путање до резервне копије:

У следећем прозору, програм ће од вас затражити да изаберете типове артефаката које треба да пронађете. Након покретања скенирања, идите на картицу таск манагер и кликните на дугме Конфигуришите задатак, јер програм очекује лозинку за дешифровање шифроване резервне копије.

РљРЅРѕРіРєР ° Конфигуришите задатак:

Након дешифровања резервне копије, Белкасофт Евиденце Центер ће од вас тражити да поново одредите типове артефаката које треба издвојити. Након што је анализа завршена, информације о екстрахованим артефактима могу се видети у картицама Цасе Екплорер и преглед .

Резултати анализе резервне копије Хуавеи Хонор 20 Про:

Анализа ХиСуите резервне копије помоћу програма Мобиле Форенсиц Екперт

Још један форензички програм који се може користити за издвајање података из ХиСуите резервне копије је „Мобилни форензички вештак“.

За обраду података ускладиштених у ХиСуите резервној копији, кликните на опцију Увоз резервних копија у главном прозору програма.

Фрагмент главног прозора програма „Мобилни форензичар“:

Или у одељку увоз изаберите тип података за увоз Хуавеи резервна копија:

У прозору који се отвори наведите путању до датотеке инфо.кмл. Када започнете процедуру екстракције, појавиће се прозор у којем ће се од вас тражити да или унесете познату лозинку да бисте дешифровали ХиСуите резервну копију, или да користите Пассваре алат да покушате да погодите ову лозинку ако је непозната:

Резултат анализе резервне копије ће бити прозор програма „Мобиле Форенсиц Екперт“, који приказује типове екстрахованих артефаката: позиви, контакти, поруке, датотеке, феед догађаја, подаци апликације. Обратите пажњу на количину података које овај форензички програм издваја из различитих апликација. Једноставно је огромно!

Листа екстрахованих типова података из ХиСуите резервне копије у програму Мобиле Форенсиц Екперт:

Дешифровање ХиСуите резервних копија

Шта да радите ако немате ове дивне програме? У овом случају, помоћи ће вам Питхон скрипта коју је развио и одржава Франческо Пикасо, запослени у компанији Реалити Нет Систем Солутионс. Ову скрипту можете пронаћи на ГитХуб, а његов детаљнији опис је у Чланак „Хуавеи резервни дешифратор.“

Дешифрована ХиСуите резервна копија се затим може увести и анализирати коришћењем класичних форензичких услужних програма (нпр. Аутопси) или ручно.

Налази

Дакле, користећи ХиСуите услужни програм за прављење резервних копија, можете издвојити ред величине више података са Хуавеи паметних телефона него када извлачите податке са истих уређаја помоћу АДБ услужног програма. Упркос великом броју услужних програма за рад са мобилним телефонима, Белкасофт Евиденце Центер и Мобиле Форенсиц Екперт су међу ретким форензичким програмима који подржавају екстракцију и анализу ХиСуите резервних копија.

izvori

Извор: ввв.хабр.цом

Форензичка анализа ХиСуите резервних копија