WhatsApp i handflatan: var och hur kan man upptäcka kriminalistiska artefakter?

Vill du veta vilka typer av kriminalistiska artefakter WhatsApp finns i olika operativsystem och var de kan upptäckas — då är det hit du ska gå. Denna artikel är skriven av en specialist vid Group-IB:s laboratorium för datakriminalistik. Igor Mikhailov öppnar en serie publikationer om kriminalistisk undersökning av WhatsApp och vilken information som kan fås genom analys av enheten.

Vi nämner genast att olika operativsystem lagrar olika typer av WhatsApp-artefakter, och om en forskare kan extrahera vissa typer av WhatsApp-data från en enhet, betyder det inte att liknande datatyper kan extraheras från en annan enhet. Till exempel, om en stationär dator som kör Windows OS beslagtas, kommer chattar från WhatsApp förmodligen inte att upptäckas på dess diskar (undantaget är säkerhetskopior från iOS-enheter, som kan upptäckas på samma lagringsenheter). När bärbara datorer och mobila enheter beslagtas kommer det att finnas sina egna egenskaper. Låt oss prata mer om detta.

WhatsApp-artefakter på Android-enheter

För att extrahera WhatsApp-artefakter från en enhet som kör Android OS måste forskaren ha superanvändarrättigheter ('root') på den undersökta enheten, eller kunna på annat sätt extrahera en fysisk minnesdump av enheten eller dess filsystem (till exempel genom att utnyttja programvarusårbarheter hos en viss mobil enhet).

Appens filer lagras i telefonens minne i den partition där användardata sparas. Vanligtvis kallas denna partition 'userdata'. Programkataloger och filer finns på sökvägen: '/data/data/com.whatsapp/'.

De huvudsakliga filerna som innehåller kriminalistiska artefakter för WhatsApp i Android OS är databaserna 'wa.db' och 'msgstore.db'.

I databasen 'wa.db' finns en komplett lista över WhatsApp-kontakter inklusive telefonnummer, visningsnamn, tidsstämplar och annan information som anges vid registreringen i WhatsApp. Filen 'wa.db' finns på sökvägen: '/data/data/com.whatsapp/databases/' och har följande struktur:

De mest intressanta tabellerna i databasen 'wa.db' för forskaren är:

• 'wa_contacts'
  Denna tabell innehåller information om kontakter: kontaktens id i WhatsApp, statusinformation, visningsnamn, tidsstämplar m.m.

  Tabellens utseende:

  
  Tabellens struktur

  Fältets namn	Värde
  _id	postens ordningstal (i SQL-tabellen)
  jid	WhatsApp ID för kontakten, anges i formatet @s.whatsapp.net
  is_whatsapp_user	innehåller '1' om kontakten motsvarar en verklig WhatsApp-användare, '0' annars
  status	innehåller texten som visas i kontaktens status
  status_timestamp	innehåller tidsstämpeln i Unix Epoch Time-format (ms)
  number	telefonnummer associerat med kontakten
  raw_contact_id	postens ordningstal för kontakten
  display_name	kontaktens visningsnamn
  phone_type	telefontyp
  phone_label	etikett associerad med kontaktens nummer
  unseen_msg_count	antal meddelanden som har skickats av kontakten men inte har lästs av mottagaren
  photo_ts	innehåller tidsstämpeln i Unix Epoch Time-format
  thumb_ts	innehåller tidsstämpeln i Unix Epoch Time-format
  photo_id_timestamp	innehåller tidsstämpeln i Unix Epoch Time-format (ms)
  given_name	fälts värde överensstämmer med 'display_name' för varje kontakt
  wa_name	kontaktens namn i WhatsApp (visar namnet som anges i kontaktens profil)
  sort_name	kontaktens namn som används i sorteringsoperationer
  nickname	kontaktens smeknamn i WhatsApp (visar smeknamnet som anges i kontaktens profil)
  company	företag (visar företaget som anges i kontaktens profil)
  title	tilltal (fru/herr; visar tilltalet som är inställt i kontaktens profil)
  offset	förskjutning

• 'sqlite_sequence'
  Denna tabell innehåller information om antalet kontakter;
• 'android_metadata'
  Denna tabell innehåller information om språkversionering för WhatsApp.

I databasen 'msgstore.db' innehåller information om skickade meddelanden, såsom kontaktens nummer, meddelandets text, meddelandets status, tidsstämplar, information om överförda filer som ingår i meddelandena, m.m. Filen 'msgstore.db' finns på sökvägen: '/data/data/com.whatsapp/databases/' och har följande struktur:

De mest intressanta tabellerna i filen 'msgstore.db' för forskaren är:

• 'sqlite_sequence'
  Denna tabell innehåller allmän information om denna databas, såsom det totala antalet sparade meddelanden, det totala antalet chattar m.m.

  Tabellens utseende:

  

• 'message_fts_content'
  Innehåller texten från skickade meddelanden.

  Tabellens utseende:

  

• 'messages'
  Denna tabell innehåller sådan information som kontaktens nummer, meddelandets text, meddelandets status, tidsstämplar, information om överförda filer som ingår i meddelandena.

  Tabellens utseende:

  
  Tabellens struktur

  Fältets namn	Värde
  _id	postens ordningstal (i SQL-tabellen)
  key_remote_jid	WhatsApp ID för kommunikationspartnern
  key_from_me	meddelandets riktning: '0' – inkommande, '1' — utgående
  key_id	unika identifieraren för meddelandet
  status	meddelandestatus: '0' – levererat, '4' – väntar på servern, '5' – mottaget på destinationen, '6' – kvittomeddelande, '13' – meddelandet har öppnats av mottagaren (läst)
  need_push	har värdet '2' om detta är ett sändningsmeddelande, annars innehåller det '0'
  data	meddelandets text (när parametern 'media_wa_type' är '0')
  timestamp	innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka
  media_url	innehåller URL:en till den överförda filen (när parametern 'media_wa_type' är '1', '2', '3')
  media_mime_type	MIME-typ för den överförda filen (när parametern 'media_wa_type' är '1', '2', '3')
  media_wa_type	meddelandetyp: '0' – text, '1' – bildfil, '2' – ljudfil, '3' – videofil, '4' – kontaktkort, '5' – geodata
  media_size	storlek på den överförda filen (när parametern 'media_wa_type' är '1', '2', '3')
  media_name	namn på den överförda filen (när parametern 'media_wa_type' är '1', '2', '3')
  media_caption	Innehåller orden 'audio', 'video' för motsvarande värden av parametern 'media_wa_type' (när parametern 'media_wa_type' är '1', '3')
  media_hash	härskad i base64-format av den överförda filen, beräknad med HAS-256-algoritmen (när parametern 'media_wa_type' är '1', '2', '3')
  media_duration	längd i sekunder för mediafilen (när parametern 'media_wa_type' är '1', '2', '3')
  origin	har värdet '2' om detta är ett sändningsmeddelande, annars innehåller det '0'
  latitude	geodata: latitud (när parametern 'media_wa_type' är '5')
  longitude	geodata: longitud (när parametern 'media_wa_type' är '5')
  thumb_image	metadata
  remote_recource	ID för avsändaren (bara för grupper)
  received_timestamp	mottagningstid, innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka (när parametern 'key_from_me' har '0', '-1' eller något annat värde)
  send_timestamp	används inte, har vanligtvis värdet '-1'
  receipt_server_timestamp	tiden för mottagning av servercentralen servern, innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka (när parametern 'key_from_me' har '1', '-1' eller något annat värde
  receipt_device_timestamp	mottagningstid för meddelandet från en annan abonnent, innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka (när parametern 'key_from_me' har '1', '-1' eller något annat värde
  read_device_timestamp	öppningstid (läsning) av meddelandet, innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka
  played_device_timestamp	uppspelningstid av meddelandet, innehåller en tidsstämpel i Unix Epoch Time-format (ms), värdet tas från enhetens klocka
  raw_data	miniatyr av den överförda filen (när parametern ‘media_wa_type’ är lika med ‘1’ eller ‘3’)
  recipient_count	antal mottagare (för sändningsmeddelanden)
  participant_hash	används vid överföring av meddelanden med geodata
  starred	används inte
  quoted_row_id	okänt, innehåller vanligtvis värdet ‘0’
  mentioned_jids	används inte
  multicast_id	används inte
  offset	förskjutning

  Denna lista med fält är inte uttömmande. För olika versioner av WhatsApp kan vissa fält finnas eller saknas. Dessutom kan ytterligare fält finnas ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ och så vidare.

• ‘messages_thumbnails’
  Denna tabell innehåller information om överförda bilder och tidsstämplar. I kolumnen ‘timestamp’ anges tiden i Unix Epoch Time-format (ms).
• ‘chat_list’
  Denna tabell innehåller information om chattar.

  Tabellens utseende:

  

Vid undersökning av WhatsApp på en Android-enhet bör man också uppmärksamma följande filer:

• Fil ‘msgstore.db.cryptXX’ (där XX är en eller två siffror från 0 till 12, till exempel msgstore.db.crypt12). Innehåller en krypterad säkerhetskopia av WhatsApp-meddelanden (säkerhetskopia av filen msgstore.db). Filen (eller filerna) ‘msgstore.db.cryptXX’ finns på sökvägen: ‘/data/media/0/WhatsApp/Databases/’ (virtuellt SD-kort), ‘/mnt/sdcard/WhatsApp/Databases/’ (fysiskt SD-kort).
• Fil ‘key’. Innehåller den kryptografiska nyckeln. Finns på följande väg: ‘/data/data/com.whatsapp/files/’. Används för att dekryptera krypterade säkerhetskopior av WhatsApp.
• Fil ‘com.whatsapp_preferences.xml’. Innehåller information om WhatsApp-kontoets profil. Filen finns på följande väg: ‘/data/data/com.whatsapp/shared_prefs/’.

  Innehållet i filen

  …
  9123456789 (telefonnummer kopplat till WhatsApp-kontot)
  …
  2.17.395 (version av WhatsApp)
  …
  Hej där! Jag använder WhatsApp. (meddelande som visas i kontots status)
  …
  Alex (namnet på kontoinnehavaren)
  … 

• Fil ‘registration.RegisterPhone.xml’. Innehåller information om telefonnumret kopplat till WhatsApp-kontot. Filen finns på följande väg: ‘/data/data/com.whatsapp/shared_prefs/’.

  Innehållet i filen

• Fil ‘axolotl.db’. Innehåller kryptografiska nycklar och annan information som är nödvändig för att identifiera kontoinnehavaren. Ligger på vägen: '/data/data/com.whatsapp/databases/'.
• Fil ‘chatsettings.db’. Innehåller information om appens konfiguration.
• Fil 'wa.db'. Innehåller detaljer om kontakter. Mycket intressant (ur ett kriminalistiskt perspektiv) och informativ databas. Här kan detaljerad information om borttagna kontakter hittas.

Det är också viktigt att uppmärksamma följande kataloger:

• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Innehåller överförda bildfiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Voice Notes/’. Innehåller röstmeddelanden i .OPUS-filformat.
• Katalog ‘/data/data/com.whatsapp/cache/Profile Pictures/’. Innehåller bildfiler – bilder av kontakter.
• Katalog ‘/data/data/com.whatsapp/files/Avatars/’. Innehåller bildfiler – miniatyrer av kontaktbilder. Dessa filer har filändelsen ‘.j’, men är ändå bildfiler i JPEG-format (JPG).
• Katalog ‘/data/data/com.whatsapp/files/Avatars/’. Innehåller bildfiler – bilden och miniatyren av bilden som satts som avatar av kontoinnehavaren.
• Katalog ‘/data/data/com.whatsapp/files/Logs/’. Innehåller programloggar (filen ‘whatsapp.log’) och säkerhetskopior av programloggar (filer med namnformatet whatsapp-åååå-mm-dd.1.log.gz).

WhatsApp-loggfiler:

Loggutdrag2017-01-10 09:37:09.757 LL_I D [524:WhatsApp Worker #1] missedcallnotification/init count:0 timestamp:0
2017-01-10 09:37:09.758 LL_I D [524:WhatsApp Worker #1] missedcallnotification/update cancel true
2017-01-10 09:37:09.768 LL_I D [1:main] app-init/load-me
2017-01-10 09:37:09.772 LL_I D [1:main] password file missing or unreadable
2017-01-10 09:37:09.782 LL_I D [1:main] statistics Text Messages: 59 skickade, 82 mottagna / Media Messages: 1 skickad (0 byte), 0 mottagna (9850158 byte) / Offline Messages: 81 mottagna (19522 msec genomsnittlig fördröjning) / Message Service: 116075 byte skickade, 211729 byte mottagna / Voip Calls: 1 utgående samtal, 0 inkommande samtal, 2492 byte skickade, 1530 byte mottagna / Google Drive: 0 byte skickade, 0 byte mottagna / Roaming: 1524 byte skickade, 1826 byte mottagna / Totalt Data: 118567 byte skickade, 10063417 byte mottagna
2017-01-10 09:37:09.785 LL_I D [1:main] media-state-manager/refresh-media-state/writable-media
2017-01-10 09:37:09.806 LL_I D [1:main] app-init/initialize/timer/stop: 24
2017-01-10 09:37:09.811 LL_I D [1:main] msgstore/checkhealth
2017-01-10 09:37:09.817 LL_I D [1:main] msgstore/checkhealth/journal/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkhealth/back/delete false
2017-01-10 09:37:09.818 LL_I D [1:main] msgstore/checkdb/data/data/com.whatsapp/databases/msgstore.db
2017-01-10 09:37:09.819 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager 16384 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list _jobqueue-WhatsAppJobManager-journal 21032 drw=011
2017-01-10 09:37:09.820 LL_I D [1:main] msgstore/checkdb/list axolotl.db 184320 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-wal 436752 drw=011
2017-01-10 09:37:09.821 LL_I D [1:main] msgstore/checkdb/list axolotl.db-shm 32768 drw=011
2017-01-10 09:37:09.822 LL_I D [1:main] msgstore/checkdb/list msgstore.db 540672 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-wal 0 drw=011
2017-01-10 09:37:09.823 LL_I D [1:main] msgstore/checkdb/list msgstore.db-shm 32768 drw=011
2017-01-10 09:37:09.824 LL_I D [1:main] msgstore/checkdb/list wa.db 69632 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-wal 428512 drw=011
2017-01-10 09:37:09.825 LL_I D [1:main] msgstore/checkdb/list wa.db-shm 32768 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db 4096 drw=011
2017-01-10 09:37:09.826 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-wal 70072 drw=011
2017-01-10 09:37:09.827 LL_I D [1:main] msgstore/checkdb/list chatsettings.db-shm 32768 drw=011
2017-01-10 09:37:09.838 LL_I D [1:main] msgstore/checkdb/version 1
2017-01-10 09:37:09.839 LL_I D [1:main] msgstore/canquery
2017-01-10 09:37:09.846 LL_I D [1:main] msgstore/canquery/count 1
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery/timer/stop: 8
2017-01-10 09:37:09.847 LL_I D [1:main] msgstore/canquery 517 | time spent:8
2017-01-10 09:37:09.848 LL_I D [529:WhatsApp Worker #3] media-state-manager/refresh-media-state/internal-storage available:1,345,622,016 total:5,687,922,688

• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Innehåller mottagna ljudfiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Innehåller skickade ljudfiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Innehåller mottagna bildfiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Innehåller skickade bildfiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Innehåller mottagna videofiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Innehåller skickade videofiler.
• Katalog ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Innehåller bildfiler associerade med WhatsApp-kontoägaren.
• För att spara plats på Android-smarttelefonen kan vissa WhatsApp-data lagras på SD-kortet. I roten av SD-kortet finns en mapp ‘WhatsApp’, där följande artefakter av detta program kan hittas:

  

• Katalog ‘.Share’ (‘/mnt/sdcard/WhatsApp/.Share/’). Innehåller kopior av filer som har skickats till andra WhatsApp-användare.
• Katalog ‘.trash’ (‘/mnt/sdcard/WhatsApp/.trash/’). Innehåller raderade filer.
• Katalog ‘Databases’ (‘/mnt/sdcard/WhatsApp/Databases/’). Innehåller krypterade säkerhetskopior. De kan dekrypteras med hjälp av en fil ‘key’, hämtad från minnet av den analyserade enheten.

  Filer som finns i underkatalogen ‘Databases’:

  

• Katalog ‘Media’ (‘/mnt/sdcard/WhatsApp/Media/’). Innehåller undermappar ‘WallPaper’, ‘WhatsApp Audio’, ‘WhatsApp Images’, ‘WhatsApp Profile Photos’, ‘WhatsApp Video’, ‘WhatsApp Voice Notes’, där de mottagna och skickade mediefilerna (grafiska filer, videofiler, röstmeddelanden, foton, associerade med profilägaren för WhatsApp-kontot, bakgrundsbilder) finns.
• Katalog ‘Profile Pictures’ (‘/mnt/sdcard/WhatsApp/Profile Pictures/’). Innehåller grafiska filer, associerade med profilägaren för WhatsApp-kontot.
• Ibland kan det finnas en katalog på SD-kortet ‘files’ (‘/mnt/sdcard/WhatsApp/Files/’). I den här katalogen finns filer som lagrar programmets inställningar och användarens preferenser.

Egenskaper för datalagring på vissa modeller av mobila enheter

På vissa modeller av mobila enheter som körs med Android OS kan det finnas artefakter från WhatsApp som lagras på andra ställen. Detta beror på att lagringsutrymmet för appar förändras av mobilens operativsystem. Till exempel har mobiltelefoner från Xiaomi funktionen att skapa ett andra arbetsutrymme (‘SecondSpace’). När denna funktion aktiveras ändras datalagret. Om användardata på en vanlig mobiltelefon som körs med Android lagras i katalogen ‘/data/user/0/’ (vilket är en länk till de bekanta ‘/data/data/’), så lagras appers data i det andra arbetsutrymmet i katalogen ‘/data/user/10/’. Så, till exempel, för det platsen för filen 'wa.db':

• på en vanlig smartphone med Android: /data/user/0/com.whatsapp/databases/wa.db’ (vilket motsvarar ‘/data/data/com.whatsapp/databases/wa.db’);
• i det andra arbetsutrymmet på en Xiaomi-smartphone: ‘/data/user/10/com.whatsapp/databases/wa.db’.

Artefakter från WhatsApp på iOS-enheter

Till skillnad från Android OS, överförs data från WhatsApp-appen på iOS till en säkerhetskopia (iTunes-säkerhetskopiera). Därför kräver extraktion av data från denna app ingen extraktion av filsystemet eller skapande av en fysisk dump av det undersökta enhetens minne. Den största delen av den betydelsefulla informationen finns i databasen ‘ChatStorage.sqlite’, som ligger på följande väg: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/’ (i vissa program visas denna väg som ‘AppDomainGroup-group.net.whatsapp.WhatsApp.shared’).

Struktur ‘ChatStorage.sqlite’:

De mest informativa i databasen ‘ChatStorage.sqlite’ är tabellerna ‘ZWAMESSAGE’ och ‘ZWAMEDIAITEM’.

Tabellens utseende ‘ZWAMESSAGE’:

Strukturen för tabellen ‘ZWAMESSAGE’

Tabellens utseende ‘ZWAMEDIAITEM’:

Strukturen för tabellen ‘ZWAMEDIAITEM’

Andra intressanta databastabeller ‘ChatStorage.sqlite’ är:

• ‘ZWAPROFILEPUSHNAME’. Kopplar WhatsApp-ID med kontaktens namn;
• ‘ZWAPROFILEPICTUREITEM’. Kopplar WhatsApp-ID med kontaktens avatar;
• ‘Z_PRIMARYKEY’. Tabellen innehåller allmän information om denna databas, såsom totalt antal lagrade meddelanden, totalt antal chattar osv.

Vid studier av WhatsApp på en iOS-enhet bör man också vara uppmärksam på följande filer:

• Fil ‘BackedUpKeyValue.sqlite’. Innehåller kryptografiska nycklar och annan information som är nödvändig för att identifiera kontoinnehavaren. Ligger på vägen: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘ContactsV2.sqlite’. Innehåller information om användarens kontakter, såsom namn, telefonnummer, status (i textform), WhatsApp-ID osv. Finns på vägen: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘consumer_version’. Innehåller versionsnumret för den installerade WhatsApp-appen. Ligger på vägen: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/.
• Fil ‘current_wallpaper.jpg’. Innehåller den aktuella bakgrundsbilden för WhatsApp-appen. Finns på vägen: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/. I äldre versioner av appen används filen ‘wallpaper’, som finns på vägen: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’.
• Fil ‘blockedcontacts.dat’. Innehåller information om blockerade kontakter. Ligga på vägen: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/.
• Fil ‘pw.dat’. Innehåller det krypterade lösenordet. Finns på vägen: ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/’.
• Fil ‘net.whatsapp.WhatsApp.plist’ (eller fil ‘group.net.whatsapp.WhatsApp.shared.plist’). Innehåller information om WhatsApp-kontots profil. Filen finns på vägen: ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/’.

Innehållet i filen ‘group.net.whatsapp.WhatsApp.shared.plist’
Det är också viktigt att uppmärksamma följande kataloger:

• Katalog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/’. Innehåller miniatyrbilder av kontakter, grupper (filer med tillägget .thumb), avatarer för kontakter, avatar för WhatsApp-kontoägaren (fil ‘Photo.jpg’).
• Katalog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Message/Media/’. Innehåller multimediafiler och deras miniatyrbilder
• Katalog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/’. Innehåller programloggar (fil ‘calls.log’) och säkerhetskopior av programloggar (fil ‘calls.backup.log’).
• Katalog ‘/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/’. Innehåller klistermärken (filer i formatet ‘.webp’).
• Katalog ‘/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/’. Innehåller programloggar.

WhatsApp-artefakter i Windows

WhatsApp-artefakter i Windows kan hittas på flera platser. Först och främst är detta kataloger som innehåller körbara och hjälpfiler för programmet (för Windows 8/10):

• ‘C:Program Files (x86)WhatsApp’
• ‘C:Users%User profile% AppDataLocalWhatsApp’
• ‘C:Users%User profile% AppDataLocalVirtualStore Program Files (x86)WhatsApp’

I kataloget ‘C:Users%User profile% AppDataLocalWhatsApp’ befinner sig loggfilen ‘SquirrelSetup.log’, som innehåller information om kontroll av tillgängliga uppdateringar och installation av programmet.

I kataloget ‘C:Users%User profile% AppDataRoamingWhatsApp’ finns flera underkataloger:

Fil ‘main-process.log’ innehåller information om WhatsApp-programmet.

Underkatalog ‘databases’ innehåller filen ‘Databases.db’, men denna fil innehåller ingen information om chattar eller kontakter.

De mest intressanta filerna ur rättsmedicinsk synvinkel finns i katalogen ‘Cache’. I huvudsak är detta filer med namn ‘f_*******’ (där * — ett nummer från 0 till 9), som innehåller krypterade multimediafiler och dokument, men bland dem finns också okrypterade filer. Särskilt intressanta är filerna ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, som finns i samma underkatalog. Filerna ‘data_0’, ‘data_1’, ‘data_3’ innehåller externa länkar till de överförda krypterade multimediafilerna och dokumenten.

Ett exempel på information som finns i filen ‘data_1’
Filen ‘data_3’ kan också innehålla grafiska filer.

Fil ‘data_2’ innehåller kontaktavporträtt (kan återställas genom att söka på filrubriker).

Avporträtt som finns i filen ‘data_2’:

Således kan man inte hitta chattarna direkt på datorn, men man kan hitta:

• multimediafiler;
• dokument som överförts via WhatsApp;
• information om kontoinnehavaren.

WhatsApp-artifakter i MacOS

I MacOS kan man hitta typer av WhatsApp-artifakter liknande dem som finns i Windows.

Programfilerna finns i katalogerna:

• ‘C:ApplicationsWhatsApp.app’
• ‘C:Applications._WhatsApp.app’
• ‘C:Users%User profile%LibraryPreferences’
• ‘C:Users%User profile%LibraryLogsWhatsApp’
• ‘C:Users%User profile%LibrarySaved Application StateWhatsApp.savedState’
• ‘C:Users%User profile%LibraryApplication Scripts’
• ‘C:Users%User profile%LibraryApplication SupportCloudDocs’
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp.ShipIt’
• ‘C:Users%User profile%LibraryContainerscom.rockysandstudio.app-for-whatsapp’
• ‘C:Users%User profile%Library Mobile Documents <textvariabel> WhatsApp Accounts’
  I denna katalog finns underkataloger vars namn representerar telefonnummer associerade med WhatsApp-kontoinnehavaren.
• ‘C:Users%User profile%LibraryCachesWhatsApp.ShipIt’
  I denna katalog finns information om installationen av programmet.
• ‘C:Users%User profile%PicturesiPhoto-bibliotekMasters’, ‘C:Users%User profile%PicturesiPhoto-bibliotekThumbnails’
  I dessa kataloger finns programmets systemfiler inklusive foton och miniatyrer av WhatsApp-kontakter.
• ‘C:Users%User profile%LibraryCachesWhatsApp’
  I denna katalog finns flera SQLite-databaser som används för att cacha data.
• ‘C:Users%User profile%LibraryApplication SupportWhatsApp’
  I denna katalog finns flera undermappar:

  
  I kataloget ‘C:Users%User profile%LibraryApplication SupportWhatsAppCache’ finns filer ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ och filer med namn ‘f_*******’ (där * är en siffra från 0 till 9). Informationen om vad dessa filer innehåller finns beskrivna i avsnittet 'WhatsApp-artefakter i Windows'.

  I kataloget ‘C:Users%User profile%LibraryApplication SupportWhatsAppIndexedDB’ kan innehålla multimediafiler (filerna har inga filändelser).

  Fil ‘main-process.log’ innehåller information om WhatsApp-programmet.

Källor

1. Forensisk analys av WhatsApp Messenger på Android-smartphones, av Cosimo Anglano, 2014.
2. Whatsapp Forensics: Utforskning av filsystem och databaser i Android- och iOS-appar av Ahmad Pratama, 2014.

I de följande artiklarna i denna serie:

Avkodning av krypterade WhatsApp-databaserEn artikel där information ges om hur nyckeln för kryptering av WhatsApp genereras och praktiska exempel ges som visar hur man avkodar krypterade databaser i denna applikation.
Utdragning av WhatsApp-data från molnlagringEn artikel där vi beskriver vilken data WhatsApp lagrar i molnet och metoder för att extrahera denna data från molnlagring.
Utdragning av WhatsApp-data: praktiska exempelEn artikel där vi steg för steg beskriver vilka program som används och hur man utför utdragning av WhatsApp-data från olika enheter.

Källa: habr.com