Извлечение данных на логическом уровне
Разумеется, наиболее простой способ логического извлечения — пресловутое резервное копирование посредством Android Debug Bridge. Сделать это довольно легко — достаточно активировать в настройках устройства отладку по USB, подключить его к компьютеру и воспользоваться следующей командой:
adb backup -f «F:\forensic_backup.ab» -apk -shared -all
Первый ключ, -apk, говорит ADB бэкапить APK-приложения; второй, -shared, позволяет включить в бэкап данные приложений и содержимое карты памяти, если последняя имеется; третий, -all, добавит в резервную копию все приложения, в том числе системные, что может пригодиться при расследовании инцидентов, связанных с малварью. И все бы ничего, вот только современные устройства позволяют сохранять в такую резервную копию далеко не все. Например, в него не входит ни список контактов, ни SMS-сообщения, разве что их фрагменты из logs.db.
Чтобы побороть такую несправедливость, разработчики криминалистического программного обеспечения, например Oxygen Software и Magnet Forensics, включают в свои инструменты так называемые приложения-агенты, которые устанавливаются на целевое устройство и позволяют извлечь вожделенные базы данных. Например, mmssms.db, как несложно догадаться, содержит сведения о переданных и полученных SMS и MMS. Как ты уже понял, зачастую форензик-софтом для логического извлечения используется все тот же ADB, а полученный бэкап распаковывается и обогащается данными, извлеченными приложением-агентом. Кстати, если ты хочешь сам распаковать такой бэкап, то благодаря опенсорсному инструменту adbextractor ты можешь с легкостью это сделать:
java -jar abe.jar unpack backup.ab backup.tar
В результате получишь tar-архив с содержимым твоего ADB-бэкапа.
Мобильный криминалист
Извлечение данных на уровне файловой системы
Так как в последнее время, особенно с выходом Android Nougat, смартфоны с шифрованием перестали быть редкостью, этот способ извлечения данных наиболее приемлем. Как ты наверняка знаешь, просто так получить полный доступ к файловой системе пользовательского раздела нельзя, для этого нужны права суперпользователя. На этом подробно останавливаться я не буду. Уверен, в твоем арсенале найдется с десяток инструментов, позволяющих получить заветный root-доступ на Android-девайсе (а если нет, советую изучить материал по этой ссылке, ну и Гугл тебе в помощь).
Как понимаешь, это не самый гуманный способ, особенно если говорить о мобильной криминалистике, ведь он оставляет массу следов в памяти устройства, например добавит приложение SuperSU, а в случае KingoRoot и еще парочку бесполезных приложений. Тем не менее временами приходится использовать и такие сомнительные методы: здесь главное — все тщательно документировать. Разумеется, не все root-методы одинаково вредны, иногда можно получить временный root-доступ, который вполне себе криминалистически правильный.
Есть и более приемлемый способ — так называемый Nandroid-бэкап. Здесь на помощь криминалисту приходят всевозможные кастомные рекавери-прошивки, например TWRP. Кстати, ребята из Oxygen Software сделали свои собственные, очищенные от всевозможного мусора и максимально приближенные к криминалистическим стандартам, о них мы поговорим позже, когда займемся извлечением данных на физическом уровне.
Вернемся к TWRP и Nandroid. Такой бэкап, в отличие от пресловутого ADB, позволяет сделать практически точную копию состояния твоего Android-девайса в определенный момент времени, а это значит, что абсолютно все данные приложений достанутся криминалистам. И да, сложный графический пароль твои данные едва ли спасет. А вот заблокированный загрузчик очень даже может, так как в этом случае прошить кастомное рекавери едва ли получится. Такие смартфоны очень расстраивают криминалистов, уж поверь мне.
Итак, что же нам понадобится для создания Nandroid-бэкапа? Рассмотрим на примере самых распространенных Android-девайсов — тех, что произведены группой компаний Samsung. Во-первых, нужен подходящий образ рекавери, его можно найти на официальном сайте TWRP. Во-вторых, свеженькая (а иногда и не очень свеженькая) версия Odin — он-то и позволит залить прошивку в смартфон.
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Криминалистика
ООО «АйПи ТелКом» является официальным представителем , Москва, РФ.
https://www.oxygensoftware.ru/ru/company
«Оксиджен Софтвер» — ведущий российский разработчик программного обеспечения для проведения компьютерно-технической экспертизы мобильных устройств, дронов, облачных сервисов и ПК.
Компания разрабатывает программные инструменты для извлечения и анализа информации, охватывающие широкий спектр мобильных устройств (под управлением Android, Apple iOS, BlackBerry, Windows Phone и других операционных систем), облачных сервисов (Google, Apple, Yandex, Microsoft, Samsung, WhatsApp и др.) и ПК.
Решениями «Оксиджен Софтвер» в вопросах получения и исследования данных, в том числе и удаленной информации, пользуются правоохранительные органы и государственные учреждения Российской Федерации и стран СНГ, службы безопасности коммерческих организаций. Клиентами компании являются МВД, ФСБ, ФСО, Минюст, Управление «К», Следственный комитет, банки и крупные компании.
ООО «АйПи ТелКом» предлагает следующие продукты:
https://www.oxygensoftware.ru/download/articles/MK_Expert_Brochure.pdf
«Мобильный Криминалист Эксперт» (флагманский продукт)
Совершенный многофункциональный инструмент для высокоскоростной и эффективной работы с данными из мобильных устройств, дронов, облачных сервисов и ПК, сочетающий в себе все возможности ПО «МК Детектив» и новый уникальный функционал.
«Мобильный Криминалист» поддерживает более 31 500 устройств, 12 000 версий приложений, 478 уникальных приложений и 76 облачных сервисов.
Основной функционал программы:
Мобильные гаджеты и мультимедийные устройства:
- Создает физические образы устройств Android, Kai и др.
- Создает логические образы устройств iOS, Android, Blackberry, Windows Phone, Symbian и др.
- Извлекает и расшифровывает все данные, в том числе удаленные.
- Импортирует физические образы и резервные копии множества устройств.
- Получает данные из дронов и выстраивает маршруты полетов.
Облачные сервисы:
- Позволяет авторизоваться в учетной записи и пройти 2FA.
- Извлекает информацию из нескольких десятков облачных хранилищ: Apple, Google, Yandex, iCloud, WhatsApp, Viber, Telegram и др.
- Расшифровывает резервные копии.
Персональные компьютеры:
- Извлекает переписку, медиафайлы и контакты из мессенджеров Viber, Unigram, Skype, Wickr Me.
- Получает письма и контакты из почтовых агентов Mozilla Thunderbird, Microsoft Outlook, Microsoft Mail.
- Извлекает данные из веб-браузеров Google Chrome, Mozilla FireFox, Opera, Microsoft Edge, Internet Explorer.
- Получает информацию о системе.
Аналитические инструменты
- Анализирует данные одновременно из нескольких устройств в одном деле.
- Собирает все звонки, а также сообщения из устройства, в том числе из мессенджеров в разделы «Звонки» и «Сообщения».
- Объединяет контакты по индивидуальным настройкам.
- Исследует коммуникации между несколькими устройствами.
- Производит высокоскоростной поиск как внутри дела, так и внутри отдельно взятого документа.
https://www.oxygensoftware.ru/download/articles/MK_Detective_Brochure.pdf
«Мобильный Криминалист Детектив»
Универсальный инструмент для извлечения и анализа информации, охватывающий широкий спектр мобильных устройств, дронов, облачных сервисов и ПК.
Особенности программы:
- установление связей между владельцами устройств и их контактами;
- объединение контактов из разных источников;
- отчеты в различных форматах;
- построение всех событий в хронологическом порядке;
- возможность объединения нескольких устройств в одном деле;
- группировка всех важных улик в одном месте;
- импорт и просмотр физических образов и резервных копий различных устройств;
- просмотрщики баз данных SQLITE, файлов PLIST, HTML, HEX и др.;
- поиск и извлечение учетных данных и токенов из мобильных устройств и ПК;
- поиск данных по ключевым словам, регулярным выражениям, наборам хешей, номерам телефонов, паспортов, СНИЛС и другим важным критериям;
- построение маршрутов передвижения одного или нескольких объектов;
- определение самых посещаемых и общих мест пребывания.
https://www.oxygensoftware.ru/download/articles/MK_Business_Brochure.pdf
«Мобильный Криминалист Бизнес»
Инструмент для расследования и предотвращения корпоративных преступлений на основе извлечения и анализа информации из мобильных устройств и облачных сервисов.
«МК Бизнес»:
- Позволяет провести аудит мобильного устройства;
- Дает доступ к информации из мобильных устройств и облачных сервисов;
- Предотвращает разглашение коммерческой тайны и кражу интеллектуальной собственности;
- Помогает выявлять и расследовать инциденты.
Основной функционал программы:
— Мобильные устройства:
- Создает физические образы устройств Android, Windows Phone и др.
- Создает логические образы устройств iOS, Android, Blackberry, Symbian и др.
- Восстанавливает удаленные данные из мессенджеров и соц. сетей.
- Извлекает доступные данные: контакты, чаты, данные приложений, медиафайлы и многое другое.
- Проводит анализ полученной информации.
— Облачные сервисы
- Позволяет авторизоваться в учетной записи и пройти 2FA.
- Извлекает данные из облачных сервисов: Apple, Google, Yandex, Microsoft, Dropbox.
- Извлекает чаты из облачных сервисов мессенджеров WhatsApp, Viber, Telegram и др.
- Анализирует полученные данные.
- Расшифровывает резервные копии.
«Мобильный Криминалист Скаут»
Модуль ПО «Мобильный Криминалист» версий «Эксперт» и «Детектив». Находит и извлекает криминалистически важную информацию из исследуемых ноутбуков и персональных компьютеров:
— Учетные данные и токены
- из программ iCloud for Windows, WhatsApp Desktop, TamTam Desktop, Line, Viber for Desktop, Skype for Desktop, Unigram X, Wickr Me Desktop, Telegram;
- из почтовых сервисов Mozilla Thunderbird, Microsoft Outlook, Microsoft Mail;
- из портативных версий программ и программ, установленных по нестандартному пути.
— Данные веб-браузеров: учетные записи, закладки, данные форм автозаполнения, история посещений и cookies из интернет-браузеров Google Chrome, Mozilla Firefox, Opera, Microsoft Edge, Internet Explorer.
- Wi-Fi точки доступа и пароли к ним.
- Резервные копии iTunes.
- Информация о системе ПК.
«Мобильный Криминалист Скаут Плюс»
Расширение ПО «Мобильный Криминалист Эксперт», позволяющее анализировать данные приложений для ОС Windows, извлеченные с помощью модуля «Мобильный Криминалист Скаут»:
- Сообщения, контакты и медиа-файлы из Viber, Unigram, Skype, Wickr Me.
- Переписка и контакты из Mozilla Thunderbird, Microsoft Outlook, Microsoft Mail.
https://www.oxygensoftware.ru/download/articles/MK_Desktop_Brochure.pdf
«Мобильный Криминалист Десктоп»
«МК Десктоп» — это высокоскоростной, портативный, многофункциональный инструмент, позволяющий извлекать, расшифровывать и анализировать ключевые данные из персональных компьютеров, ноутбуков и серверов на операционных системах Windows, macOS, GNU/Linux.
3 основных преимущества продукта:
- Высокая скорость извлечения и анализа информации
- Портативный инструмент
- Простой и удобный интерфейс
Почему выбирают «МК Десктоп»:
- Продукт для извлечения и исследования критически важных данных из персональных компьютеров
- Быстрая обработка всей извлеченной информации
- Большой набор аналитических инструментов для проведения расследования
- Регулярное обновление функционала в соответствии с самыми современными IT-технологиями
- Постоянный доступ к видео-урокам, инструкциям и вебинарам для получения навыков работы с продуктом
Для правоохранительных органов:
«МК Десктоп» обладает широким спектром решаемых задач и является незаменимым помощником в работе правоохранительных органов, помогая извлечь и проанализировать данные за короткий промежуток времени, провести первичную экспертизу данных и сформировать портрет владельца ноутбука или персонального компьютера.
Для корпоративных клиентов:
Для специалистов служб безопасности коммерческих компаний открываются возможности для расследования и предотвращения различных видов корпоративных инцидентов, таких как кража интеллектуальной собственности, раскрытие инсайдерства, утечка конфиденциальных данных и многое другое.
«МК Десктоп» является ключевым инструментом для проведения аудита системы информационной безопасности.
