ZEKASTRA

Android, iOS ve mesajlaşma uygulamaları

Mobil cihaz incelemesi

Bir telefon, bir güvenlik sınırının ardındaki SQLite veri tabanları, özellik listeleri ve günlüklerden oluşur. İncelemenin gösterebileceği şey önce elde edilen çıkarım türüne, ancak sonra analiste bağlıdır. Bu yüzden rapor, herhangi bir bulgudan önce çıkarım türünü ve bilinen boşluklarını belirtmelidir.

01Kapsam

  • Çıkarım türleri ve her birinin içerdiği: mantıksal, dosya sistemi, tam dosya sistemi ve fiziksel
  • İletişim kayıtları: SMS/MMS, arama kayıtları, kişiler, WhatsApp, Telegram, Signal
  • Kullanım ve yaşam örüntüsü kayıtları: usagestats, knowledgeC, Biome, DataUsage
  • Fotoğraflar, üst verileri ve onları dizinleyen uygulama veri tabanları
  • Alternatif kaynak olarak bilgisayar yedekleri (iTunes/Finder, Android yedekleri)
  • Cihaz tanımlayıcıları: IMEI, seri numarası, ICCID, IMSI, hesap tanımlayıcıları

02Yanıtladığı sorular

  • Bu mesaj bu cihazda gönderildi mi ya da alındı mı; UTC olarak ne zaman?
  • Mesajlar silindi mi; varlıkları hâlâ gösterilebilir mi?
  • Belirli bir zamanda hangi uygulamalar kullanımdaydı?
  • Bu fotoğraf bu cihazla mı çekildi; nerede ve ne zaman?
  • Cihazla hangi SIM ve hesaplar ilişkiliydi?
  • Cihazın kendi saati söz konusu dönem için güvenilir mi?

03Kullanılan delil

KaynakNe verirNot
Çıkarım arşivi (mümkünse tam dosya sistemi)Sistem ve uygulama veri tabanları, plist'ler, günlükler, medyaÇıkarım türünü, araç sürümünü ve arşivin hash değerini kaydedin; mantıksal çıkarımda silinmiş verinin çoğu ve birçok sistem kaydı bulunmaz.
Mesajlaşma veri tabanları (sms.db, mmssms.db, msgstore.db, ChatStorage.sqlite, cache4.db)Mesajlar, katılımcılar, durum, ekler, WAL ve boş sayfalardaki silme izleriHer uygulamanın kendi zaman kodlaması vardır (Unix saniye, milisaniye, Apple mutlak zaman).
Kullanım kayıtları (usagestats, knowledgeC.db, Biome, DataUsage.sqlite)Uygulama ön plan süreleri, ekran durumu, şarj, ağ kullanımıSaklama süresi sınırlıdır (çoğu zaman haftalar); daha eski dönemler yalnızca yoktur.
Photos.sqlite, gphotos veri tabanları ve medya dosyalarıÇekim zamanı, içe aktarma zamanı, konum, düzenlemeler, silinme durumu, kaynak uygulamaAlınan bir görsel alıcının değil gönderenin Exif verisini taşır; yalnızca dosyaya değil veri tabanına bakın.
Bilgisayar yedekleri ve bulut dışa aktarımları (Manifest.db, Info.plist, Google Takeout)Cihaza erişmeden uygulama verisinin belirli bir andaki kopyasıYedekler şifreli ya da eksik olabilir; yedek tarihini ve hangi alanları içerdiğini kaydedin.

04Nasıl ele alınır

  1. Her şeyden önce cihazı belgeleyin

    Cihazı ve ekranı fotoğraflayın; model, IMEI, seri numarası, SIM/ICCID, güç ve kilit durumu, ağ yalıtım önlemi (uçak modu ya da korumalı kap) ile cihazın gösterdiği saati referans saatle karşılaştırarak kaydedin.

  2. Durumun izin verdiği en eksiksiz çıkarımı alın ve adını koyun

    Çıkarım türü bulgunun bir parçasıdır. Mantıksal çıkarımın neleri içeremeyeceğini (silinmiş kayıtlar, birçok sistem veri tabanı) belirtin ki olumsuz bir sonuç aşırı yorumlanmasın.

  3. Arşivin hash değerini alın ve kopya üzerinde çalışın

    Çıkarım arşivini doğrulayın; ardından veri tabanlarını WAL ve SHM dosyaları bir arada tutularak salt okunur açın; bir aracın WAL'ı ana dosyaya checkpoint etmesine izin vermeyin.

  4. Uygulama tablolarını belgelenmiş şemalarına göre okuyun

    Her uygulama sürümü sütun adlarını ve zaman kodlamalarını değiştirir. Paket kaydından uygulama sürümünü belirleyin, sonra zaman değerlerini o sürümün kullandığı kodlamayla çözün.

  5. Sistem ve uygulama kayıtlarını çapraz doğrulayın

    Uygulama veri tabanındaki mesaj zamanı; kullanım kayıtları, bildirim günlükleri ve varsa operatör kayıtlarıyla tutarlı olmalıdır. Uyuşmazlık başlı başına bir bulgudur.

05Artefaktlar

Bu alanın arkasındaki kütüphane kayıtları:

06Tuzaklar

  • WAL çerçevesinden ya da boş sayfadan kurtarılan 'silinmiş' bir mesaj kaydın var olduğunu gösterir; tek başına kimin ne zaman sildiğini göstermez.
  • Mesaj durum alanları (gönderildi, iletildi, okundu) uygulama tarafından tutulur; gecikebilir ya da yeniden kurulumdan sonra kaybolabilir.
  • Cihaz saati elle ayarlanabilir; uygulama zamanlarına dayanmadan önce ağ kaynaklı kayıtlarla karşılaştırın.
  • Bulutla eşitlenen uygulamalar bu cihazda hiç okunmamış mesajları gösterebilir.
  • Kişi adları mesajın kendisinden değil, çıkarım anındaki cihaz rehberinden gelir.

07Rapor ne belirtir

  • Cihaz tanımlayıcıları, çıkarım türü, araç ve sürümü, arşiv hash değeri ve cihaz saatinin referansa göre gösterdiği zaman.
  • Alıntılanan her mesaj ya da olay için: veri tabanı, tablo, satır kimliği ve çözümüyle birlikte ham zaman değeri.
  • Kaydın canlı mı, WAL'da mı yoksa boş alandan kurtarılmış mı olduğu.
  • Sorulan sorular bakımından çıkarım türünün bilinen sınırları.

08Bir rapora sorulacaklar

  • Hangi çıkarım türü alındı ve neleri içermiyor?
  • Cihaz, el konulmasından çıkarıma kadar ağlardan yalıtıldı mı; bu nasıl belgelendi?
  • Hangi uygulama sürümü yüklüydü ve alıntılanan zaman damgaları hangi zaman kodlamasıyla çözüldü?
  • Kurtarılan mesajlar için: dosyanın tam olarak neresinde bulundu?
  • Bağımsız bir kayıt (kullanım istatistikleri, operatör verisi) mesaj zamanlarıyla uyuşuyor mu?

09Standartlar

  1. NIST SP 800-101 Rev. 1 — Guidelines on Mobile Device Forensics
  2. SWGDE — Best practices for mobile device evidence collection, preservation and examination
  3. SQLite — Write-Ahead Logging
  4. 3GPP TS 23.003 — Numbering, addressing and identification