🥕 👈🏿 👉🏿 Analyse judiciaire des sauvegardes HiSuite ⛹🏽 💪🏻 🙆🏽

La récupération de données à partir d'appareils Android devient chaque jour plus complexe - parfois même plus difficile qu'à partir d'un iPhone. Igor Mikhailov, spécialiste du laboratoire de criminalistique informatique du Groupe IB, explique ce qu'il faut faire si vous ne pouvez pas extraire des données d'un smartphone Android à l'aide de méthodes standard.

Il y a quelques années, mes collègues et moi avons discuté des tendances dans le développement de mécanismes de sécurité dans les appareils Android et sommes arrivés à la conclusion que le moment viendra où leur enquête médico-légale deviendra plus difficile que pour les appareils iOS. Et aujourd'hui, nous pouvons dire avec confiance que ce moment est venu.

J'ai récemment fait des recherches sur le Huawei Honor 20 Pro. Que pensez-vous avoir réussi à extraire de sa copie de sauvegarde obtenue à l'aide de l'utilitaire ADB? Rien! L'appareil est plein de données: informations sur les appels, annuaire téléphonique, SMS, correspondance dans les messagers, e-mail, fichiers multimédia, etc. Et vous ne pouvez pas extraire tout cela. Des sentiments horribles!

Comment être dans une telle situation? Une bonne solution consiste à utiliser des utilitaires de sauvegarde propriétaires (Mi PC Suite - pour les smartphones Xiaomi, Samsung Smart Switch pour - Samsung, HiSuite pour - Huawei).

Dans cet article, nous considérerons la création et l'extraction de données à partir de smartphones Huawei à l'aide de HiSuite et leur analyse ultérieure à l'aide de Belkasoft Evidence Center.

Quels types de données tombent dans les sauvegardes HiSuite?

Les types de données suivants font partie des sauvegardes HiSuite:

informations de compte et de mot de passe (ou jetons)
Contacts
défis
SMS et MMS
Email
fichiers multimédias
Base de données
les documents
les archives
fichiers d'application (fichiers avec les extensions .odex , .so , .apk )
informations provenant d'applications (telles que Facebook, Google Drive, Google Photos, Google Mails, Google Maps, Instagram, WhatsApp, YouTube, etc.)

Nous analyserons plus en détail comment une telle sauvegarde est créée et comment l'analyser à l'aide de Belkasoft Evidence Center.

Sauvegarder votre smartphone Huawei à l'aide de HiSuite

Pour créer une sauvegarde d'un utilitaire propriétaire, vous devez le télécharger à partir du site Web de Huawei et l'installer.

Page de téléchargement de Huawei HiSuite:

Pour coupler l'appareil avec l'ordinateur, le mode HDB (Huawei Debug Bridge) est utilisé. Sur le site Web de Huawei ou dans le programme HiSuite lui-même, des instructions détaillées expliquent comment activer le mode HDB sur un appareil mobile. Après avoir activé le mode HDB, lancez l'application HiSuite sur l'appareil mobile et entrez le code affiché dans cette application dans la fenêtre du programme HiSuite en cours d'exécution sur l'ordinateur.

La fenêtre d'entrée de code dans la version de bureau de HiSuite:

Pendant le processus de sauvegarde, vous devrez entrer un mot de passe qui sera utilisé pour protéger les données récupérées de la mémoire de l'appareil. La sauvegarde créée sera située sur le chemin C: / Utilisateurs /% Profil utilisateur% / Documents / HiSuite / sauvegarde / .

Smartphone de sauvegarde Huawei Honor 20 Pro:

Analyse de sauvegarde HiSuite avec Belkasoft Evidence Center

Pour analyser la sauvegarde reçue à l'aide de Belkasoft Evidence Center, créez un nouveau cas. Sélectionnez ensuite Mobile Image comme source de données . Dans le menu qui s'ouvre, spécifiez le chemin d'accès au répertoire où se trouve la sauvegarde du smartphone et sélectionnez le fichier info.xml .

Spécification du chemin d'accès à la sauvegarde:

Dans la fenêtre suivante, le programme vous demandera de sélectionner les types d'artefacts que vous devez rechercher. Après avoir lancé l'analyse, accédez à l'onglet Gestionnaire des tâches et cliquez sur le bouton Configurer la tâche , car le programme s'attend à saisir un mot de passe pour déchiffrer la sauvegarde chiffrée.

Bouton Configurer la tâche :

Après avoir déchiffré la sauvegarde, Belkasoft Evidence Center vous demandera de spécifier à nouveau les types d'artefacts que vous souhaitez extraire. Une fois l'analyse terminée, les informations sur les artefacts extraits peuvent être consultées dans les onglets Explorateur de cas et Présentation .

Résultats de l'analyse de sauvegarde du Huawei Honor 20 Pro:

Analyse de la sauvegarde HiSuite à l'aide d'Oxygen Forensic Suite Expert

Un autre programme médico-légal avec lequel vous pouvez extraire des données d'une sauvegarde HiSuite est Mobile Forensic Expert .

Pour traiter les données stockées dans la sauvegarde HiSuite, cliquez sur l'option Importer les sauvegardes dans la fenêtre principale du programme.

Fragment de la fenêtre principale du programme "Oxygen Forensic Expert":

Ou, dans la section Importer , sélectionnez le type de données à importer. Huawei Backup :

Dans la fenêtre qui s'ouvre, spécifiez le chemin d'accès au fichier info.xml . Lorsque la procédure d'extraction démarre, une fenêtre apparaît dans laquelle vous serez invité à entrer un mot de passe connu pour déchiffrer la sauvegarde HiSuite ou à utiliser l'outil Passware pour essayer de trouver ce mot de passe s'il est inconnu:

Le résultat de l'analyse de la sauvegarde sera la fenêtre du programme Oxygen Forensic Suite Expert, qui montre les types d'artefacts extraits: appels, contacts, messages, fichiers, événements, données d'application. Faites attention à la quantité de données extraites de diverses applications par ce programme médico-légal. Il est juste énorme!

Liste des types de données extraits de la sauvegarde HiSuite dans le programme Oxygen Forensic Suite Expert:

Décryptage des sauvegardes HiSuite

Que faire si vous n'avez pas ces merveilleux programmes? Dans ce cas, vous serez aidé par un script Python développé et maintenu par Francesco Picasso, un employé de Reality Net System Solutions. Vous pouvez trouver ce script sur GitHub , et sa description plus détaillée se trouve dans l' article «Décrypteur de sauvegarde Huawei».

De plus, la sauvegarde HiSuite déchiffrée peut être importée et analysée à l'aide des utilitaires médico-légaux classiques (par exemple, Autopsy ) ou manuellement.

résultats

Ainsi, en utilisant l'utilitaire de sauvegarde HiSuite, vous pouvez extraire un ordre de grandeur de plus de données des smartphones Huawei que lors de l'extraction de données des mêmes appareils à l'aide de l'utilitaire ADB. Malgré le grand nombre d'utilitaires pour travailler avec les téléphones mobiles, Belkasoft Evidence Center et Oxygen Forensic Suite Expert sont quelques-uns des rares programmes médico-légaux qui prennent en charge l'extraction et l'analyse des sauvegardes HiSuite.

Mise à jour

Après des tests supplémentaires, les éléments suivants ont été établis:

1) Les données de l'application Google Chrome n'entrent pas dans la sauvegarde HiSuite.

2) Pour une raison quelconque, les développeurs de l'utilitaire de sauvegarde propriétaire ont interdit le transfert de données d'un certain nombre d'applications vers des sauvegardes créées par de nouvelles versions de HiSuite. Par conséquent, si vous souhaitez extraire le maximum de données de votre smartphone, utilisez la version la plus ancienne de HiSuite, dont la date de sortie devrait approximativement coïncider avec la date de sortie du smartphone Huawei.

3) La version de l'application mobile Huawei Suite installée sur le smartphone doit correspondre à la version de HiSuite installée sur l'ordinateur du chercheur.

Sources

Analyse judiciaire des sauvegardes HiSuite