Recupero dati WhatsApp da un iPhone con indagine forense

Vediamo oggi come procedere al recupero dei dati di WhatsApp da un iPhone con indagine forense, analizzando ed acquisendo la memoria con il nostro sistema ChallengerOS.

Acquisiamo la memoria con il nostro sistema ed analizziamo il database di WhatsApp. Vengono mostrati i protocolli di comunicazione e le query da utilizzare nel backup di iOS e nel database di WhatsApp per l'estrazione dei messaggi.

Sintomatologia

L'iPhone, da cui andiamo a recuperare il database di WhatsApp, ha subito la cancellazione accidentale della memoria. L'utente si è rivolto direttamente al Nostro servizio, senza tentare con software o altro che avrebbero potuto complicare la situazione creando sovrascrittura sulla memoria.

L'iPhone è perfettamente nel pieno delle Sue funzioni, non è stato resettato ma ha subìto la sola cancellazione con il tasto Elimina classico.

Attività tecnica

Per il recupero dei dati di WhatsApp andiamo a connettere il nostro iPhone al PC tramite la porta USB, e lanciamo il emulatore di comunicazione USBMUXD dal Nostro Terminal Challenger. (si tratta di un emulatore di comunicazione che possiamo trovare normalmente in iTunes).

Dopo aver autorizzato l'iPhone, creiamo una cartella sul desktop in cui destinare in seguito i dati che recupereremo dall'iPhone. Se necessario, prima di avviare l'acquisizione dell'iPhone, scolleghiamo e ricolleghiamo l'iPhone.

Avviamo il backup del Nostro iPhone con il comando di Challenger idevicebackup2; con questa procedura avremo una copia completa ed esatta del dispositivo Apple, ad eccezione dei messaggi email.

Il tempo che ChallengerOS impiegherà per leggere la memoria dell'iPhone è strettamente legato alla quantità di dati presenti nel device.

In questo caso specifico vediamo il nuovo sistema di backup di iOS a partire dalle versione 10. In questa fase assisteremo, dalla schermata del Terminal Challenger, alla visualizzazione di caratteri obsoleti che saranno poi tradotti dal filesystem secondo le indicazioni originali.

Terminata l'acquisizione della memoria potremo aprire il nostro file .db con un browser sql Lite (il file si chiamerà manifest.db). Il database in modalità sql Lite 3 è esattamente il filesystem dell'iPhone con le sue strutture originali.

Possiamo avviare ricerche specifiche sul filesystem estratto, utilizzando le query.
Nel caso specifico di oggi materiale di interesse sono le chat di WhatsApp che nel nostro filesystem sono denominate come chatstorage. Per completare le query e trovare quello che ci interessa faremo riferimento alle prime due lettere del nome (nel caso specifico 7c).

Nella tabella Zwamessage troveremo tutti i contenuti interessanti, con la contestualizzazione esatta del messaggio (data, destinatario, mittente, ecc)

Valutazioni e conclusioni finali

Il nostro post di oggi ci mostra come poter eseguire ricerche forensi, in particolar modo sul database di WhatsApp di un iPhone, utilizzando il sistema ChallengerOS.

Possiamo eseguire query specifiche, visualizzare nel dettaglio testi, coordinate specifiche di messaggi di chat, con risultati completi in pochi minuti.