Współczesna informatyka śledcza opiera się w dużej mierze na analizie urządzeń mobilnych, ponieważ smartfony, zegarki inteligentne, kopie zapasowe i konta chmurowe stanowią jedno z najważniejszych źródeł informacji w postępowaniach karnych, cywilnych i administracyjnych. W praktyce śledczej szczególne znaczenie mają narzędzia klasy forensic, które umożliwiają nie tylko pozyskanie danych, lecz również ich uporządkowanie, analizę, prezentację i zabezpieczenie w sposób odpowiadający wymogom procesowym.
Jednym z takich rozwiązań jest MOBILedit Forensic – specjalistyczne oprogramowanie przeznaczone do ekstrakcji, analizy i raportowania danych pochodzących z urządzeń mobilnych, kopii zapasowych, obrazów fizycznych oraz danych importowanych z innych narzędzi forensic. Z punktu widzenia praktyki opiniowania istotne jest to, że system ten łączy funkcje pozyskiwania danych z rozbudowanym środowiskiem ich analizy i raportowania, co zwiększa użyteczność materiału w dalszym postępowaniu dowodowym.
W realiach pracy eksperckiej narzędzia tego rodzaju pozostają szczególnie istotne dla specjalistów zajmujących się analizą materiału cyfrowego. Zakres takich czynności obejmuje między innymi działalność, jaką prowadzi biegły informatyk w Krakowie , wykorzystujący rozwiązania klasy forensic do analizy urządzeń, danych cyfrowych oraz materiału dowodowego.
Zakres urządzeń i platform obsługiwanych przez MOBILedit Forensic
Jedną z najważniejszych cech oprogramowania jest szeroki zakres obsługiwanych platform. MOBILedit Forensic umożliwia analizę danych pochodzących z urządzeń z systemami Android, iOS, WearOS, Windows Mobile, BlackBerry OS, Symbian, Samsung Bada, a także z wielu telefonów klasy feature phone. W dokumentacji podkreśla się również możliwość pracy z urządzeniami takimi jak Apple Watch oraz wybranymi urządzeniami KaiOS.
Z punktu widzenia metodyki informatyki śledczej ma to znaczenie zasadnicze, ponieważ różnorodność urządzeń używanych przez uczestników postępowania wymaga narzędzia, które nie ogranicza się do jednej platformy. Możliwość pracy z wieloma systemami zwiększa szansę na kompleksowe zabezpieczenie i porównanie danych pochodzących z różnych źródeł cyfrowych.
Metody pozyskiwania danych – ekstrakcja logiczna, fizyczna i analiza importów
MOBILedit Forensic wspiera zarówno ekstrakcję logiczną, jak i analizę fizyczną. W praktyce oznacza to możliwość pracy na danych pozyskanych bezpośrednio z urządzenia, a także na obrazach fizycznych pamięci, kopiach zapasowych i plikach importowanych z innych systemów forensic.
Oprogramowanie umożliwia między innymi otwieranie i analizę:
- kopii iTunes backup,
- plików Android ADB backup,
- raportów Oxygen Export XML,
- plików Cellebrite UFDR i UFD,
- importów z Magnet Graykey,
- obrazów fizycznych,
- kopii z Garmin, Huawei, Xiaomi MIUI, Samsung SmartSwitch,
- struktur backupu i eksportu utworzonych przez MOBILedit.
Taki model pracy ma szczególne znaczenie dowodowe, ponieważ pozwala analizować materiał już zabezpieczony w innych etapach postępowania lub pozyskany przy użyciu innych narzędzi. Zwiększa to interoperacyjność i umożliwia porównanie wyników pomiędzy różnymi środowiskami analitycznymi.
Zakres analizowanych kategorii danych
Z punktu widzenia praktyki opiniowania szczególne znaczenie ma to, jakie rodzaje danych mogą zostać ujawnione i poddane analizie. MOBILedit Forensic obejmuje bardzo szeroki zakres kategorii dowodowych, w tym:
- kontakty i konta przypisane do urządzenia,
- wiadomości SMS, MMS, iMessage, wiadomości aplikacyjne i e-mail,
- rozmowy i call logs,
- dane aplikacji i komunikatorów,
- dane usunięte,
- hasła i zapisane dane logowania,
- sieci Wi-Fi i historię połączeń,
- obrazy, zdjęcia, pliki audio i wideo,
- dokumenty,
- lokalizacje GPS i dane BTS,
- historię przeglądania, wyszukiwania, cookies i zakładki,
- powiadomienia,
- Bluetooth pairings,
- system logs, dumpsys oraz dane plikowe,
- timeline aktywności urządzenia.
W praktyce oznacza to, że analiza nie ogranicza się do pojedynczej kategorii dowodu, lecz pozwala na odtworzenie szerszego obrazu aktywności użytkownika. Z perspektywy kryminalistycznej zwiększa to możliwość rekonstrukcji zdarzeń, ustalenia relacji pomiędzy osobami, określenia miejsc pobytu oraz identyfikacji zachowań istotnych dla sprawy.
Analiza aplikacji, odzyskiwanie danych usuniętych i znaczenie komunikatorów
Dokumentacja podkreśla, że MOBILedit Forensic wspiera analizę ponad 1000 unikalnych aplikacji oraz wielu tysięcy profili aplikacyjnych. Ma to szczególne znaczenie w sytuacji, gdy kluczowe informacje znajdują się w komunikatorach, aplikacjach społecznościowych lub środowiskach chmurowych.
Narzędzie umożliwia także odtwarzanie danych usuniętych z baz danych, pamięci podręcznych, ukrytych plików i innych struktur przechowujących informacje szczątkowe. W realiach postępowań karnych i gospodarczych jest to szczególnie ważne, ponieważ materiał usunięty przez użytkownika może nadal zawierać istotne ślady aktywności, komunikacji lub zamiaru działania.
Z kryminalistycznego punktu widzenia analiza danych aplikacyjnych pozwala nie tylko odczytać treść wiadomości, lecz także ustalić metadane, oś czasu komunikacji, źródła plików, historię interakcji oraz zależności pomiędzy użytkownikami i kontami.
Geolokalizacja, timeline i rekonstrukcja aktywności użytkownika
Jednym z najistotniejszych obszarów analizy w informatyce śledczej jest rekonstrukcja czasu i miejsca aktywności użytkownika. MOBILedit Forensic oferuje raporty dotyczące GPS Locations, danych z map, aplikacji transportowych i fitness, a także informacji lokalizacyjnych pochodzących ze zdjęć, filmów i logów systemowych.
Szczególne znaczenie ma również raport Timeline, który agreguje wszystkie ujawnione dane zawierające znacznik czasu i porządkuje je chronologicznie. Tego rodzaju zestawienie jest istotne dla rekonstrukcji zdarzeń, ponieważ pozwala powiązać ze sobą rozmowy, wiadomości, logowania, zdjęcia, połączenia z sieciami Wi-Fi, ruch geolokalizacyjny i inne elementy aktywności.
W praktyce opiniodawczej taka oś czasu może mieć kluczowe znaczenie dla oceny wiarygodności wersji zdarzeń, ustalenia sekwencji czynności oraz identyfikacji momentów istotnych dowodowo.
Funkcje bezpieczeństwa, bypass i analiza fizyczna
W opisie produktu szczególne miejsce zajmują mechanizmy związane z Security Bypassing, analizą fizyczną oraz pozyskiwaniem danych z urządzeń chronionych zabezpieczeniami. Wskazano między innymi metody odnoszące się do układów MTK, Exynos, Kirin, Unisoc, Qualcomm, a także rozwiązania takie jak EDL method, LAF method, TWRP method czy Samsung engineering root.
Z metodologicznego punktu widzenia należy podkreślić, że funkcje tego rodzaju mogą być stosowane wyłącznie w granicach prawa, przy właściwym umocowaniu i z zachowaniem zasad dopuszczalności dowodów. Sam fakt istnienia funkcjonalności technicznej nie przesądza o dopuszczalności jej użycia w konkretnej sprawie.
W praktyce laboratoryjnej możliwość pozyskania obrazu fizycznego, kluczy deszyfrujących oraz pracy na danych niezaszyfrowanych zwiększa zakres potencjalnej analizy, ale jednocześnie wymaga wysokiego poziomu wiedzy eksperckiej i rygorystycznego przestrzegania procedur bezpieczeństwa.
AI Forensics, malware detection i funkcje wspomagające analizę
Istotnym rozszerzeniem funkcjonalności systemu są moduły wykorzystujące metody uczenia maszynowego i analizy wzorców, w tym Photo Recognizer oraz Face Matcher. Ich zadaniem jest odpowiednio identyfikacja określonych kategorii treści wizualnych oraz wyszukiwanie twarzy w dużych zbiorach zdjęć i wideo.
Oprogramowanie wspiera także malware detection oparte na regułach Yara, co oznacza, że analiza urządzenia może obejmować również badanie śladów oprogramowania szkodliwego, w tym spyware. W praktyce śledczej tego rodzaju funkcjonalność może mieć znaczenie dla oceny, czy urządzenie było obiektem ingerencji, nadzoru lub złośliwej aktywności.
Moduły wspomagające nie zastępują oczywiście eksperta, lecz zwiększają efektywność selekcji materiału i pozwalają szybciej identyfikować obszary wymagające pogłębionej analizy.
Raportowanie, integralność danych i interoperacyjność
MOBILedit Forensic umożliwia generowanie raportów w formatach HTML, PDF, XML, XLS, CLBX, UFDR, a także eksport struktur danych i backupów. Z punktu widzenia praktyki procesowej jest to istotne, ponieważ raport powinien być czytelny, weryfikowalny i możliwy do wykorzystania w dalszym postępowaniu.
Dokumentacja wskazuje również na możliwość kompresji i szyfrowania eksportów przy użyciu AES, a także ochrony integralności z użyciem MD5 lub SHA256. W warstwie metodycznej oznacza to wsparcie dla bezpiecznego przechowywania i przekazywania materiału, choć ostateczna odpowiedzialność za zachowanie łańcucha dowodowego i prawidłowe procedury spoczywa zawsze na użytkowniku i ekspercie prowadzącym analizę.
Bardzo istotna jest także integracja z innymi narzędziami forensic, w tym z raportami Cellebrite UFED, Magnet Graykey i Oxygen. Pozwala to na porównywanie wyników, uzupełnianie analiz i zwiększenie interoperacyjności pomiędzy różnymi środowiskami badawczymi.
Znaczenie w praktyce opiniowania i analizie materiału cyfrowego
Narzędzia takie jak MOBILedit Forensic mają istotne znaczenie dla jakości analizy materiału cyfrowego, ponieważ umożliwiają połączenie ekstrakcji danych z ich uporządkowaną oceną, raportowaniem i rekonstrukcją aktywności użytkownika. Szczególne znaczenie zyskują one w sprawach, w których konieczne jest ustalenie:
- zawartości urządzenia mobilnego,
- historii komunikacji,
- lokalizacji i osi czasu zdarzeń,
- relacji pomiędzy użytkownikami i kontami,
- istnienia danych usuniętych lub ukrytych,
- znaczenia dowodowego ujawnionych informacji.
W praktyce eksperckiej znaczenie ma nie tylko samo narzędzie, ale również to, czy ekspert dysponuje odpowiednim zapleczem technicznym i metodycznym do jego wykorzystania. W tym kontekście warto podkreślić, że mgr Vadym Rekel posiada w swojej kancelarii narzędzia klasy forensic, wykorzystywane do analizy danych cyfrowych, urządzeń mobilnych oraz materiału elektronicznego, a także wykonuje opinie i ekspertyzy z zakresu informatyki śledczej na potrzeby sądu, prokuratury, policji oraz innych uprawnionych podmiotów.
Oznacza to, że analiza materiału cyfrowego może być prowadzona nie tylko na poziomie technicznego odczytu danych, ale również w formie opracowania eksperckiego, obejmującego ocenę znaczenia dowodowego, opis metodyki badania, wnioski i uzasadnienie odpowiadające wymogom opiniowania procesowego. Szczegółowe informacje dotyczące tego zakresu działalności znajdują się na stronie: biegły informatyk Kraków .