Сучасна цифрова криміналістика значною мірою ґрунтується на аналізі мобільних пристроїв, оскільки смартфони, розумні годинники, резервні копії та хмарні облікові записи є одним із найважливіших джерел інформації в кримінальних, цивільних та адміністративних провадженнях. У слідчій практиці особливе значення мають інструменти класу forensic, які дають змогу не лише отримувати дані, а й упорядковувати, аналізувати, представляти та зберігати їх відповідно до процесуальних вимог.
Одним із таких рішень є MOBILedit Forensic — спеціалізоване програмне забезпечення для вилучення, аналізу та формування звітів щодо даних із мобільних пристроїв, резервних копій, фізичних образів, а також даних, імпортованих з інших криміналістичних засобів. Для практики підготовки експертних висновків важливо, що ця система поєднує функції отримання даних із розвиненим середовищем їх аналізу та звітування, що підвищує придатність матеріалу для подальшого процесу доказування.
У реаліях експертної роботи такі засоби залишаються особливо важливими для спеціалістів з аналізу цифрового матеріалу. Обсяг таких дій охоплює, зокрема, діяльність, яку здійснює експерт з інформатики у Кракові , який використовує криміналістичні рішення для аналізу пристроїв, цифрових даних і доказового матеріалу.
Коло пристроїв і платформ, які підтримує MOBILedit Forensic
Однією з найважливіших особливостей програмного забезпечення є широке коло підтримуваних платформ. MOBILedit Forensic дає змогу аналізувати дані з пристроїв із системами Android, iOS, WearOS, Windows Mobile, BlackBerry OS, Symbian, Samsung Bada, а також із багатьох кнопкових телефонів класу feature phone. Документація також наголошує на можливості роботи з такими пристроями, як Apple Watch та окремими пристроями KaiOS.
З погляду методики цифрової криміналістики це має принципове значення, оскільки різноманітність пристроїв, якими користуються учасники провадження, потребує засобу, що не обмежується однією платформою. Можливість роботи з багатьма системами підвищує шанси комплексно зберегти та порівняти дані з різних цифрових джерел.
Методи отримання даних — логічне й фізичне вилучення та аналіз імпортованих матеріалів
MOBILedit Forensic підтримує як логічне вилучення даних, так і фізичний аналіз. На практиці це означає можливість роботи з даними, отриманими безпосередньо з пристрою, а також із фізичними образами пам’яті, резервними копіями та файлами, імпортованими з інших систем forensic.
Програмне забезпечення дає змогу, зокрема, відкривати й аналізувати:
- копії резервна копія iTunes,
- файлів резервна копія Android ADB,
- звітів Oxygen Export XML,
- файлів Cellebrite UFDR і UFD,
- імпортованих матеріалів із Magnet Graykey,
- фізичних образів,
- копій із Garmin, Huawei, Xiaomi MIUI, Samsung SmartSwitch,
- структур резервних копій та експортів, створених MOBILedit.
Така модель роботи має особливе доказове значення, оскільки дає змогу аналізувати матеріал, уже збережений на інших етапах провадження або отриманий за допомогою інших інструментів. Це підвищує взаємну сумісність і дає змогу порівнювати результати між різними аналітичними середовищами.
Коло аналізованих категорій даних
Для експертної практики особливо важливо, які види даних можуть бути виявлені та проаналізовані. MOBILedit Forensic охоплює дуже широке коло категорій доказів, зокрема:
- контакти та облікові записи, пов’язані з пристроєм,
- повідомлення SMS, MMS, iMessage, повідомлення застосунків та електронна пошта,
- розмови та журнали дзвінків,
- дані застосунків і месенджерів,
- видалені дані,
- паролі та збережені дані входу,
- мережі Wi-Fi та історію дзвінків,
- зображення, фотографії, аудіо- та відеофайли,
- документи,
- місцеперебування GPS та дані BTS,
- історію перегляду, пошуку, файли cookie та закладки,
- сповіщення,
- Сполучення Bluetooth,
- системні журнали, dumpsys і файлові дані,
- хронологія активності пристрою.
На практиці це означає, що аналіз не обмежується однією категорією доказів, а дає змогу відтворити ширшу картину активності користувача. З криміналістичного погляду це розширює можливості реконструкції подій, встановлення зв’язків між людьми, визначення місць перебування та виявлення поведінки, важливої для справи.
Аналіз застосунків, відновлення видалених даних і значення месенджерів
У документації наголошується, що MOBILedit Forensic підтримує аналіз понад 1000 унікальних застосунків та багатьох тисяч профілів застосунків. Це особливо важливо, коли ключова інформація міститься в месенджерах, застосунках соціальних мереж або хмарних середовищах.
Інструмент також дає змогу відновлення видалених даних із баз даних, кешів, прихованих файлів та інших структур, які зберігають залишкову інформацію. У реаліях кримінальних і господарських проваджень це особливо важливо, оскільки видалений користувачем матеріал може й надалі містити істотні сліди активності, комунікації або наміру діяти.
З криміналістичного погляду аналіз даних застосунків дає змогу не лише прочитати зміст повідомлень, а й встановити метадані, хронологію спілкування, джерела файлів, історію взаємодій і зв’язки між користувачами та обліковими записами.
Геолокація, часова шкала та реконструкція активності користувача
Одним із найважливіших напрямів аналізу в цифровій криміналістиці є реконструкція часу та місця активності користувача. MOBILedit Forensic пропонує звіти щодо GPS Locations, даних карт, транспортних і фітнес-застосунків, а також геолокаційної інформації з фотографій, відео та системних журналів.
Особливе значення має також звіт Часова шкала, який об’єднує всі виявлені дані, що містять часову мітку, та впорядковує їх хронологічно. Таке зіставлення важливе для реконструкції подій, оскільки дає змогу пов’язати розмови, повідомлення, входи в систему, фотографії, підключення до мереж Wi-Fi, геолокаційні переміщення та інші елементи активності.
В експертній практиці така хронологія може мати ключове значення для оцінки достовірності версій подій, встановлення послідовності дій і визначення моментів, важливих із доказового погляду.
Функції безпеки, bypass і фізичний аналіз
В описі продукту особливе місце посідають механізми, пов’язані з Security Bypassing, фізичним аналізом та отриманням даних із захищених пристроїв. Зазначено, зокрема, методи, що стосуються мікросхем MTK, Exynos, Kirin, Unisoc, Qualcomm, а також такі рішення, як метод EDL, метод LAF, метод TWRP чи Samsung engineering root.
З методологічного погляду слід підкреслити, що такі функції можна застосовувати виключно в межах закону, за належних повноважень і з дотриманням правил допустимості доказів. Саме існування технічної функції не визначає допустимості її використання в конкретній справі.
У лабораторній практиці можливість отримання фізичного образу, ключів розшифрування та роботи з незашифрованими даними розширює обсяг потенційного аналізу, але водночас потребує високого рівня експертних знань і суворого дотримання процедур безпеки.
Виявлення шкідливого програмного забезпечення та допоміжні функції аналізу
Програмне забезпечення також підтримує виявлення шкідливого ПЗ на основі правил Yara, а це означає, що аналіз пристрою може охоплювати також дослідження слідів шкідливого програмного забезпечення, зокрема шпигунського. У слідчій практиці така функціональність може мати значення для оцінки того, чи був пристрій об’єктом втручання, стеження або шкідливої активності.
Допоміжні модулі, звісно, не замінюють експерта, але підвищують ефективність відбору матеріалу й дають змогу швидше визначати ділянки, що потребують поглибленого аналізу.
Звітування, цілісність даних і сумісність
MOBILedit Forensic дає змогу формувати звіти у форматах HTML, PDF, XML, XLS, CLBX, UFDR, а також експорт структур даних і резервних копій. З погляду процесуальної практики це істотно, оскільки звіт має бути зрозумілим, перевірюваним і придатним для використання в подальшому провадженні.
Документація також вказує на можливість стиснення та шифрування експортів за допомогою AES, а також захисту цілісності за допомогою MD5 або SHA256. На методичному рівні це означає підтримку безпечного зберігання й передавання матеріалу, хоча остаточна відповідальність за дотримання ланцюга збереження доказів і правильних процедур завжди лежить на користувачеві та експерті, який проводить аналіз.
Дуже важливою є також інтеграція з іншими криміналістичними засобами, зокрема зі звітами Cellebrite UFED, Magnet Graykey і Oxygen. Це дає змогу порівнювати результати, доповнювати аналіз і підвищувати сумісність між різними дослідницькими середовищами.
Значення в експертній практиці й аналізі цифрового матеріалу
Такі інструменти, як MOBILedit Forensic, мають істотне значення для якості аналізу цифрового матеріалу, оскільки дають змогу поєднувати вилучення даних з їх упорядкованим оцінюванням, підготовкою звітів і реконструкцією активності користувача. Особливого значення вони набувають у справах, у яких необхідно встановити:
- вмісту мобільного пристрою,
- історії комунікації,
- місцеперебування та хронології подій,
- зв’язків між користувачами й обліковими записами,
- існування видалених або прихованих даних,
- доказового значення виявленої інформації.
В експертній практиці значення має не лише сам засіб, а й те, чи має експерт належне технічне та методичне забезпечення для його використання. У цьому контексті варто підкреслити, що Магістр Vadym Rekel має у своєму бюро інструменти класу forensic, які використовуються для аналізу цифрових даних, мобільних пристроїв та електронного матеріалу, а також проводить висновки та експертизи із цифрової криміналістики для потреб суду, прокуратури, поліції та інших уповноважених суб’єктів.
Це означає, що аналіз цифрового матеріалу можна проводити не лише на рівні технічного зчитування даних, а й у формі експертного дослідження, яке охоплює оцінку доказового значення, опис методики дослідження, висновки та обґрунтування, що відповідають вимогам до експертних висновків у провадженні. Докладна інформація про цей напрям діяльності міститься на сторінці: комп’ютерно-технічний експерт у Кракові .