Извлечение данных из дампов мобильных устройств, работающих под управлением операционной системы Android. Неудивительно, что подобные устройства часто поступают на исследование к судебным экспертам. Однако, при исследовании мобильных устройств, работающих под управлением операционной системы Android далее, мобильные устройства, судебные эксперты сталкиваются со следующими трудностями 1. Не существует судебной программы, которая бы поддерживала извлечение данных из всех мобильных устройств, существующих в мире. Существуют сотни тысяч программ, созданных под операционную систему Android, данные, из которых, потенциально могут представлять интерес для следователей. На сегодняшний момент, не существует судебной программы, которая бы поддерживала анализ журналов работы и данных из всех этих программ. Времена, когда следователей интересовали данные только из телефонной книги, вызовы или SMS сообщения, извлеченные из мобильного устройства судебным экспертом уже давно прошли. Сейчас, их дополнительно интересуют  история посещенных сетевых ресурсов данные веб браузеров, история программ обмена короткими сообщениями, удаленные данные графические файлы, видеофайлы, SQLite базы данных и т. Зачастую преступники, пытаясь скрыть информацию о совершенном ими преступлении, удаляют данные из памяти своих мобильных устройств. Высокая стоимость специализированных программных комплексов XRY Micro. Systemation Давайте попробуем разобраться. Он может сделать физический дамп памяти мобильного устройства следующими методами 1. Извлечение данных из микросхем памяти мобильного устройства методом Chip off. Это самый трудный метод извлечения данных. Но, иногда, просто нет другого способа скопировать данные из устройства. XML прикладная программа интерпретирует данные без вмешательства оператора. Чтобы импортировать данные XML в формате UFED или XRY,. Или его можно заказать только изза границы Основная программа XRY без встравленного ключа также работает как XRY. Существуют сотни тысяч программ, созданных под операционную систему. Высокая стоимость специализированных программных комплексов XRY. Программа Xry' title='Программа Xry' />Таким образом, их софт под названием XRY стал первым из ПО подобного. Программа способна получить любую информацию со. Подробнее http Файл для локализации программы. XRY на русский язык. Подготовлен Д. С. Убедитесь, что программа Apple iTunes запустилась после установки. Извлечение данных из памяти мобильного устройства с использованием отладочного интерфейса JTAG. Достаточно популярный метод извлечения данных с помощью программаторов RIFF box, Octopus и т. Позволяет извлекать данные из устройств, имеющих незначительные аппаратные или программные повреждения. Важно понимать, что некоторые программаторы создают дамп памяти мобильного устройства в собственном формате отличном от RAW. Подобные дампы необходимо конвертировать в формат, который поддерживают судебные программы, имеющиеся в распоряжении судебного эксперта. Извлечение данных с помощью специализированных программ например, Oxygen. Forensic. Suit. Подобные инструменты используют наиболее безопасный метод root доступа. Это означает, что судебный эксперт не всегда может получить root доступ к устройству, однако, оно будет исправно после проведения исследования. Можно попытаться получить root доступ иными, часто, более эффективными, способами. Однако, при этом существует вероятность повредить исследуемое мобильное устройство. Создание копии памяти мобильного устройства в ручном режиме. FileStorage/ARTICLE/Otkrytye_sistemy._SUBD/2013-02/01_13/13136526/Otkrytye_sistemy._SUBD_b_(4350).png' alt='Программа Xry' title='Программа Xry' />Интерактивный комплекс на базе XRY LOGICAL. Программа XRY находится на вооружении мировых служб безопасности и полиции, так что мотивы взлома этого iPhone можно смело. Комбинированные методы. Например, в случае, если данные пользователя сохраняются в расширенной памяти центрального процессора мобильного устройства такая особенность характерна для так называемых китайских телефонов Chinese mobile devices, Chinesephones, в которых используются ARM процессоры фирм Mediatek, Spreadtrum и Infineon,  возможно применение комбинации методов извлечение данных из микросхемы мобильного устройства Chip off когда из устройства выпаивается центральный процессор, в котором, в том числе, содержатся данные пользователя и, в дальнейшем, извлечение пользовательских данных по интерфейсу JTAG. Часто, при создании копии памяти мобильного устройства, вы можете получить файлы, имеющие специфичные названия, по которым уже можно сделать предположение, какие данные в них содержатся. Например, при получении копии памяти мобильного устройства Oxygen. Forensic. Suit. Используя UFED Cellebrite. Forensics. Например, для устройства Huawei S7 Ideos это будут файлы blk. Логическое извлечение данных. Получение доступа к данным, содержащимся в дампе памяти мобильного устройства. Каким бы способом судебный эксперт не получил дамп памяти мобильного устройства, в конечном итоге, он получит файл или несколько файлов которые надо как то исследовать и извлечь из него нужные данные. Дампы памяти мобильных устройств, как правило, содержат большое количество логических разделов см. Илл. 1. Данные пользователя устройства хранятся на логическом разделе, имеющем название USERDATA. Из него можно извлечь такие данные как базы данных как правило, подобные базы данных имеют формат SQLite,  видеофайлы, графические файлы, аудиофайлы и т. Илл. Вид логических разделов Samsung. GT I9. 30. 0 в окне Evidence. Сочинение Господин Из Сан Франциско. Tree программы FTKImager. Если судебный эксперт исследует файл, представляющий собой копию логического раздела мобильного устройства, имеющий файловую систему YAFFS2, он может получить доступ к логическим данным, содержащимся в нем, с использованием Encase. Forensicверсии 7. Декодирование SQLiteбаз данных. Как правило, SQLite базы данных, извлеченные из дампа памяти мобильного мобильного устройства, неизменно представляют большой интерес для судебного эксперта. Прежде всего, это связано с тем, что большое количество криминалистически значимых данных, мобильные устройства хранят именно в этом формате. В SQLite базах данных хранятся следующие данные мобильного устройства телефонная книга, вызовы, SMS сообщения, MMS сообщения, словари, данные веб браузеров мобильного устройства, системные журналы мобильного устройства и многое, многое другое. Список наиболее интересных, с криминалистической точки зрения, баз данных SQLiteприведен в Таблице 1. Базы данных SQLite  мобильных устройств. Это связано с тем, что многие программы просмотрщики, не умеют декодировать ряд форматов временных отметок, а также восстанавливать удаленные данные, содержащихся в подобных базах данных. Отдельные исследователи. Однако, при использовании подобной связки программ, остается нерешенной проблема восстановления и анализа удаленных данных. Одним из инструментов, решающих данную проблему, является  Oxygen Forensic. Данная утилита специализирована на декодировании баз SQLite. Кроме того, с е помощью можно производить восстановление данных. Восстановление удаленных данных и файлов. Восстановление данных и файлов из мобильных устройств сложный процесс. Связано это с аппаратной организацией хранения данных в микросхемах памяти мобильных устройств и с особенностями  файловых систем мобильных устройств. Это необычно, но, большинство судебных программ не поддерживает файловую систему YAFFS2. Поэтому, при исследовании физических дампов мобильных устройств, судебный эксперт может оказаться в ситуации, когда его любимая программа восстановления данных окажется неспособна восстановить хоть что нибудь из дампа памяти подобного мобильного устройства. Как показывает наша практика, из подобных дампов достаточно сложно восстановить удаленные видеофайлы и иные файлы больших размеров. В нашей лаборатории, в области восстановления удаленных данных из дампов памяти мобильных устройств, более чем успешно зарекомендовали себя программы Belkasoft. Evidence. Center. Однако, в отличии от UFSExplorer. Восстановление удаленной истории обмена сообщениями с помощью программ обмена короткими сообщениями, может быть очень важно при расследовании некоторых дел. Окно программы Belkasoft. Evidence. Center, в котором производится выбор опций восстановления, в ходе исследования дампов памяти мобильных устройств. Определенную сложность может вызывать восстановление удаленных данных, из дампов памяти мобильных устройств, содержащих файловые системы YAFFS2. Для корректного восстановления данных и файлов, из дампов памяти мобильных устройств, содержащих файловые системы  YAFFS2, мы рекомендуем использовать следующие программы Encase. Forensicверсии 7. Окно программы Belkasoft. Evidence. Center, в котором отображена информация о найденных данных. Анализ баз миниатюр. Как и в операционных системах семейства Microsoft.