Elcomsoft Phone Viewer

Elcomsoft Phone Viewer – идеальный инструмент для просмотра данных, извлечённых из «облачных» хранилищ с помощью Elcomsoft Phone Breaker. Поддерживаются образы данных, извлечённые из Apple iCloud и iCloud Drive (для iOS 9 и более новых), а также учётных записей Microsoft.

Elcomsoft Phone Viewer оптимизирован для работы в связке с другими продуктами компании. Так, с помощью Elcomsoft Phone Breaker можно быстро извлечь основную информацию из «облачного» хранилища Apple iCloud и учётных записей Microsoft. Просмотреть извлечённую информацию можно с помощью Elcomsoft Phone Viewer. Совместное использование обоих продуктов способно ускорить расследование и упростить извлечение и анализ данных пользователя, включающих историю звонков и сообщений, телефонные книги и координаты на карте.

Синхронизированные данные попадают в iCloud с минимальной задержкой и независимо от основных резервных копий. Эти данные доступны даже тогда, когда создание резервных копий в iCloud отключено. С помощью Elcomsoft Phone Viewer можно просмотреть синхронизированные данные, извлечённые с помощью Elcomsoft Phone Breaker. Поддерживается просмотр таких данных, как синхронизированные журналы звонков, контакты, календари, заметки, закладки и история действий пользователя в браузере Safari, включая удалённые записи.

История браузера Safari из синхронизированных данных извлекается и отображается за длительный срок. Извлекается больше информации, чем доступно в самом устройстве и его локальных копиях. Доступен фильтр для просмотра удалённых записей. Для просмотра доступны следующие типы данных:

• Сообщения SMS и iMessage, синхронизированные с iCloud, включая вложенные фотографии, медиафайлы и документы
• Данные о состоянии организма и активности пользователя из приложения Apple Health
• Записи, сделанные в приложении Диктофон
• Браузер Safari (история, закладки, открытые вкладки)
• Календари, заметки, контакты
• Подробная история звонков
• Карты Apple Maps (маршруты, поисковые запросы, отмеченные объекты)
• Wi-Fi (информация о точках доступа, MAC-адреса, дата и устройство, с которого были добавлены)
• Кошелёк Wallet (кроме платёжных карт)
• Информация о пользователе (адрес, телефоны, имя) и его устройствах (включая серийные номера и версию ОС)

С момента выхода iPhone 5s, первого устройства Apple под управлением 64-разрядного процессора, процесс и результат физического извлечения данных кардинально изменились. Если для 32-битных моделей (iPhone 5c и более старых) существовала возможность снятия и расшифровки полного образа раздела данных, то для 64-разрядных моделей, оборудованных подсистемой безопасности Secure Enclave, доступно копирование файловой системы.

Снятие образа файловой системы с точным воссозданием путей к файлам и структуры директорий осуществляется в инструментарии для мобильных криминалистов Elcomsoft iOS Forensic Toolkit. Команда отрабатывается самим устройством средствами операционной системы iOS. Результат работы – образ файловой системы, запакованный в архив в формате TAR. С помощью Elcomsoft Phone Viewer можно просматривать и анализировать содержимое образа файловой системы iOS, запакованного в виде архива TAR.

Elcomsoft Phone Viewer позволяет экспортировать данные, извлечённые из устройств под управлением iOS, в формат Microsoft Excel. Экспортируются данные из локальных и облачных резервных копий iOS, синхронизированные данные из облака iCloud, а также данные из образов файловой системы, полученных в результате физического анализа устройств iPhone и iPad. История местоположения пользователя сохраняется в формате KML. Благодаря поддержке экспорта данных эксперты смогут продолжить работу с собранной информацией при помощи сторонних инструментов и популярных пакетов криминалистического анализа.

Elcomsoft Phone Viewer – это быстрый, компактный и лёгкий в освоении продукт. Высокая скорость работы, малый размер установки, простой и понятный интерфейс выгодно отличают Elcomsoft Phone Viewer от продукции «монстров» индустрии, предлагающих пакеты «всё в одном», для эффективного использования которых требуется мощная техника и прохождение специальных курсов. От большинства аналитических пакетов для криминалистов Elcomsoft Phone Viewer выгодно отличается ценой, размером, простотой использования и отсутствием необходимости обучения.

Уведомления – важная часть iOS. Уведомления приходят от почтовых клиентов, от приложений мгновенного обмена сообщениями, от онлайновых банков и магазинов, служб бронирования билетов, доставки и вызова такси; от форумов и социальных сетей. Пользователь может ежедневно получать десятки и сотни уведомлений, многие из которых остаются непрочитанными. Все непрочитанные уведомления, которые не были удалены пользователем, попадают в резервные копии iOS как в «облаке» iCloud, так и в локальные, создаваемые с помощью iTunes. В резервных копиях уведомления могут храниться до нескольких лет. Их анализ может дать недостающую информацию, важную для расследования. Elcomsoft Phone Viewer позволяет просматривать и экспортировать уведомления приложений из «облачных» и локальных резервных копий.

Elcomsoft Phone Viewer идеально приспособлен для быстрой обработки больших объёмов информации. С помощью Elcomsoft Phone Viewer легко найти нужные записи и сообщения, воспользовавшись функцией полнотекстового поиска или фильтрации данных.

Поиск и фильтры работают в реальном времени и обеспечивают моментальный вывод результата. Поддерживается полнотекстовый поиск по всем полям данных, включая тело сообщений. Функция фильтрации доступна для контактов, заметок, истории звонков и сообщений. С помощью фильтра можно отобразить записи, укладывающиеся в определённый временной промежуток, принадлежащие к определённой учётной записи или содержащие определённую комбинацию символов в любом из доступных полей. Для звонков и сообщений доступны режимы отображения всех записей, только входящих или только исходящих.

Анализ активности пользователя – его поисковых запросов, просмотренных веб-страниц и открытых в браузере вкладок, – необходимая часть любого расследования. С помощью анализа поисковых запросов было раскрыто не одно преступление, а свидетельства посещения тех или иных ресурсов – важная часть доказательной базы в ряде расследований.

С помощью Elcomsoft Phone Viewer можно проанализировать историю поисковых запросов пользователя, журнал посещённых страниц, список закладок, а также список вкладок браузера, включающий миниатюрные изображения открытых страниц.

Signal – одна из самых хорошо защищённых программ для мгновенного обмена сообщениями. База данных Signal не синхронизируется с облаком и не попадает в iCloud или локальные резервные копии. Данные на устройстве зашифрованы нестандартным алгоритмом, а ключ шифрования хранится в Связке ключей с высокой категорией защиты.

Единственный способ получить доступ к базе данных Signal – физический анализ, в процессе которого снимается образ файловой системы и расшифровывается Связка ключей. Elcomsoft Phone Viewer позволяет расшифровать историю Signal из образа файловой системы при помощи Связки ключей, извлечённой посредством Elcomsoft iOS Forensic Toolkit. Эксперт получает доступ к информации об учётной записи пользователя, журналу звонков и полной истории сообщений включая вложения (вложения Signal хранятся в незашифрованном виде).

При том, что Telegram не входит в число самых хорошо защищённых программ для мгновенного обмена сообщениями (этот титул по праву принадлежит Signal), в Telegram существует возможность организовать безопасную сессию – секретный чат. Секретные чаты используют сквозное шифрование, что позволяет получить доступ к сообщениям только участникам чата. Перехват или расшифровка защищённой сквозным шифрованием переписки невозможна, в том числе для персонала Telegram. Более того, секретные чаты, в отличие от обычных чатов, не сохраняются на серверах Telegram; сообщения могут быть прочитаны только на устройстве, которое участвует в переписке.

Elcomsoft Phone Viewer отображает обычные и секретные чаты Telegram, извлечённые из образа файловой системы iPhone, полученного при помощи Elcomsoft iOS Forensic Toolkit в процессе работы агента-экстрактора или извлечения посредством джейлбрейка.

Начиная со второй версии продукта, в Elcomsoft Phone Viewer встроен универсальный инструмент для просмотра изображений и видео, снятых или полученных пользователем устройства. Пользователям Elcomsoft Phone Viewer не придётся отыскивать нужные файлы в огромной галерее. Программа автоматически разложит фотографии и видеоролики по папкам. Файлы, снятые с использованием встроенной в телефон камеры, будут отображаться отдельно от фотографий, полученных в виде вложений, а изображения из системных и пользовательских программ (кнопки, меню, логотипы и заставки) отображаются в отдельной папке. Доступен режим просмотра с автоматической разбивкой медиа-файлов по альбомам.

Начиная с версии 2.30, Elcomsoft Phone Viewer поддерживает просмотр фотографий, извлечённых из iCloud Photo Library с помощью Elcomsoft Phone Breaker. Поддерживается автоматическая разбивка по альбомам и фильтрация изображений (по типу данных и дате).

Инструмент для просмотра подключений к сохранённым беспроводным соединениям Wi-Fi позволяет просматривать список SSID и паролей для сетей Wi-Fi, сохранённых в резервных копиях iOS, но и определять дату и время как первого, так и самого недавнего подключения к точке доступа. Кроме того, доступна информация о BSSID точек доступа и используемом алгоритме шифрования.

Сортировка списка сетей по дате последнего доступа позволит узнать, к каким сетям и в каком порядке подключался пользователь в течение заданного промежутка времени.

Пользователи Elcomsoft Phone Viewer могут просматривать весь список установленных на iPhone или iPad приложений. Отображаются версии приложений, даты и времени приобретения (покупки или первого скачивания, если приложение бесплатное), а также использованная для покупки учётная запись Apple Account. Часть этих данных недоступна в самой резервной копии устройства, и автоматически запрашивается через iTunes.

Доступ к списку установленных приложений позволяет быстро определить, в каких социальных сетях и через какие программы обмена сообщениями общается пользователь, в каких банках имеет счета и в каких приложениях знакомится.

В тегах EXIF содержится информация о месте, времени и параметрах фотосъёмки, условиях освещения и технических характеристик камеры или фотоаппарата. Все эти данные извлекаются и отображаются в Elcomsoft Phone Viewer. Требуется найти фотографии, снятые в день расследуемого инцидента? В Elcomsoft Phone Viewer встроен фильтр, позволяющий задать временной промежуток и отображающий только те фотографии, которые были сняты в течение указанного времени.

Данные о местоположении извлекаются из многочисленных источников, включая фотографии, сообщения и вложения iMessage, системные журналы, временные файлы и области данных отдельных приложений (Uber, Google Maps, Apple Maps и прочих).

В современных смартфонах координаты места съёмки автоматически сохраняются в EXIF-тегах каждого снимка. Привязка и отображение этих координат на карте позволит эксперту узнать точное место, в котором был сделан тот или иной кадр.

Данные, извлечённые из всех источников, отображаются в виде единого списка, проанализировав который можно понять, где находился пользователь устройства в рамках заданного промежутка времени. Анализ координат позволит представить маршрут передвижения пользователя в течение заданного временного промежутка.

В iOS 12 появился пароль Экранного времени, который хранится в связке ключей с высокой категорией защиты. И если в iOS 12 пароли Экранного времени можно извлекать из локальных резервных копий с паролем (если сам пароль известен), то для более новых версий системы единственным способом узнать пароль Экранного времени является облачное извлечение посредством Elcomsoft Phone Breaker.

Elcomsoft Phone Viewer автоматически восстанавливает пароли ограничений и извлекает пароль Экранного времени.

Приложение «Здоровье» (Apple Health), доступное во всех последних версиях iOS, собирает подробные данные о здоровье и активности пользователя – количество шагов, виды активности (сон, бег, ходьба, спортивные тренировки и так далее), которые были собраны датчиками самого iPhone, одного из сторонних устройств или введены вручную. В приложении «Здоровье» агрегируются данные с iPhone, Apple Watch, данные из программ и с устройств Bluetooth, поддерживающих стандарт HealthKit.

Собранные из многочисленных источников и обработанные на iPhone данные попадают в резервные копии iTunes (при условии, что на резервную копию установлен пароль). Кроме того, данные «Здоровья» могут извлекаться из образа файловой системы устройств iOS. Такие образы создаются в процессе физического анализа iPhone при помощи Elcomsoft iOS Forensic Toolkit или комплекса GrayKey.

Elcomsoft Phone Viewer предоставляет удобный инструментарий для просмотра и анализа данных «Здоровья», скачанных из "облака" iCloud посредством Elcomsoft Phone Breaker или извлечённых из зашифрованных резервных копий в формате iTunes. Кроме того, данные "Здоровья" можно просмотреть напрямую из образа файловой системы iPhone в формате TAR или ZIP.

Ценность информации об активности пользователя трудно переоценить. Данные о том, в какие моменты времени пользователь был неподвижен, шёл или бежал могут стать ценными уликами в процессе расследования. Если же использовалось дополнительное устройство (к примеру, Apple Watch), то объём и детализация данных значительно возрастают: могут стать доступными такие данные, как пульс и сердечный ритм пользователя, количество потраченных калорий, информация о сне, падениях и многое другое. Привязка данных об активности пользователя ко времени происшествия может дать ключ к расследованию и усилить доказательную базу.

Elcomsoft Phone Breaker - единственный на рынке инструмент, позволяющий извлекать Облачную связку ключей из Apple iCloud. Elcomsoft Phone Viewer получил возможность просмотра и анализа данных как Облачной связки ключей, извлекаемой из iCloud утилитой Elcomsoft Phone Breaker, так и Связки ключей, которая извлекается из локальных резервных копий с паролем в формате iTunes либо непосредственно из устройств под управлением iOS при помощи инструментария Elcomsoft iOS Forensic Toolkit. Ранее данная возможность присутствовала исключительно в приложении Elcomsoft Phone Breaker.

Elcomsoft Phone Viewer поддерживает просмотр и анализ данных из истории переписки пользователей Signal и Telegram, извлечённых из образа файловой системы в формате TAR посредством Elcomsoft iOS Forensic Toolkit. При помощи Elcomsoft Phone Viewer можно просматривать как обычные, так и секретные чаты, сообщения, списки контактов пользователя, а также отправленные и полученные файлы.