WhatsApp en la palma de tu mano: ¿dónde y cómo puedes detectar artefactos forenses?

Si desea saber qué tipos de artefactos forenses de WhatsApp existen en varios sistemas operativos y dónde se pueden detectar exactamente, entonces aquí está. Con este artículo, Igor Mikhailov, especialista en el laboratorio de informática forense del Grupo IB, abre una serie de publicaciones sobre la investigación forense de WhatsApp y qué información se puede obtener analizando el dispositivo.

Solo tenga en cuenta que los diferentes tipos de artefactos de WhatsApp se almacenan en diferentes sistemas operativos, y si un investigador puede extraer ciertos tipos de datos de WhatsApp de un dispositivo, esto no significa que dichos tipos de datos puedan extraerse de otro dispositivo. Por ejemplo, si se incauta una unidad del sistema que ejecuta Windows, los chats de WhatsApp probablemente no se encontrarán en sus discos (la excepción son las copias de seguridad de los dispositivos iOS que se pueden encontrar en las mismas unidades). Al retirar las computadoras portátiles y los dispositivos móviles tendrán sus propias características. Hablemos de esto con más detalle.

Artefactos de WhatsApp en un dispositivo Android

Para extraer artefactos de WhatsApp de un dispositivo con Android, el investigador debe tener privilegios de superusuario ( 'root' ) en el dispositivo en estudio o ser capaz de extraer el volcado físico de la memoria del dispositivo o su sistema de archivos (por ejemplo, utilizando vulnerabilidades de software de un móvil específico dispositivos).

Los archivos de la aplicación se encuentran en la memoria del teléfono en la sección donde se guardan los datos del usuario. Por lo general, esta sección se llama 'userdata' . Los subdirectorios y los archivos de programa se encuentran a lo largo de la ruta: '/data/data/com.whatsapp/' .


Los archivos principales que contienen artefactos forenses de WhatsApp en el sistema operativo Android son las bases de datos 'wa.db' y 'msgstore.db' .

La base de datos 'wa.db' contiene una lista completa de contactos de usuarios de WhatsApp, incluido el número de teléfono, el nombre para mostrar, las marcas de tiempo y cualquier otra información especificada durante el registro en WhatsApp. El archivo 'wa.db' se encuentra a lo largo de la ruta: '/data/data/com.whatsapp/databases/' y tiene la siguiente estructura:


Las tablas más interesantes en la base de datos 'wa.db' para el investigador son:

• 'wa_contacts'
  Esta tabla contiene información de contacto: identificación de contacto en WhatsApp, información de estado, nombre de usuario que se muestra, marcas de tiempo, etc.
  
  Apariencia de la mesa:
  
  
  
  
  
  Estructura de la mesa

  Nombre del campo	Valor
  _id	registrar el número de serie (en la tabla SQL)
  jid	Identificación de contacto de WhatsApp, escrita en el formato <número de teléfono> @ s.whatsapp.net
  is_whatsapp_user	contiene '1' si el usuario real de WhatsApp coincide con el contacto, '0' de lo contrario
  estado	contiene el texto que se muestra en el estado del contacto
  status_timestamp	contiene una marca de tiempo en formato Unix Epoch Time (ms)
  numero	número de teléfono asociado con el contacto
  raw_contact_id	número de serie de contacto
  display_name	nombre para mostrar del contacto
  phone_type	tipo de teléfono
  etiqueta_de_teléfono	etiqueta asociada con el número de contacto
  unseen_msg_count	la cantidad de mensajes que envió el contacto pero que el destinatario no leyó
  photo_ts	contiene una marca de tiempo en formato Unix Epoch Time
  thumb_ts	contiene una marca de tiempo en formato Unix Epoch Time
  photo_id_timestamp	contiene una marca de tiempo en formato Unix Epoch Time (ms)
  nombre_ dado	el valor del campo coincide con 'display_name' para cada contacto
  wa_name	Nombre de contacto de WhatsApp (muestra el nombre especificado en el perfil de contacto)
  sort_name	nombre de contacto utilizado en operaciones de clasificación
  apodo	Apodo de contacto de WhatsApp (muestra el apodo especificado en el perfil de contacto)
  compañia	empresa (se muestra la empresa indicada en el perfil de contacto)
  titulo	apelación (amante / caballero; se muestra la dirección configurada en el perfil de contacto)
  compensación	desplazamiento

• 'sqlite_sequence'
  Esta tabla contiene información sobre la cantidad de contactos;
• 'android_metadata'
  Esta tabla contiene información de localización del idioma de WhatsApp.

La base de datos 'msgstore.db' contiene información sobre los mensajes transmitidos, como el número de contacto, el texto del mensaje, el estado del mensaje, las marcas de tiempo, la información sobre los archivos transferidos incluidos en los mensajes, etc. El archivo 'msgstore.db' se encuentra a lo largo de la ruta: '/data/data/com.whatsapp/databases/' y tiene la siguiente estructura:


Las tablas más interesantes en el archivo 'msgstore.db' para el investigador son:

• 'sqlite_sequence'
  Esta tabla contiene información general sobre esta base de datos, por ejemplo, el número total de mensajes almacenados, el número total de chats, etc.
  
  Apariencia de la mesa:
  
  
  
• 'message_fts_content'
  Contiene el texto de los mensajes transmitidos.
  
  Apariencia de la mesa:
  
  
  
• 'mensajes'
  Esta tabla contiene información como número de contacto, texto del mensaje, estado del mensaje, marcas de tiempo, información sobre los archivos transferidos incluidos en los mensajes.
  
  Apariencia de la mesa:
  
  
  
  
  
  Estructura de la mesa

  Nombre del campo	Valor
  _id	registrar el número de serie (en la tabla SQL)
  key_remote_jid	ID de socio de comunicación de WhatsApp
  key_from_me	dirección del mensaje: '0' - entrante, '1' - saliente
  key_id	identificador único del mensaje
  estado	estado del mensaje: '0' - entregado, '4' - esperando en el servidor, '5' - recibido en el destino, '6' - mensaje de control, '13' - mensaje abierto por el destinatario (leído)
  need_push	tiene el valor '2' si es un mensaje de difusión, de lo contrario contiene '0'
  datos	texto del mensaje (cuando el parámetro 'media_wa_type' es '0')
  marca de tiempo	contiene una marca de tiempo en formato Unix Epoch Time (ms), el valor se toma del reloj del dispositivo
  media_url	contiene la URL del archivo transmitido (cuando el parámetro 'media_wa_type' es '1', '2', '3')
  media_mime_type	Tipo MIME del archivo transferido (cuando el parámetro 'media_wa_type' es igual a '1', '2', '3')
  media_wa_type	tipo de mensaje: '0' - texto, '1' - archivo de imagen, '2' - archivo de audio, '3' - archivo de video, '4' - tarjeta de contacto, '5' - geodatos
  tamaño_medios	tamaño de transferencia de archivo (cuando el parámetro 'media_wa_type' es '1', '2', '3')
  nombre_medios	nombre del archivo transferido (cuando el parámetro 'media_wa_type' es '1', '2', '3')
  media_caption	Contiene las palabras 'audio', 'video' para los valores correspondientes del parámetro 'media_wa_type' (cuando el parámetro 'media_wa_type' es igual a '1', '3')
  media_hash	hash codificado en base64 del archivo transmitido, calculado de acuerdo con el algoritmo HAS-256 (cuando el parámetro 'media_wa_type' es '1', '2', '3')
  media_duration	duración en segundos para el archivo multimedia (cuando el parámetro 'media_wa_type' es '1', '2', '3')
  origen	tiene el valor '2' si es un mensaje de difusión, de lo contrario contiene '0'
  latitud	geodata: latitud (cuando el parámetro 'media_wa_type' es '5')
  longitud	geodata: longitud (cuando el parámetro 'media_wa_type' es '5')
  thumb_image	información de servicio
  remote_recource	ID del remitente (solo chat grupal)
  recibida_mpresa	tiempo de recepción, contiene una marca de tiempo en formato Unix Epoch Time (ms), el valor se toma del reloj del dispositivo (cuando el parámetro 'key_from_me' tiene '0', '-1' u otro valor)
  send_timestamp	no utilizado, generalmente tiene un valor de '-1'
  ticket_server_timestamp	hora recibida por el servidor central, contiene una marca de tiempo en formato Unix Epoch Time (ms), el valor se toma del reloj del dispositivo (cuando el parámetro 'key_from_me' tiene '1', '-1' u otro valor
  ticket_device_timestamp	la hora en que otro suscriptor recibió el mensaje, contiene una marca de tiempo en formato Unix Epoch Time (ms), el valor se toma del reloj del dispositivo (cuando el parámetro 'key_from_me' tiene '1', '-1' u otro valor
  read_device_timestamp	hora de apertura (lectura) del mensaje, contiene una marca de tiempo en formato de hora de la época de Unix (ms), el valor se toma del reloj del dispositivo
  playing_device_timestamp	tiempo de reproducción del mensaje, contiene una marca de tiempo en formato de hora de la época de Unix (ms), el valor se toma del reloj del dispositivo
  raw_data	miniatura del archivo transmitido (cuando el parámetro 'media_wa_type' es igual a '1' o '3')
  recipiente_cuenta	cantidad de destinatarios (para mensajes de difusión)
  participante_hash	utilizado al enviar mensajes con geodatos
  protagonizado	no usado
  quoted_row_id	desconocido, generalmente contiene el valor '0'
  mencionados_jids	no utilizado
  multicast_id	no utilizado
  compensación	desplazamiento

  
  Esta lista de campos no es exhaustiva. Para diferentes versiones de WhatsApp, algunos de los campos pueden o no estar presentes. Además, los campos 'media_enc_hash' , 'edit_version' , 'payment_transaction_id' , etc. pueden estar presentes.
• 'messages_thumbnails'
  Esta tabla contiene información sobre imágenes transferidas y marcas de tiempo. En la columna 'marca de tiempo', la hora está en formato de hora de época Unix (ms).
• 'chat_list'
  Esta tabla contiene información de chat.
  
  Apariencia de la mesa:
  
  
  

Además, al investigar WhatsApp en un dispositivo móvil con Android, debe prestar atención a los siguientes archivos:

• Archivo 'msgstore.db.cryptXX' (donde XX tiene uno o dos dígitos del 0 al 12, por ejemplo, msgstore.db.crypt12). Contiene una copia de seguridad cifrada de los mensajes de WhatsApp (copia de seguridad del archivo msgstore.db ). El archivo (o archivos) 'msgstore.db.cryptXX' se encuentra a lo largo de la ruta: '/ data / media / 0 / WhatsApp / Databases /' (tarjeta SD virtual), '/ mnt / sdcard / WhatsApp / Databases / (física SD- tarjeta) ".
• El archivo es 'clave' . Contiene una clave criptográfica. Se encuentra a lo largo de la ruta: '/data/data/com.whatsapp/files/' . Se utiliza para descifrar las copias de seguridad cifradas de WhatsApp.
• Archivo 'com.whatsapp_preferences.xml' . Contiene información sobre el perfil de la cuenta de WhatsApp. El archivo se encuentra en la ruta: '/data/data/com.whatsapp/shared_prefs/' .
  
  
  Fragmento de contenido de archivo

  <?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> ( ,    WhatsApp) … <string name="version">2.17.395</string> ( WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (,    ) … <string name="push_name">Alex</string> (  ) … 

• Archivo 'registro.RegistroPhone.xml' . Contiene información del número de teléfono asociado con una cuenta de WhatsApp. El archivo se encuentra en la ruta: '/data/data/com.whatsapp/shared_prefs/' .
  
  
  Contenido del archivo

   <?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> 

• Archivo 'axolotl.db' . Contiene claves criptográficas y otros datos necesarios para identificar al propietario de la cuenta. Se encuentra a lo largo de la ruta: '/data/data/com.whatsapp/databases/' .
• Archivo 'chatsettings.db' . Contiene información de configuración de la aplicación.
• El archivo 'wa.db' . Contiene datos de contacto. Una base de datos muy interesante (en el aspecto forense) e informativa. En él, se puede encontrar información detallada sobre los contactos eliminados.

También debe prestar atención a los siguientes directorios:

• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Images /' . Contiene los archivos de imagen transferidos.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Voice Notes /' . Contiene mensajes de voz en archivos con formato .OPUS.
• Directorio '/data/data/com.whatsapp/cache/Profile Pictures /' . Contiene archivos gráficos: imágenes de contactos.
• Directorio '/data/data/com.whatsapp/files/Avatars/' . Contiene archivos de imagen: miniaturas de imágenes de contacto. Estos archivos tienen la extensión '.j', pero, sin embargo, son archivos de imagen en formato JPEG (JPG).
• Directorio '/data/data/com.whatsapp/files/Avatars/' . Contiene archivos de imagen: imagen y miniatura de la imagen instalada como avatar por el propietario de la cuenta.
• Directorio '/data/data/com.whatsapp/files/Logs/' . Contiene el registro de operación del programa (archivo 'whatsapp.log') y copias de seguridad de los registros de operación del programa (archivos con los nombres de formato whatsapp-aaaa-mm-dd.1.log.gz).

Archivos de registro de WhatsApp:

• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Audio /' . Contiene los archivos de audio recibidos.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Audio / Sent /' . Contiene los archivos de audio enviados.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Images /' . Contiene los archivos de imagen recibidos.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Images / Sent /' . Contiene archivos de imagen enviados.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Video /' . Contiene los archivos de video recibidos.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Video / Sent /' . Contiene archivos de video cargados.
• Directorio '/ data / media / 0 / WhatsApp / Media / WhatsApp Profile Photos /' . Contiene archivos de imagen asociados con el propietario de la cuenta de WhatsApp.
• Para ahorrar espacio en la memoria del teléfono inteligente Android, algunos de los datos de WhatsApp se pueden almacenar en la tarjeta SD. En la tarjeta SD, en el directorio raíz, hay un directorio 'WhatsApp' donde se pueden encontrar los siguientes artefactos de este programa:
  
  
  
• Directorio '.Share' ( '/mnt/sdcard/WhatsApp/.Share/' ). Contiene copias de archivos que se han transferido a otros usuarios de WhatsApp.
• Directorio '.trash' ( '/mnt/sdcard/WhatsApp/.trash/' ). Contiene archivos borrados.
• Directorio 'Bases de datos' ( '/ mnt / sdcard / WhatsApp / Databases /' ). Contiene copias de seguridad cifradas. Se pueden descifrar en presencia del archivo 'clave' , extraído de la memoria del dispositivo analizado.
  
  Archivos en el subdirectorio 'Bases de datos' :
  
  
  
• Directorio 'Media' ( '/ mnt / sdcard / WhatsApp / Media /' ). Contiene los subdirectorios 'WallPaper' , 'WhatsApp Audio' , 'WhatsApp Images' , 'WhatsApp Profile Photos' , 'WhatsApp Video' , 'WhatsApp Voice Notes' , en el que los archivos multimedia recibidos y transmitidos (archivos de imagen, archivos de video, mensajes de voz, fotos asociadas con el perfil del titular de la cuenta de WhatsApp, el fondo de pantalla).
• Directorio 'Imágenes de perfil' ( '/ mnt / sdcard / WhatsApp / Profile Pictures /' ). Contiene archivos de imagen asociados con el perfil del titular de la cuenta de WhatsApp.
• A veces, el directorio 'archivos' ( '/ mnt / sdcard / WhatsApp / Files /' ) puede estar presente en la tarjeta SD. Este directorio contiene archivos que almacenan la configuración del programa y las preferencias del usuario.

Características del almacenamiento de datos en algunos modelos de dispositivos móviles.

En algunos dispositivos móviles Android, los artefactos de WhatsApp pueden almacenarse en otro lugar. Esto se debe a un cambio en el espacio de almacenamiento de datos de la aplicación por parte del software del sistema del dispositivo móvil. Entonces, por ejemplo, los dispositivos móviles Xiaomi tienen la función de crear un segundo espacio de trabajo ("SecondSpace"). Cuando esta función está activada, la ubicación de los datos cambia. Por lo tanto, si en un dispositivo móvil normal que ejecuta Android OS, los datos de usuario se almacenan en el directorio '/ data / user / 0 /' (que es un enlace al habitual '/ data / data /' ), entonces en el segundo espacio de trabajo los datos de la aplicación se almacenan en '/ data / user / 10 /' . Esa es, por ejemplo, la ubicación del archivo 'wa.db' :

• en un teléfono inteligente Android normal: /data/user/0/com.whatsapp/databases/wa.db ' (que es equivalente a ' /data/data/com.whatsapp/databases/wa.db ') ;
• en el segundo espacio de trabajo del teléfono inteligente Xiaomi: '/data/user/10/com.whatsapp/databases/wa.db' .

Artefactos de WhatsApp en dispositivo iOS

A diferencia del sistema operativo Android, en iOS, los datos de la aplicación WhatsApp se transfieren a una copia de seguridad (copia de seguridad de iTunes). Por lo tanto, extraer datos de esta aplicación no requiere extraer el sistema de archivos o crear un volcado de memoria física del dispositivo bajo investigación. La mayor parte de la información relevante está contenida en la base de datos 'ChatStorage.sqlite' , que se encuentra a lo largo de la ruta: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (en algunos programas esta ruta se muestra como 'AppDomainGroup -group.net.whatsapp.WhatsApp.shared ' ).

La estructura de 'ChatStorage.sqlite' :


Las más informativas en la base de datos ChatStorage.sqlite son las tablas ZWAMESSAGE y ZWAMEDIAITEM .

Apariencia de la tabla 'ZWAMESSAGE' :



Aspecto de la tabla 'ZWAMEDIAITEM' :



Otras tablas interesantes de la base de datos 'ChatStorage.sqlite' son:

• 'ZWAPROFILEPUSHNAME' . Corresponde a la identificación de WhatsApp con el nombre del contacto;
• «ZWAPROFILEPICTUREITEM» . Correlaciona la identificación de WhatsApp con el avatar de contacto;
• 'Z_PRIMARYKEY' . La tabla contiene información general sobre esta base de datos, como el número total de mensajes almacenados, el número total de chats, etc.

Además, al investigar WhatsApp en un dispositivo móvil con iOS, debe prestar atención a los siguientes archivos:

• Archivo 'BackedUpKeyValue.sqlite' . Contiene claves criptográficas y otros datos necesarios para identificar al propietario de la cuenta. Se encuentra a lo largo de la ruta: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• Archivo 'ContactsV2.sqlite' . Contiene información sobre los contactos del usuario, como nombre completo, número de teléfono, estado de contacto (en forma de texto), ID de WhatsApp, etc. Se encuentra a lo largo de la ruta: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• Archivo 'consumer_version' . Contiene el número de versión de la aplicación WhatsApp instalada. Se encuentra a lo largo de la ruta: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• Archivo 'current_wallpaper.jpg' . Contiene el fondo de pantalla actual de WhatsApp. Se encuentra a lo largo de la ruta: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ . En versiones anteriores de la aplicación, se usa el archivo 'fondo de pantalla' , que se encuentra a lo largo de la ruta: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/' .
• Archivo 'blockcontacts.dat' . Contiene información sobre contactos bloqueados. Se encuentra a lo largo de la ruta: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/ .
• Archivo 'pw.dat' . Contiene una contraseña encriptada. Se encuentra en el camino: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/' .
• Archivo 'net.whatsapp.WhatsApp.plist' (o archivo 'group.net.whatsapp.WhatsApp.shared.plist' ). Contiene información sobre el perfil de la cuenta de WhatsApp. El archivo se encuentra en la ruta: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/' .

También debe prestar atención a los siguientes directorios:

• Directorio '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/' . Contiene miniaturas de contactos, grupos (archivos con la extensión .thumb ), avatares de contactos, un avatar del propietario de la cuenta de WhatsApp (archivo 'Photo.jpg' ).
• Directorio '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ Message / Media /' . Contiene archivos multimedia y sus miniaturas.
• Directorio '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/' . Contiene el registro de operación del programa (archivo 'calls.log' ) y copias de seguridad de los registros de operación del programa (archivo 'calls.backup.log' ).
• Catálogo '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/' . Contiene stickers (archivos en formato '.webp' ).
• El directorio '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/' . Contiene registros del programa.

Artefactos de WhatsApp en Windows

Artefactos de WhatsApp en Windows Se puede encontrar en varios lugares. En primer lugar, estos son directorios que contienen archivos ejecutables y auxiliares del programa (para Windows 8/10):

• 'C: \ Archivos de programa (x86) \ WhatsApp \'
• 'C: \ Usuarios \% Perfil de usuario% \ AppData \ Local \ WhatsApp \'
• 'C: \ Usuarios \% Perfil de usuario% \ AppData \ Local \ VirtualStore \ Archivos de programa (x86) \ WhatsApp \'

En el directorio 'C: \ Users \% User profile% \ AppData \ Local \ WhatsApp \' se encuentra el archivo de registro 'SquirrelSetup.log' , que contiene información sobre cómo verificar actualizaciones e instalar el programa.

En el directorio 'C: \ Users \% User profile% \ AppData \ Roaming \ WhatsApp \' hay varios subdirectorios:


El archivo 'main-process.log' contiene información sobre el funcionamiento del programa WhatsApp.

El subdirectorio 'bases de datos' contiene el archivo 'Bases de datos.db' , pero este archivo no contiene ninguna información sobre chats o contactos.

Lo más interesante desde el punto de vista forense son los archivos ubicados en el directorio 'Caché' . Básicamente, estos son archivos con los nombres 'f _ *******' (donde * es un número del 0 al 9) que contienen archivos y documentos multimedia encriptados, pero entre ellos también hay archivos sin encriptar. De particular interés son los archivos 'data_0' , 'data_1' , 'data_2' , 'data_3' ubicados en el mismo subdirectorio. Los archivos 'data_0' , 'data_1' , 'data_3' contienen enlaces externos a archivos y documentos multimedia encriptados transmitidos.


Además, el archivo 'data_3' puede contener archivos de imagen.

El archivo 'data_2' contiene avatares de contacto (puede restaurarse buscando en los encabezados del archivo).

Avatares contenidos en el archivo 'data_2' :


Por lo tanto, los chats en sí no se pueden encontrar en la memoria de la computadora, pero puede encontrar:

• archivos multimedia;
• Documentos transmitidos usando WhatsApp
• Información sobre los contactos del titular de la cuenta.

Artefactos de WhatsApp en MacOS

En MacOS, puede encontrar tipos de artefactos de WhatsApp similares a los que se encuentran en Windows.

Los archivos de programa se encuentran en directorios:

• 'C: \ Aplicaciones \ WhatsApp.app \'
• 'C: \ Aplicaciones \ ._ WhatsApp.app \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Preferencias \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Registros \ WhatsApp \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Estado de la aplicación guardada \ WhatsApp.savedState \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Scripts de aplicación \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Soporte de aplicaciones \ CloudDocs \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Soporte de aplicaciones \ WhatsApp.ShipIt \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Contenedores \ com.rockysandstudio.app-for-whatsapp \'
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Documentos móviles \ <variable de texto> WhatsApp \ Cuentas'
  Este directorio contiene subdirectorios cuyos nombres son números de teléfono asociados con el propietario de la cuenta de WhatsApp.
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Caches \ WhatsApp.ShipIt \'
  Este directorio contiene información sobre la instalación del programa.
• 'C: \ Users \% User profile% \ Pictures \ iPhoto.photolibrary Library \ Masters \' , 'C: \ Users \% User profile% \ Pictures \ iPhoto.photolibrary Library \ Photo \ Thumbnails \'
  Estos directorios contienen archivos de utilidad para el programa, incluidas fotos y miniaturas de contactos de WhatsApp.
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Caches \ WhatsApp \'
  Este directorio contiene varias bases de datos SQLite que se usan para almacenar en caché los datos.
• 'C: \ Usuarios \% Perfil de usuario% \ Biblioteca \ Soporte de aplicaciones \ WhatsApp \'
  Este directorio contiene varios subdirectorios:
  
  
  
  
  El directorio 'C: \ Users \% User profile% \ Library \ Application Support \ WhatsApp \ Cache \' contiene los archivos 'data_0' , 'data_1' , 'data_2' , 'data_3' y archivos con los nombres 'f _ **** *** ' (donde * es un número del 0 al 9). La información sobre qué información contienen estos archivos se describe en la sección "Artefactos de Windows de WhatsApp".
  
  El directorio 'C: \ Users \% User profile% \ Library \ Application Support \ WhatsApp \ IndexedDB \' puede contener archivos multimedia (los archivos no tienen extensiones).
  
  El archivo 'main-process.log' contiene información sobre el funcionamiento del programa WhatsApp.

Los siguientes artículos de esta serie:





Group-IB sabe todo sobre el cibercrimen, pero cuenta las cosas más interesantes.

El canal Telegram lleno de acción (https://t.me/Group_IB) sobre seguridad de la información, piratas informáticos y ataques cibernéticos, piratas informáticos y piratas de Internet. Investigaciones del cibercrimen sensacional por pasos, casos prácticos utilizando tecnologías del Grupo IB y, por supuesto, recomendaciones sobre cómo evitar convertirse en una víctima en Internet.

Grupo de canales de YouTube -IB
Grupo-IB Photowire en Instagram www.instagram.com/group_ib
Noticias breves de Twitter twitter.com/GroupIB

Group-IB es uno de los desarrolladores líderes de soluciones para detectar y prevenir ataques cibernéticos, detectar fraudes y proteger la propiedad intelectual en una red con sede en Singapur.