WhatsApp في راحة يدك: أين وكيف يمكنك اكتشاف التحف الجنائية؟

إذا كنت تريد معرفة أنواع القطع الأثرية في WhatsApp الموجودة في أنظمة التشغيل المختلفة وأين يمكن اكتشافها بالضبط ، فأنت هنا. مع هذه المقالة ، يفتح إيغور ميخائيلوف ، وهو متخصص في Group-IB Laboratory for Computer Forensics ، سلسلة من المنشورات حول التحقيق الجنائي WhatsApp وما هي المعلومات التي يمكن الحصول عليها عند تحليل الجهاز.

لاحظ فقط أنه يتم تخزين أنواع مختلفة من قطع أثرية WhatsApp في أنظمة تشغيل مختلفة ، وإذا كان بإمكان الباحث استخراج أنواع معينة من بيانات WhatsApp من جهاز واحد ، فإن هذا لا يعني أنه يمكن استخراج هذه الأنواع من البيانات من جهاز آخر. على سبيل المثال ، إذا تم الاستيلاء على وحدة نظام تقوم بتشغيل Windows ، فمن المحتمل عدم العثور على محادثات WhatsApp على أقراصها (باستثناء النسخ الاحتياطية من أجهزة iOS التي يمكن العثور عليها على نفس محركات الأقراص). عند إزالة أجهزة الكمبيوتر المحمولة والأجهزة المحمولة سيكون لها خصائصها الخاصة. دعنا نتحدث عن هذا بمزيد من التفصيل.

آثار WhatsApp على جهاز Android

لاستخراج عناصر WhatsApp من جهاز يعمل بنظام أندرويد ، يجب أن يتمتع الباحث بامتيازات المستخدم الخارق ( 'الجذر' ) على الجهاز قيد الدراسة أو أن يكون قادرًا على استخراج ملف التفريغ المادي لذاكرة الجهاز أو نظام الملفات الخاص به (على سبيل المثال ، باستخدام الثغرات البرمجية لجهاز محمول معين الأجهزة).

توجد ملفات التطبيق في ذاكرة الهاتف في القسم حيث يتم حفظ بيانات المستخدم. عادةً ما يسمى هذا القسم "بيانات المستخدم" . توجد الدلائل الفرعية وملفات البرنامج على طول المسار: '/data/data/com.whatsapp/' .


الملفات الرئيسية التي تحتوي على التحاليل الجنائية WhatsApp في نظام التشغيل Android هي قواعد البيانات "wa.db" و "msgstore.db" .

تحتوي قاعدة البيانات "wa.db" على قائمة كاملة بجهات اتصال مستخدمي WhatsApp ، بما في ذلك رقم الهاتف واسم العرض والطوابع الزمنية وأي معلومات أخرى محددة أثناء التسجيل باستخدام WhatsApp. يوجد الملف "wa.db" على طول المسار: '/data/data/com.whatsapp/databases/' ويحتوي على البنية التالية:


الجداول الأكثر إثارة للاهتمام في قاعدة البيانات "wa.db" للباحث هي:

• "wa_contacts"
  يحتوي هذا الجدول على معلومات جهة الاتصال: معرف جهة الاتصال في WhatsApp ، ومعلومات الحالة ، واسم المستخدم المعروض ، والطوابع الزمنية ، إلخ.
  
  مظهر الجدول:
  
  
  
  
  
  هيكل الجدول

  اسم الحقل	قيمة
  _ID	سجل الرقم التسلسلي (في جدول SQL)
  المعهد الدبلوماسي	معرف جهة اتصال WhatsApp ، مكتوب بالتنسيق <رقم الهاتف> @ s.whatsapp.net
  is_whatsapp_user	يحتوي على "1" إذا كان مستخدم WhatsApp الفعلي يطابق جهة الاتصال ، "0" على خلاف ذلك
  وضع	يحتوي على النص المعروض في حالة الاتصال
  status_timestamp	يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms)
  عدد	رقم الهاتف المرتبط بجهة الاتصال
  raw_contact_id	الاتصال الرقم التسلسلي
  DISPLAY_NAME	اسم عرض الاتصال
  PHONE_TYPE	نوع الهاتف
  phone_label	التسمية المرتبطة برقم الاتصال
  unseen_msg_count	عدد الرسائل التي تم إرسالها بواسطة جهة الاتصال ولكن لم يقرأها المستلم
  photo_ts	يحتوي على طابع زمني بتنسيق Unix Epoch Time
  thumb_ts	يحتوي على طابع زمني بتنسيق Unix Epoch Time
  photo_id_timestamp	يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms)
  GIVEN_NAME	تطابق قيمة الحقل "اسم العرض" لكل جهة اتصال
  wa_name	اسم جهة اتصال WhatsApp (يعرض الاسم المحدد في ملف تعريف جهة الاتصال)
  sort_name	اسم جهة الاتصال المستخدمة في عمليات الفرز
  كنية	الاسم المستعار لجهة اتصال WhatsApp (يعرض الاسم المستعار المحدد في ملف تعريف جهة الاتصال)
  شركة	الشركة (يتم عرض الشركة المشار إليها في ملف تعريف جهة الاتصال)
  لقب	نداء (عشيقة / رجل نبيل ؛ يتم عرض العنوان الذي تم تكوينه في ملف تعريف جهة الاتصال)
  عوض	الإزاحة

• "sqlite_sequence"
  يحتوي هذا الجدول على معلومات حول عدد جهات الاتصال ؛
• "android_metadata"
  يحتوي هذا الجدول على معلومات توطين لغة WhatsApp.

تحتوي قاعدة البيانات "msgstore.db" على معلومات حول الرسائل المرسلة ، مثل رقم جهة الاتصال ، نص الرسالة ، حالة الرسالة ، الطوابع الزمنية ، معلومات حول الملفات المنقولة المضمنة في الرسائل ، إلخ. يوجد الملف 'msgstore.db' على طول المسار: '/data/data/com.whatsapp/databases/' ويحتوي على البنية التالية:


الجداول الأكثر إثارة للاهتمام في ملف 'msgstore.db' للباحث هي:

• "sqlite_sequence"
  يحتوي هذا الجدول على معلومات عامة حول قاعدة البيانات هذه ، على سبيل المثال ، إجمالي عدد الرسائل المخزنة ، إجمالي عدد الدردشات ، إلخ.
  
  مظهر الجدول:
  
  
  
• "message_fts_content"
  يحتوي على نص الرسائل المرسلة.
  
  مظهر الجدول:
  
  
  
• 'الرسائل'
  يحتوي هذا الجدول على معلومات مثل رقم جهة الاتصال ونص الرسالة وحالة الرسالة وطوابع التوقيت ومعلومات حول الملفات المنقولة المدرجة في الرسائل.
  
  مظهر الجدول:
  
  
  
  
  
  هيكل الجدول

  اسم الحقل	قيمة
  _ID	سجل الرقم التسلسلي (في جدول SQL)
  key_remote_jid	معرف شريك اتصال WhatsApp
  key_from_me	اتجاه الرسالة: '0' - واردة ، '1' - صادرة
  KEY_ID	معرف فريد للرسالة
  وضع	حالة الرسالة: '0' - تم التسليم ، '4' - في انتظار على الخادم ، '5' - تم استلامه في الوجهة ، '6' - رسالة تحكم ، '13' - رسالة تم فتحها بواسطة المستلم (اقرأ)
  need_push	لها القيمة "2" إذا كانت رسالة بث ، وإلا فإنها تحتوي على "0"
  معطيات	نص الرسالة (عندما تكون المعلمة 'media_wa_type' هي '0')
  الطابع الزمني	يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم الحصول على القيمة من ساعة الجهاز
  MEDIA_URL	يحتوي على عنوان URL للملف المنقول (عندما تكون المعلمة 'media_wa_type' هي '1' ، '2' ، '3')
  media_mime_type	نوع MIME للملف المنقول (عندما تساوي المعلمة 'media_wa_type' '1' ، '2' ، '3')
  media_wa_type	نوع الرسالة: "0" - نص ، "1" - ملف صورة ، "2" - ملف صوت ، "3" - ملف فيديو ، "4" - بطاقة اتصال ، "5" - بيانات جغرافية
  media_size	حجم نقل الملف (عندما تكون المعلمة 'media_wa_type' هي '1' ، '2' ، '3')
  MEDIA_NAME	اسم الملف المنقول (عندما تكون المعلمة 'media_wa_type' هي '1' ، '2' ، '3')
  media_caption	يحتوي على الكلمات 'الصوت' ، 'الفيديو' للقيم المقابلة للمعلمة 'media_wa_type' (عندما تكون المعلمة 'media_wa_type' هي '1' ، '3')
  media_hash	base64 التجزئة المشفرة للملف المرسل ، محسوبة وفقًا لخوارزمية HAS-256 (عندما تكون المعلمة 'media_wa_type' هي '1' ، '2' ، '3')
  media_duration	المدة بالثواني لملف الوسائط (عندما تكون المعلمة 'media_wa_type' هي '1' ، '2' ، '3')
  الأصل	لها القيمة "2" إذا كانت رسالة بث ، وإلا فإنها تحتوي على "0"
  خط العرض	البيانات الجغرافية: خط العرض (عندما تكون المعلمة 'media_wa_type' هي '5')
  خط الطول	البيانات الجغرافية: خط الطول (عندما تكون المعلمة 'media_wa_type' هي '5')
  thumb_image	معلومات الخدمة
  remote_recource	معرف المرسل (دردشة جماعية فقط)
  received_timestamp	وقت الاستلام ، يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم أخذ القيمة من ساعة الجهاز (عندما تكون المعلمة 'key_from_me' لها '0' أو '-1' أو قيمة أخرى)
  send_timestamp	غير مستخدم ، عادةً ما تكون له قيمة "-1"
  receipt_server_timestamp	الوقت المستلم من قبل الخادم المركزي ، يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم الحصول على القيمة من ساعة الجهاز (عندما تكون المعلمة 'key_from_me' لها '1' ، '-1' أو قيمة أخرى
  receipt_device_timestamp	وقت استلام الرسالة من قبل مشترك آخر ، يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم أخذ القيمة من ساعة الجهاز (عندما تكون المعلمة 'key_from_me' لها '1' أو '-1' أو قيمة أخرى
  read_device_timestamp	وقت فتح (قراءة) الرسالة ، يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم الحصول على القيمة من ساعة الجهاز
  played_device_timestamp	وقت تشغيل الرسالة ، يحتوي على طابع زمني بتنسيق Unix Epoch Time (ms) ، يتم الحصول على القيمة من ساعة الجهاز
  raw_data	صورة مصغرة للملف المرسل (عندما تكون المعلمة 'media_wa_type' تساوي '1' أو '3')
  RECIPIENT_COUNT	عدد المستلمين (لرسائل البث)
  participant_hash	تستخدم عند إرسال الرسائل مع البيانات الجغرافية
  بطولته	غير مستخدم
  quoted_row_id	غير معروف ، يحتوي عادةً على القيمة "0"
  mentioned_jids	غير مستخدم
  multicast_id	غير مستخدم
  عوض	الإزاحة

  
  قائمة الحقول هذه ليست شاملة. بالنسبة للإصدارات المختلفة من WhatsApp ، قد تكون أو لا تكون بعض الحقول موجودة. بالإضافة إلى ذلك ، قد تكون الحقول "media_enc_hash" ، و "edit_version" ، و "payment_transaction_id" ، إلخ.
• "messages_thumbnails"
  يحتوي هذا الجدول على معلومات حول الصور المنقولة والطوابع الزمنية. في عمود "الطابع الزمني" ، يكون الوقت بتنسيق Unix Epoch Time (ms).
• "chat_list"
  يحتوي هذا الجدول على معلومات الدردشة.
  
  مظهر الجدول:
  
  
  

أيضًا ، عند البحث في WhatsApp في جهاز محمول يعمل بنظام Android ، يجب عليك الانتباه إلى الملفات التالية:

• ملف "msgstore.db.cryptXX" (حيث XX يتكون من رقم واحد أو رقمين من 0 إلى 12 ، على سبيل المثال ، msgstore.db.crypt12). يحتوي على نسخة احتياطية مشفرة من رسائل WhatsApp (نسخة احتياطية من ملف msgstore.db ). يوجد الملف (أو الملفات) 'msgstore.db.cryptXX' على طول المسار: '/ data / media / 0 / WhatsApp / Databases /' (بطاقة SD افتراضية) ، '/ mnt / sdcard / WhatsApp / Databases / (الفعلية SD- بطاقة).
• الملف هو "مفتاح" . يحتوي على مفتاح التشفير. إنه موجود على طول المسار: '/data/data/com.whatsapp/files/' . تستخدم لفك تشفير النسخ الاحتياطية WhatsApp المشفرة.
• ملف "com.whatsapp_preferences.xml" . يحتوي على معلومات حول ملف تعريف حساب WhatsApp. يوجد الملف على المسار: '/data/data/com.whatsapp/shared_prefs/' .
  
  
  ملف مقتطف المحتوى

  <?xml version="1.0" encoding="ISO-8859-1"?> … <string name="ph">9123456789</string> ( ,    WhatsApp) … <string name="version">2.17.395</string> ( WhatsApp) … <string name="my_current_status">Hey there! I am using WhatsApp.</string> (,    ) … <string name="push_name">Alex</string> (  ) … 

• ملف "registration.RegisterPhone.xml" . يحتوي على معلومات رقم الهاتف المرتبطة بحساب WhatsApp. يوجد الملف على المسار: '/data/data/com.whatsapp/shared_prefs/' .
  
  
  محتويات الملف

   <?xml version="1.0" encoding="ISO-8859-1"?> <map> <string name="com.whatsapp.registration.RegisterPhone.phone_number">9123456789</string> <int name="com.whatsapp.registration.RegisterPhone.verification_state" value="0"/> <int name="com.whatsapp.registration.RegisterPhone.country_code_position" value="-1"/> <string name="com.whatsapp.registration.RegisterPhone.input_phone_number">912 345-67-89</string> <int name="com.whatsapp.registration.RegisterPhone.phone_number_position" value="10"/> <string name="com.whatsapp.registration.RegisterPhone.input_country_code">7</string> <string name="com.whatsapp.registration.RegisterPhone.country_code">7</string> </map> 

• ملف 'axolotl.db' . يحتوي على مفاتيح التشفير وغيرها من البيانات اللازمة لتحديد صاحب الحساب. إنه موجود على طول المسار: '/data/data/com.whatsapp/databases/' .
• ملف "chatsettings.db" . يحتوي على معلومات تكوين التطبيق.
• الملف 'wa.db' . يحتوي على تفاصيل الاتصال. مثيرة للاهتمام للغاية (في الجانب الشرعي) وقاعدة بيانات مفيدة. في ذلك ، يمكن العثور على معلومات مفصلة حول جهات الاتصال المحذوفة.

يجب أيضًا الانتباه إلى الدلائل التالية:

• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Images /' . يحتوي على ملفات الصور المنقولة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Voice Notes /' . يحتوي على رسائل صوتية في ملفات بتنسيق .OPUS.
• الدليل '/data/data/com.whatsapp/cache/Profile Pictures /' . يحتوي على ملفات الرسوم - صور جهات الاتصال.
• الدليل '/data/data/com.whatsapp/files/Avatars/' . يحتوي على ملفات صور - صور مصغرة لصور جهات الاتصال. تحتوي هذه الملفات على الامتداد ".j" ، ومع ذلك ، فهي ملفات صور بتنسيق JPEG (JPG).
• الدليل '/data/data/com.whatsapp/files/Avatars/' . يحتوي على ملفات الصور - الصورة والصورة المصغرة للصورة المثبتة كأفاتار من قبل صاحب الحساب.
• الدليل '/data/data/com.whatsapp/files/Logs/' . يحتوي على سجل تشغيل البرنامج (ملف 'whatsapp.log') ونسخ احتياطية من سجلات تشغيل البرنامج (ملفات ذات أسماء التنسيق whatsapp-yyyy-mm-dd.1.log.gz).

ملفات سجل WhatsApp:

• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Audio /' . يحتوي على الملفات الصوتية المستلمة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Audio / Sent /' . يحتوي على الملفات الصوتية المرسلة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Images /' . يحتوي على ملفات الصور المستلمة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Images / Sent /' . يحتوي على ملفات الصور المرسلة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Video /' . يحتوي على ملفات الفيديو المستلمة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Video / Sent /' . يحتوي على ملفات الفيديو المحملة.
• الدليل '/ data / media / 0 / WhatsApp / Media / WhatsApp Profile Photos /' . يحتوي على ملفات صور مرتبطة بمالك حساب WhatsApp.
• لتوفير مساحة في ذاكرة هاتف Android الذكي ، يمكن تخزين بعض بيانات WhatsApp على بطاقة SD. على بطاقة SD ، في الدليل الجذر ، يوجد دليل "WhatsApp" حيث يمكن العثور على القطع الأثرية التالية لهذا البرنامج:
  
  
  
• الدليل ".Share" ( '/mnt/sdcard/WhatsApp/.Share/' ). يحتوي على نسخ من الملفات التي تم نقلها إلى مستخدمي WhatsApp الآخرين.
• الدليل ".trash" ( '/mnt/sdcard/WhatsApp/.trash/' ). يحتوي على الملفات المحذوفة.
• دليل "قواعد البيانات" ( '/ mnt / sdcard / WhatsApp / Databases /' ). يحتوي على نسخ احتياطية مشفرة. يمكن فك تشفيرها في وجود ملف "المفتاح" ، المستخرج من ذاكرة الجهاز الذي تم تحليله.
  
  الملفات الموجودة في الدليل الفرعي "قواعد البيانات" :
  
  
  
• دليل 'الوسائط' ( '/ mnt / sdcard / WhatsApp / Media /' ). يحتوي على الدلائل الفرعية "WallPaper" ، "WhatsApp Audio" ، "WhatsApp Images" ، "WhatsApp Profile Photos" ، "WhatsApp Video" ، "WhatsApp Voice Notes" ، والتي فيها ملفات الوسائط المتعددة المستلمة والمرسلة (ملفات الصور ، ملفات الفيديو ، الرسائل الصوتية ، الصور المرتبطة بملف تعريف صاحب حساب WhatsApp ، وورق الحائط).
• دليل "صور الملف الشخصي" ( '/ mnt / sdcard / WhatsApp / Profile Photos /' ). يحتوي على ملفات صور مرتبطة بملف تعريف صاحب حساب WhatsApp.
• في بعض الأحيان ، قد يكون الدليل 'files' ( '/ mnt / sdcard / WhatsApp / Files /' ) موجودًا على بطاقة SD. يحتوي هذا الدليل على ملفات تخزن إعدادات البرنامج وتفضيلات المستخدم.

ميزات تخزين البيانات في بعض طرز الأجهزة المحمولة

على بعض الأجهزة المحمولة التي تعمل بنظام Android ، قد يتم تخزين عناصر WhatsApp في مكان آخر. هذا بسبب التغير في مساحة تخزين بيانات التطبيق بواسطة برنامج نظام الجهاز المحمول. لذلك ، على سبيل المثال ، تتمتع أجهزة Xiaomi المحمولة بوظيفة إنشاء مساحة عمل ثانية ("SecondSpace"). عند تنشيط هذه الوظيفة ، يتغير موقع البيانات. لذلك ، إذا كان في جهاز محمول عادي يعمل بنظام التشغيل Android OS ، يتم تخزين بيانات المستخدم في الدليل '/ data / user / 0 /' (وهو رابط إلى المعتاد / / data / data / ' ) ، ثم يتم تخزين بيانات تطبيق مساحة العمل الثانية في الدليل '/ data / user / 10 /' . هذا هو ، على سبيل المثال ، موقع الملف 'wa.db' :

• في هاتف ذكي Android عادي: /data/user/0/com.whatsapp/databases/wa.db ' (أي ما يعادل ' /data/data/com.whatsapp/databases/wa.db ') ؛
• في مساحة العمل الثانية لهاتف Xiaomi الذكي: '/data/user/10/com.whatsapp/databases/wa.db' .

التحف واتساب على جهاز iOS

على عكس Android OS ، في تطبيق iOS WhatsApp يتم نقل بيانات التطبيق إلى نسخة احتياطية (iTunes backup). لذلك ، لا يتطلب استخراج البيانات من هذا التطبيق استخراج نظام الملفات أو إنشاء ملف تفريغ ذاكرة فعلي للجهاز قيد التحقيق. يتم تضمين معظم المعلومات ذات الصلة في قاعدة بيانات "ChatStorage.sqlite" ، والتي تقع على طول المسار: '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/' (في بعض البرامج ، يتم عرض هذا المسار باسم "AppDomainGroup" -group.net.whatsapp.WhatsApp.shared ' ).

هيكل 'ChatStorage.sqlite' :


الأكثر إفادة في قاعدة بيانات ChatStorage.sqlite هي الجداول ZWAMESSAGE و ZWAMEDIAITEM .

مظهر الجدول "ZWAMESSAGE" :



ظهور الجدول "ZWAMEDIAITEM" :



جداول قاعدة البيانات الأخرى المهمة "ChatStorage.sqlite" هي:

• "ZWAPROFILEPUSHNAME" . يتوافق مع معرف WhatsApp مع اسم جهة الاتصال ؛
• "ZWAPROFILEPICTUREITEM" . يرتبط معرف WhatsApp مع الاتصال الرمزية ؛
• "Z_PRIMARYKEY" . يحتوي الجدول على معلومات عامة حول قاعدة البيانات هذه ، مثل إجمالي عدد الرسائل المخزنة ، إجمالي عدد الدردشات ، إلخ.

أيضًا ، عند البحث في WhatsApp على جهاز محمول يعمل بنظام iOS ، يلزمك الانتباه إلى الملفات التالية:

• ملف "BackedUpKeyValue.sqlite" . يحتوي على مفاتيح التشفير وغيرها من البيانات اللازمة لتحديد صاحب الحساب. إنه موجود على طول المسار: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• ملف "ContactsV2.sqlite" . يحتوي على معلومات حول جهات اتصال المستخدم ، مثل الاسم الكامل ورقم الهاتف وحالة الاتصال (في شكل نص) ، معرف WhatsApp ، إلخ. إنه موجود على طول المسار: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• ملف "Consumer_version" . يحتوي على رقم إصدار تطبيق WhatsApp المثبت. إنه موجود على طول المسار: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ .
• ملف 'current_wallpaper.jpg' . يحتوي على خلفية خلفية WhatsApp الحالية. إنه موجود على طول المسار: /private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ . في الإصدارات القديمة من التطبيق ، يتم استخدام الملف "خلفية" ، والذي يقع على طول المسار: '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/' .
• ملف "blockcontacts.dat" . يحتوي على معلومات حول جهات الاتصال المحظورة. إنه موجود على طول المسار: /private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/ .
• ملف "pw.dat" . يحتوي على كلمة مرور مشفرة. إنه موجود على طول الطريق: "/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/" .
• ملف 'net.whatsapp.WhatsApp.plist' (أو ملف 'group.net.whatsapp.WhatsApp.shared.plist' ). يحتوي على معلومات حول ملف تعريف حساب WhatsApp. يوجد الملف على المسار: "/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Library/Preferences/" .

يجب أيضًا الانتباه إلى الدلائل التالية:

• الدليل '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/Media/Profile/' . يحتوي على صور مصغرة لجهات الاتصال ، والمجموعات (ملفات ذات ملحق الإبهام ) ، وأفاتار جهات الاتصال ، وآلهة لصاحب حساب WhatsApp (ملف 'Photo.jpg' ).
• الدليل '/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/ الرسائل / الوسائط /' . يحتوي على ملفات الوسائط المتعددة والصور المصغرة الخاصة بهم
• دليل '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Documents/' . يحتوي على سجل البرنامج (ملف 'calls.log' ) ونسخ احتياطية لسجلات البرنامج (ملف 'calls.backup.log' ).
• الكتالوج "/private/var/mobile/Applications/group.net.whatsapp.WhatsApp.shared/stickers/" . يحتوي على ملصقات (ملفات بتنسيق ".webp" ).
• دليل '/private/var/mobile/Applications/net.whatsapp.WhatsApp/Library/Logs/' . يحتوي على سجلات البرنامج.

WhatsApp القطع الأثرية على ويندوز

WhatsApp القطع الأثرية على ويندوز يمكن العثور عليها في عدة أماكن. بادئ ذي بدء ، هذه دلائل تحتوي على ملفات قابلة للتنفيذ ومساعدة البرنامج (لنظام التشغيل Windows 8/10):

• 'C: \ ملفات البرنامج (x86) \ WhatsApp \'
• 'C: \ Users \٪ ملف تعريف المستخدم٪ \ AppData \ Local \ WhatsApp \'
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ AppData \ Local \ VirtualStore \ Program Files (x86) \ WhatsApp \'

في الدليل 'C: \ Users \٪ ملف تعريف المستخدم٪ \ AppData \ Local \ WhatsApp \' يوجد ملف السجل 'SquirrelSetup.log' ، والذي يحتوي على معلومات حول التحقق من التحديثات وتثبيت البرنامج.

في الدليل 'C: \ Users \٪ ملف تعريف المستخدم٪ \ AppData \ Roaming \ WhatsApp \' هناك عدة أدلة فرعية:


يحتوي الملف 'main-process.log' على معلومات حول تشغيل برنامج WhatsApp.

يحتوي الدليل الفرعي "قواعد البيانات" على الملف "Databases.db" ، لكن هذا الملف لا يحتوي على أي معلومات حول الدردشات أو جهات الاتصال.

الأكثر إثارة للاهتمام من وجهة نظر الطب الشرعي هي الملفات الموجودة في دليل "ذاكرة التخزين المؤقت" . في الأساس ، هذه ملفات لها أسماء 'f _ *******' (حيث * عبارة عن رقم من 0 إلى 9) تحتوي على ملفات ووثائق متعددة الوسائط مشفرة ، ولكن من بينها أيضًا ملفات غير مشفرة. هناك أهمية خاصة للملفات "data_0" و "data_1" و "data_2" و "data_3" الموجودة في نفس الدليل الفرعي. تحتوي الملفات "data_0" و "data_1" و "data_3" على روابط خارجية لملفات ومستندات الوسائط المتعددة المشفرة المنقولة.


أيضًا ، قد يحتوي الملف 'data_3' على ملفات صور.

يحتوي الملف 'data_2' على تجسدات جهات الاتصال (يمكن استعادتها من خلال البحث في رؤوس الملفات).

الصور الرمزية الموجودة في الملف 'data_2' :


وبالتالي ، لا يمكن العثور على الدردشات نفسها في ذاكرة الكمبيوتر ، ولكن يمكنك العثور على:

• ملفات الوسائط المتعددة ؛
• المستندات المرسلة باستخدام WhatsApp
• معلومات حول جهات اتصال صاحب الحساب.

أعمال WhatsApp على MacOS

على MacOS ، يمكنك العثور على أنواع WhatsApp الفنية مثل تلك الموجودة على Windows.

توجد ملفات البرنامج في الدلائل:

• 'C: \ Applications \ WhatsApp.app \'
• 'C: \ Applications \ ._ WhatsApp.app \'
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ التفضيلات \'
• "C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Logs \ WhatsApp \ '
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ حالة التطبيق المحفوظة \ WhatsApp.savedState \'
• "C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ البرامج النصية للتطبيق \"
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ دعم التطبيق \ CloudDocs \'
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ دعم التطبيق \ WhatsApp.ShipIt \'
• "C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Containers \ com.rockysandstudio.app-for-whatsapp \ '
• "C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Mobile Documents \ <text variable> WhatsApp \ Accounts"
  يحتوي هذا الدليل على أدلة فرعية أسماءها أرقام هواتف مرتبطة بمالك حساب WhatsApp.
• 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Caches \ WhatsApp.ShipIt \'
  يحتوي هذا الدليل على معلومات حول تثبيت البرنامج.
• 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Pictures \ iPhoto.photolibrary Library \ Masters \' ، 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Pictures \ iPhoto.photolibrary Library \ Photo \ Thumbnails \'
  تحتوي هذه الدلائل على ملفات مساعدة للبرنامج ، بما في ذلك الصور والصور المصغرة لجهات اتصال WhatsApp.
• 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Caches \ WhatsApp \'
  يحتوي هذا الدليل على العديد من قواعد بيانات SQLite التي يتم استخدامها لتخزين البيانات مؤقتًا.
• 'C: \ المستخدمون \٪ ملف تعريف المستخدم٪ \ المكتبة \ دعم التطبيق \ WhatsApp \'
  يحتوي هذا الدليل على عدة أدلة فرعية:
  
  
  
  
  يحتوي الدليل 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Application Support \ WhatsApp \ Cache \' على الملفات 'data_0' و 'data_1' و 'data_2' و 'data_3' والملفات ذات الأسماء 'f _ **** *** ' (حيث * هو رقم من 0 إلى 9). تم توضيح المعلومات حول المعلومات التي تحتويها هذه الملفات في قسم "WhatsApp Windows Artifacts".
  
  قد يحتوي الدليل 'C: \ Users \٪ ملف تعريف المستخدم٪ \ Library \ Application Support \ WhatsApp \ IndexedDB \' على ملفات وسائط متعددة (لا تحتوي الملفات على ملحقات).
  
  يحتوي الملف 'main-process.log' على معلومات حول تشغيل برنامج WhatsApp.

المقالات التالية في هذه السلسلة:





Group-IB تعرف كل شيء عن الجريمة السيبرانية ، لكنها تحكي عن الأشياء الأكثر إثارة للاهتمام.

قناة Telegram المليئة بالإثارة (https://t.me/Group_IB) حول أمن المعلومات والمتسللين والهجمات الإلكترونية وقراصنة الإنترنت وقراصنة الإنترنت. التحقيق في الجريمة السيبرانية المثيرة عن طريق الخطوات والحالات العملية باستخدام تقنيات Group-IB ، وبطبيعة الحال ، توصيات حول كيفية تجنب الوقوع ضحية على الإنترنت.

قناة YouTube Group-IB
Group-IB Photowire on Instagram www.instagram.com/group_ib
تويتر أخبار قصيرة twitter.com/GroupIB

Group-IB هي واحدة من المطورين الرائدين لحلول الكشف عن الهجمات السيبرانية ومنعها واكتشاف الاحتيال وحماية الملكية الفكرية في شبكة مقرها في سنغافورة.