Elcomsoft iOS Forensic Toolkit

Криминалистический анализ устройств iPhone/iPad/iPod на основе Apple iOS

Elcomsoft iOS Forensic Toolkit – специализированный продукт для криминалистического исследования устройств на основе Apple iOS. iOS Forensic Toolkit позволяет экспертам правоохранительных органов производить сбор информации и проводить судебные и компьютерно-технические экспертизы устройств iPhone, iPad и iPod производства компании Apple, работающих под управлением iOS.

С помощью iOS Forensic Toolkit возможно получить полный доступ к информации, хранящейся в поддерживаемых устройствах. С помощью iOS Forensic Toolkit специалисты могут получить доступ к расшифрованному образу файловой системы устройства, расшифровать коды, пароли и прочую защищённую информацию. Доступ к основному массиву данных осуществляется в режиме реального времени.

Поддерживаемые методы извлечения:

• Расширенный логический анализ (резервные копии, медиа-файлы, системные журналы, файлы приложений) (для всех устройств и всех версий iOS)
• Агент-экстрактор (для всех 64-бит устройств, совместимых версий iOS)
• checkm8 (в стадии бета-тестирования) (совместимые устройства, все версии iOS за исключением 7.x)
• Посредством джейлбрейка (для всех устройств и версий iOS, для которых доступен джейлбрейк)
• Взлом кода блокировки, физический анализ (совместимые 32-разрядные устройства)

Возможности продукта

• Универсальное решение «всё в одном» для логического и низкоуровневого извлечения данных
• Извлечение файловой системы независимо от версии iOS для устройств от iPhone 5s до iPhone X включительно через Bootrom
• Взлом кода блокировки экрана из 4 и 6 цифр для iPhone 4, 5 и iPhone 5c через режим DFU
• Снятие и расшифровка образа раздела данных для моделей iPhone 4, 5 и 5с
• Взлом кода блокировки экрана, снятие и расшифровка образа раздела данных для моделей iPhone 4s, iPod Touch 5, iPad 2 и 2 с использованием микроконтроллера Raspberry Pi Pico
• Извлечение файловой системы и расшифровка связки ключей посредством агента-экстрактора без джейлбрейка
• Частичное извлечение файловой системы и связки ключей в режиме BFU (до первой разблокировки) для устройств поколений iPhone 5s...iPhone X с заблокированным экраном сразу после включения или перезагрузки
• Доступ к полному массиву информации
• Извлечение информации из устройств-компаньонов Apple Watch и приставок Apple TV
• Обеспечивается аутентичность исследуемой информации
• Поддерживаемые методы извлечения данных: низкоуровневое извлечение файловой системы для 64-разрядных устройств с джейлбрейком и без него, логическое извлечение для всех типов устройств
• Получение подробной информации об устройстве и учётной записи пользователя
• Извлечение медиа-файлов: фотографий, видео, книг и файлов из iTunes, даже если на резервную копию установлен пароль
• Извлечение файлов приложений
• Восстановление данных системного хранилища (keychain), паролей и зашифрованных данных
• Автоматическое ведение журнала всех следственных действий
• Поддержка всех моделей устройств с доступным джейлбрейком
• Поддержка последних версий iOS и актуального модельного ряда устройств в режиме логического извлечения
• Доступны версии для Mac и Windows

Преимущества низкоуровневого доступа

Благодаря низкоуровневому доступу к устройству, iOS Forensic Toolkit может извлечь заметно больше информации, чем доступно в резервных копиях. Расшифровываются такие данные, как пароли к сайтам из связки ключей keychain, SMS, электронная почта, логины и пароли к программам.

Использование уязвимости в коде загрузчика ряда моделей iPhone (поколения с iPhone 5s до iPhone X включительно) позволяют проводить частичное извлечение файловой системы в режиме BFU (до первой разблокировки) для устройств с заблокированным экраном сразу после включения или перезагрузки.

Среди криминалистически важных данных содержится такая информация, как географическое положение устройства в каждый момент времени, карты и маршруты, рассчитанные с помощью Google Maps, история посещений интернет ресурсов, а также практически вся информация, набранная на устройстве с помощью виртуальной клавиатуры.

Криминалистически чистое извлечение через эксплойт загрузчика для ряда моделей

В Elcomsoft iOS Forensic Toolkit 8.0 для компьютеров Mac доступен режим криминалистически чистого извлечения через эксплойт загрузчика. В этом режиме доступно извлечение данных из моделей iPhone 5s, iPhone 6, 6 Plus, 6s, 6s Plus и iPhone SE первого поколения, iPhone 7, 7 Plus, 8, 8 Plus и iPhone X, работающих под управлением любых версий iOS от iOS 8 до iOS 15.

Новый метод извлечения гарантирует криминалистическую чистоту и неизменность извлекаемых данных, а также повторяемость результатов при точном следования инструкции. Для работы метода не требуется загрузка оригинальной версии операционной системы iPhone; никакие данные на устройстве не модифицируются.

Важное отличие метода, использующего эксплойт загрузчика от других низкоуровневых методов анализа – доказываемая идентичность повторно извлечённых данных, полученных спустя время в новой сессии работы с устройством. Это означает, что после использования метода можно провести повторное извлечение и получить полностью идентичный результат (при условии, что устройство не включалось и не перезагружалось после первого извлечения, а было сразу выключено и оставалось выключенным до следующей сессии).

Преимущества нашего решения:

• Гарантированная целостность и неизменность всех разделов устройства.
• Повторяемый, верифицируемый результат с вычислением контрольной суммы.
• Любые модификации происходят только в оперативной памяти устройства.
• Интерактивные инструкции по установке эксплойта.
• Поддержка всех версий iOS от 8.0 до 15.4.1 включительно.
• Поддержка заблокированных устройств в режиме BFU, обход ограничений USB.

Поддержка 64-разрядных устройств

Уникальный механизм низкоуровневого доступа позволяет извлечь существенное количество информации из устройств, оборудованных сопроцессором Secure Enclave. Извлекается как полный образ файловой системы устройства в формате TAR, так и содержимое связки ключей. Для устройств поколений iPhone 5s...iPhone X извлечение файловой системы и расшифровка связки ключей доступны независимо от установленной на устройство версии iOS. Для ряда устройств поддерживается извлечение посредством агента-экстрактора, остальные устройства поддерживаются через джейлбрейк.

Взлом кода блокировки и физический анализ iPhone 4, 4s, 5 и 5c

Для старых моделей iPhone, включающих модели iPhone 4, 4s, 5 и 5c, доступна полноценная поддержка, включающая как взлом кода блокировки, так и создание точного образа раздела данных, извлечение и расшифровку связки ключей.

Инструментарий позволяет подобрать код блокировки экрана к смартфонам iPhone 4, 4s, 5 и iPhone 5c, что позволяет разблокировать такие устройства с неизвестным паролем. Атака работает через режим обновления прошивки DFU с максимально возможной скоростью. Всё, что требуется для её проведения - компьютер под управлением macOS и обычный кабель USB - Lightning (кабели Lightning - Type-C не поддерживаются); для модели iPhone 4s дополнительно потребуется микроконтроллер Raspberry Pi Pico со специальной прошивкой, которая входит в состав продукта.

Скорость перебора паролей - максимально возможная для аппаратной платформы, и составляет 13.6 паролей в секунду для iPhone 5 и 5с, 6.6 паролей в секунду для iPhone 4. Все возможные комбинации паролей из 4 цифр перебираются за 12 минут (iPhone 5/5c) или 26 минут (iPhone 4).

Пароли, состоящие из 6 цифр, перебираются в течение 21 часа, однако реальное время разблокировки может быть значительно меньше. В процессе атаки инструментарий в первую очередь опробует самые распространённые пароли, во вторую – пароли, в которых может быть закодирована дата рождения. Лишь в том случае, если не сработает ни одна из этих атак, время отработки которых составляет полтора часа, программа включит режим полного перебора.

Возможность взлома кода блокировки доступна исключительно в редакции для Mac.

Обратите внимание: Поддержка iPhone 4, 4s, 5 и 5c доступна исключительно в редакции для Mac. Поддержка iPhone 4s реализована посредством аппаратного модуля - микроконтроллера Raspberry Pi Pico со специальной прошивкой, которая входит в состав продукта. Плата микроконтроллера приобретается отдельно. Для моделей, работающих под управлением iOS 4-7, физический анализ возможен без взлома кода блокировки.

Низкоуровневое извлечение файловой системы и cвязки ключей

Для доступа к данным устройств iPhone и iPad в процессе низкоуровневого извлечения используется специализированная программа-агент собственной разработки Элкомсофт. Использование агента-экстрактора позволяет быстро, эффективно и максимально безопасно извлечь полный образ файловой системы и расшифровать связку ключей с использованием программного агента собственной разработки.

Использование агента собственной разработки позволяет сделать процесс анализа значительно более удобным и совершенно безопасным. Агент не модифицирует системный раздел устройства и пользовательские данные, не перемонтирует файловую систему и не оставляет явных следов работы; худшее, что может произойти с устройством – перезагрузка в штатном режиме. При извлечении данных автоматически подсчитываются и сохраняются хэш-суммы. Кроме того, использование агента позволило добиться максимально возможной для каждой модели скорости передачи данных – до 2.5 ГБ в минуту. По завершении работы агент удаляется с устройства одной командой.

Помимо полного извлечения файловой системы доступен режим экспресс-извлечения. В этом режиме из файловой системы извлекаются только данные пользователя, но не файлы операционной системы. В системном разделе iOS содержатся исполняемые файлы и библиотеки, необходимые для работы операционной системы. За исключением случаев, когда пользователь устанавливает на устройство джейлбрейк, содержимое системного раздела совпадает на устройствах одной и той же модели, работающих под управлением одной и той же версии iOS, и не представляет ценности для расследования. Экспресс-режим позволяет сэкономить время и место на диске и упростить анализ извлечённых данных.

Агент-экстрактор демонстрирует высокую скорость, надёжность и совместимость, но для его установки требуется зарегистрировать Apple ID в программе Apple для разработчиков. В версии iOS Forensic Toolkit для Mac регистрация в программе для разработчиков рекомендуется, но не обязательна; для установки агента и извлечения данных можно использовать и обычные Apple ID.

Извлечение данных из Apple Watch и Apple TV

Решение ElcomSoft для извлечения данных из Apple Watch – единственное на рынке. Единственная альтернатива использованию iOS Forensic Toolkit – создание резервной копии iPhone, к которому привязаны часы Apple Watch. Извлечение данных непосредственно из часов Apple Watch позволяет оперативно получить доступ к важной информации, включая фотографии с метаданными EXIF, включающими данные о местоположении. В устройствах Apple Watch и Apple TV не предусмотрены локальные резервные копии в формате iTunes. Соответственно, в список доступных для извлечения данных входят медиа-файлы, системные журналы crash logs, данные приложений и информация об устройстве. Для доступа к данным часов Apple Watch необходимо проводное подключение устройства к компьютеру через отладочные контакты с использованием стороннего отладочного кабеля IBUS.

С устройств Apple TV зачастую возможно извлечение фотографий, если в учётной записи пользователя активирован сервис iCloud Photos. Устройства Apple TV не могут быть защищены кодом блокировки, что позволяет извлечь фотографии даже в случаях, когда телефон пользователя заблокирован, а пароль от iCloud неизвестен. Кроме того, для устройств Apple TV поддерживается извлечение связки ключей.

Логическое извлечение данных

У низкоуровневого метода извлечения данных есть ограничения: доступ к современным устройствам возможен только после установки джейлбрейка, который может быть не доступен для некоторых комбинаций аппаратного и программного обеспечения. Эти ограничения возможно обойти, использовав логическое извлечение данных.

Данные, полученные в результате логического извлечения, можно проанализировать в Elcomsoft Phone Viewer или сторонних приложениях, поддерживающих формат данных iTunes. Если полученная резервная копия зашифрована неизвестным паролем, нужно использовать Elcomsoft Phone Breaker для подбора пароля и расшифровки данных.

Если пароль на резервную копию не установлен, iOS Forensic Toolkit автоматически установит временный пароль «123», который сбрасывается по завершении процедуры. Использование временного пароля позволит успешно расшифровать keychain, который в противном случае был бы зашифрован аппаратным ключом.

Если устройство заблокировано неизвестным паролем, продукт может использовать для разблокировки lockdown-файлы, создаваемые на компьютере пользователя для упрощения авторизации. Файлы Lockdown действуют до первой перезагрузки устройства.

При помощи iOS Forensic Toolkit можно быстро извлечь полный набор медиа-файлов, включая фотографии, видеоролики, книги и другие медиа-данные. Данный режим предлагает оперативную альтернативу созданию резервных копий. Медиа-файлы успешно извлекаются во всех случаях, даже если установлен неизвестный пароль на резервные копии iTunes. Возможно извлечение из заблокированных устройств посредством lockdown-записей.

Поддержка заблокированных устройств

Если экран устройства заблокирован неизвестным паролем, но на устройстве установлен джейлбрейк, с помощью iOS Forensic Toolkit можно извлечь ограниченное количество данных: информацию о входящих звонках и SMS, WAL-файлы, системные журналы и журналы приложений, а также уведомления и входящие сообщения, полученные некоторыми программами для мгновенного обмена сообщениями в то время, когда экран устройства был заблокирован. Для просмотра извлечённой с помощью iOS Forensic Toolkit связки ключей keychain потребуется использовать Elcomsoft Phone Breaker.

При использовании логического извлечения разблокирование устройства возможно с помощью lockdown-файлов, извлечённых из компьютера пользователя.

При наличии lockdown-файла, из устройств под управлением iOS возможно извлечь дополнительную информацию даже в тех случаях, когда устройство ни разу не разблокировалось с момента включения или перезагрузки. Для устройств под управлением iOS 8 .. iOS 15.х:

	Базовая информация об устройстве	Расширенная информация об устройстве	Список приложений	Медиа-файлы	Резервная копия в формате iTunes
Устройство заблокировано, lockdown-файл отсутствует	Да	Нет	Нет	Нет	Нет
Устройство ни разу не разблокировалось с момента перезагрузки; есть lockdown-файл	Да	Да	Нет	Нет	Нет
Устройство хотя бы один раз разблокировалось с момента перезагрузки; есть lockdown-файл	Да	Да	Да	Да	Да

Совместимые устройства и методы извлечения

iOS Forensic Toolkit поддерживает низкоуровневое извлечение из моделей iPhone 4 - iPhone 12, 12 Pro, iPhone 12 mini и iPphone 12 Pro Max. Логическое извлечение доступно для всех моделей.

Таблица совместимости:

• Взлом кода блокировки: Для моделей iPhone 4, iPhone 4s, iPhone 5 и iPhone 5c через режим DFU ^[1][2].
• Для старых моделей (iPhone 4, 4s, 5 и 5c): Взлом кода блокировки, снятие и расшифровка образа раздела данных, извлечение и расшифровка связки ключей ^[1][2].
• Агент-экстрактор (без джейлбрейка): Извлечение файловой системы и расшифровка связки ключей для устройств с iOS 9 - 14.3 (до 15.1.1 для некоторых моделей). Также поддерживаются соответствующие модели iPad. Регистрация в программе Apple для разработчиков: обязательно (Windows)/опционально (macOS).
• С джейлбрейком: Для любой версии iOS, для которой доступен джейлбрейк.
• Прямое извлечение через уязвимость загрузчика: Гарантированная криминалистическая чистота извлечение; повторяемый, верифицируемый результат. Доступно для ряда моделей iPhone, к которым применим эксплойт уязвимости загрузчика checkm8 (от iPhone 5s до iPhone X). Извлечение образа файловой системы и связки ключей (для всех версий iOS начиная с 8.0). ^[1]
• Без джейлбрейка: Логическое извлечение, включая информацию об устройстве, резервные копии, файлы приложений, медиа-файлы и некоторые системные журналы, доступно для всех устройств независимо от версии iOS. Экран устройства должен быть разблокирован либо (для режима AFU и при условии, что не был активирован защитный режим USB) если доступен действительный файл lockdown.

Поддержка режимов DFU и Recovery

Поддержка режимов обновления прошивки (DFU) и восстановления (recovery) позволяет анализировать устройства, заблокированные после десяти неудачных попыток разблокировки, а также устройства с активированным режимом ограничений USB. Из устройств в режиме восстановления можно извлечь информацию об идентификаторе модели, ECID/UCID, серийном номере устройства, а в некоторых случаях - и его IMEI. Кроме того, в режиме восстановления определяется версия загрузчика (bootloader), что позволяет определить точную версию iOS либо диапазон версий iOS, под управлением которых может работать устройство.

Расшифровка данных «на лету»

В отличие от ранее используемых методов расшифровки, Elcomsoft iOS Forensic Toolkit работает с устройством напрямую, что позволяет расшифровывать данные «на лету». При наличии исследуемого устройства становится возможным извлечь из устройства оригинальные ключи, с помощью которых были зашифрованы данные. С помощью этих ключей расшифровка осуществляется в реальном времени – практически мгновенно.

Восстановление данных системного хранилища (keychain)

Elcomsoft iOS Forensic Toolkit предоставляет криминалистам полный доступ к информации, хранящейся в защищённом системном хранилище (keychain). В системном хранилище записываются такие данные, как логины и пароли к сайтам, почте, программам и прочим ресурсам. Расшифровка данных из keychain должна осуществляться на устройстве, экран которого остаётся разблокированным в течение всего процесса. Для поддержания экрана в разблокированном состоянии в состав iOS Forensic Toolkit включена соответствующая утилита, отключающая автоматическую блокировку экрана.

Если пароль блокировки неизвестен: доступ посредством lockdown-файлов

При извлечении данных из заблокированного устройства доступ к информации можно получить с помощью актуального lockdown-файла, извлечённого из компьютера пользователя. Для использования lockdown-файла после перезагрузки устройства необходимо разблокировать устройство паролем.

Для заблокированных устройств поколений iPhone 5s...iPhone X с неизвестным паролем блокировки доступен специальный режим частичного извлечения файловой системы независимо от установленной версии iOS. Данный режим подходит и для устройств, находящихся в защитном режиме USB restricted mode.

Системные требования

iOS Forensic Toolkit для Mac OS X работает на компьютерах Mac с архитектурой процессоров Intel. Поддерживается система macOS с версии 10.12 по 10.15.

Версия для Microsoft Windows работает на компьютерах под управлением Windows 7, 8, 8.1, 10. Требуется установка последней версии iTunes.

Работа программы в других версиях Windows и macOS возможна, но не гарантируется.

iOS Forensic Toolkit для macOS работает на компьютерах Mac с архитектурой процессоров Intel. Поддерживаются версии macOS с 10.13 (High Sierra) до 12 (Monterey) с установленным приложением iTunes последней версии. Версия для Windows работает на компьютерах с 32- и 64-разрядными версиями Windows 10, Windows 8/8.1 и Windows 7 с последней версией iTunes (автономная версия или установленная из Microsoft Store). Работа программы в других версиях Windows и macOS возможна, но не гарантируется.

Совместимые устройства и платформы

iOS Forensic Toolkit поддерживает низкоуровневое извлечение из моделей iPhone 4 - iPhone 12, 12 Pro, iPhone 12 mini и iPphone 12 Pro Max. Логическое извлечение доступно для всех моделей.

Таблица совместимости:

• iPhone 4, 5 и 5c: подбор кода блокировки через режим ^[1]
• iPhone 4, 4s, 5 и 5c: физическое извлечение с извлечением и расшифровкой раздела данных и связки ключей ^[1][2]
• iPhone 5s, 6, 6 Plus, 6s, 6s Plus, SE (первого поколения), 7, 7 Plus, 8, 8 Plus, X: криминалистически чистое извлечение через checkm8 ^[1]
• 64-разрядные устройства через джейлбрейк: образ файловой системы, связка ключей
• Частичное извлечение файловой системы и связки ключей в режиме BFU для заблокированных моделей iPhone от iPhone 5s до iPhone X
• Apple TV 4 (проводное подключение) и Apple TV 4K (беспроводное подключение через Xcode ^[1])
• Apple Watch (всех поколений); требуется адаптер IBUS от стороннего производителя
• Извлечение посредством агента-экстрактора: доступно для совместимых устройств
• Расширенный логический анализ: доступен для всех моделей

Расширенный логический анализ включает в себя:

• Подробную информацию об устройстве
• Резервную копию в формате iTunes (в т.ч. большую часть записей из связки ключей)
• Список установленных приложений
• Медиа-файлы (в том числе для случаев, когда резервная копия защищена паролем)
• Файлы приложений (в том числе для случаев, когда резервная копия защищена паролем)

Специализированный инструмент для извлечения данных из устройств, работающих под управлением Apple iOS методами физического и логического анализа.