Luận văn: Nghiên cứu điều tra số trên thiết bị di động thông minh

Luận văn thạc sĩ nghiên cứu quy trình điều tra số trên thiết bị di động. Phân tích, thu thập và phục hồi bằng chứng số trên hệ điều hành Android.

• Tác giả: Hoàng Thanh Nam
• Người hướng dẫn: PGS. Nguyễn Linh Giang
• Trường học: Trường Đại Học Bách Khoa Hà Nội
• Chuyên ngành: Truyền Thông Và Mạng Máy Tính
• Đề tài: Nghiên Cứu Điều Tra Số Trên Thiết Bị Di Động Thông Minh
• Loại tài liệu: Luận Văn Thạc Sĩ Kỹ Thuật
• Năm xuất bản: 2016
• Địa điểm: Hà Nội

Tóm tắt

I. Khái niệm và tầm quan trọng của Điều tra số trên thiết bị di động

Điều tra số (Digital Forensics) là một lĩnh vực khoa học hiện đại giúp phát hiện, thu thập và phân tích bằng chứng số từ các thiết bị điện tử, đặc biệt là thiết bị di động Android. Trong thời đại số hóa, điều tra số trên Android đóng vai trò cực kỳ quan trọng trong các vụ án tội phạm máy tính, mạng, lừa đảo điện tử và các hành vi vi phạm pháp luật khác. Luận văn này tập trung vào quy trình điều tra số chuyên sâu cho nền tảng Android, cung cấp các phương pháp kỹ thuật pháp y số tiêu chuẩn quốc tế. Sự phát triển nhanh chóng của công nghệ di động đòi hỏi các chuyên gia pháp y số phải nắm vững các công cụ điều tra số hiệu quả và quy trình bảo vệ bằng chứng nghiêm ngặt.

1.1. Định nghĩa Điều tra số và Bằng chứng số

Bằng chứng số là thông tin được lưu trữ hoặc truyền dẫn dưới dạng nhị phân, có thể sử dụng trong tòa án. Điều tra số bao gồm các quy trình: xác định, bảo vệ, trích xuất, và phân tích dữ liệu từ thiết bị. Các quy định pháp lý tại Mỹ và các nước yêu cầu bằng chứng số phải được thu thập theo tiêu chuẩn SWGDE, ISO, và FBI.

1.2. Ứng dụng thực tiễn trong điều tra tội phạm

Điều tra số Android được ứng dụng trong các trường hợp: tội phạm mạng, lừa đảo tài chính, quấy rối trực tuyến, buôn bán nội dung bất hợp pháp. Thiết bị Android lưu trữ dữ liệu nhạy cảm như tin nhắn SMS, WhatsApp, email, cuộc gọi, GPS, ảnh, giúp các điều tra viên xây dựng chứng cứ mạnh mẽ.

II. Quy trình Điều tra số trên thiết bị Android

Quy trình điều tra số Android theo tiêu chuẩn quốc tế bao gồm các bước cụ thể, tuân thủ quy trình chuẩn (SOP - Standard Operating Procedures) của các tổ chức như ACPO, FBI, NIJ. Mỗi giai đoạn phải được ghi chép chi tiết, bảo đảm tính toàn vẹn dữ liệu và pháp lý của bằng chứng. Quá trình này bao gồm: tiếp nhận vụ việc, nhận dạng thiết bị, chuẩn bị, bảo vệ bằng chứng, xử lý, kiểm tra xác nhận, và lập báo cáo. Các công cụ điều tra như Autopsy, Oxygen Forensics, WinHex, Scalpel được sử dụng để trích xuất dữ liệu an toàn và hiệu quả.

2.1. Các giai đoạn chính của quy trình

Tiếp nhận vụ điều tra: ghi nhận thông tin vụ việc. Nhận dạng thiết bị: xác định model, phiên bản Android, số seri. Bảo vệ bằng chứng: sử dụng Faraday bag, ngắt kết nối mạng. Xử lý: sử dụng công cụ chuyên dụng để trích xuất. Kiểm tra: xác nhận dữ liệu bằng thuật toán MD5, SHA. Báo cáo: lập tài liệu chi tiết kết quả điều tra.

2.2. Thu thập và lưu trữ bằng chứng

Dữ liệu từ thiết bị Android được lưu trữ trong các thư mục: /data, /data/system, /data/data chứa cơ sở dữ liệu ứng dụng. Bản sao dữ liệu (forensic image) được tạo với hash value để xác minh tính toàn vẹn. Các file cơ sở dữ liệu như contacts.db, messages.db, call_log.db chứa thông tin quan trọng cần trích xuất và giải mã.

III. Công cụ và kỹ thuật Điều tra số hiện đại

Các công cụ điều tra số chuyên dụng hiện nay cung cấp khả năng mạnh mẽ để phân tích bằng chứng số từ thiết bị Android. Autopsy là nền tảng forensics mở, hỗ trợ phân tích tệp hệ thống NTFS, FAT. Oxygen Forensics và AFLogical cho phép trích xuất dữ liệu ứng dụng như WhatsApp, Gmail, lịch sử duyệt web. WinHex và Scalpel được sử dụng để khôi phục file bị xóa, phát hiện dữ liệu ẩn. Các kỹ thuật Chip-off, JTAG được áp dụng khi thiết bị bị khóa. SQLite Browser giúp mở và phân tích cơ sở dữ liệu SQLite chứa thông tin SMS, cuộc gọi, liên lạc Gmail.

3.1. Các công cụ điều tra chính

Autopsy: phân tích hình ảnh forensics, xem tệp hệ thống. Oxygen Forensics: trích xuất dữ liệu ứng dụng như WhatsApp, lịch sử cuộc gọi. WinHex: chỉnh sửa hex, khôi phục dữ liệu. Scalpel: phục hồi file bị xóa dựa trên file signature. JADX, IDA Pro: giải mã ứng dụng Android (APK).

3.2. Kỹ thuật khôi phục dữ liệu bị xóa

Dữ liệu bị xóa vẫn tồn tại trong bộ nhớ trong cho đến khi bị ghi đè. Scalpel quét file signature để phát hiện file bị xóa. Oxygen Forensics khôi phục tin nhắn, ảnh, video từ phân vùng empty space. Công cụ Chip-off trích xuất dữ liệu từ chip bộ nhớ nếu phần mềm không khôi phục được.

IV. Phân tích ứng dụng WhatsApp và các ứng dụng tin nhắn

WhatsApp là ứng dụng nhắn tin phổ biến nhất, chứa nhiều bằng chứng pháp y quan trọng. Cơ sở dữ liệu WhatsApp được lưu tại /data/data/com.whatsapp/databases/ với file msgstore.db, wa.db mã hóa bằng SQLCipher. Luận văn này cung cấp phương pháp giải mã cơ sở dữ liệu WhatsApp để trích xuất tin nhắn, tệp tin, lịch sử cuộc gọi, xác định thời gian gửi nhận, và danh tính người dùng. Ngoài ra, các file backup trên Google Drive, backup tải về cũng chứa dữ liệu quan trọng. Các kỹ thuật phân tích bao gồm: trích xuất lưu trữ cấp ứng dụng, giải mã bằng key file master.key, phục hồi tin nhắn bị xóa từ unallocated space.

4.1. Cơ sở dữ liệu và lưu trữ WhatsApp

msgstore.db chứa tin nhắn, người gửi, thời gian, trạng thái. wa.db lưu danh bạ, cài đặt, thông tin liên lạc. Media folder (/WhatsApp/Media) lưu ảnh, video, tài liệu tải về. Backup folder chứa bản sao tự động từ Google Drive. File master.key dùng để mã hóa/giải mã toàn bộ dữ liệu ứng dụng.

4.2. Kỹ thuật phân tích tin nhắn và khôi phục

Chuyển đổi thời gian Unix thành định dạng có thể đọc. Trích xuất metadata như ID tin nhắn, loại nội dung, trạng thái đã gửi. Giải mã tin nhắn từ database dump bằng SQLCipher decoder. Phục hồi tin nhắn bị xóa bằng Scalpel, Autopsy trong unallocated space. Xác định người gửi/nhận thông qua phone number, contact name.

Trích đoạn nội dung tài liệu

CHƯƠNG 1. TÔNG QUAN VẺ KHOA HỌC ĐIẾU TRA SỐ.1 Khái niệm vẻ khoa học điều tra số.2 Ứng dịmg của điêu tra số.3 Các loại binh điều tra số.2 Đặc điểm của điều tra số 3 1.1 Tội phạm máy tính.2 Bang chứng số 6 1.3 Quy định bằng chứng số tại Mỹ lt 1.4 Yêu cầu để thừa nhận bằng chứng số.2 Quy định vẻ bằng chứng gắc 14 1.5 Xảo nhận tỉnh hợplệ cũa công cụ điêu tra số 15 1.6 Kiểu bằng chứng sé 16 1.1 Bằng chứng số máy tính. S11 HH n1 xe we lB 1.2 Các kiểu bằng clhững khảc. HH E111 1111 ca 20 CHUONG 2.

QUY TRINH DIEU TRA SO.1 Quy trình chung điều tra số 32 2.2 Bảo vệ và giám định hiện trường 25 2.3 Lập tải liệu hiện trường.4 Thu thập bằng chứng kởi 2.5 Danh dẫu, vận chuyển va hm trữ 37 3.8 Lập tải liệu bảo cáo và bảo cáo.2 Quy trình điều tra số trén thiét bi Android. S11 HH n1 xe wee Al 2.1 Tiếp nhận cuộc điều tra. S11 HH n1 xe wee AD 2 2.3 Nhận dang thiét bi AB 3 Chuẩn bị.4 Bảo vệ bằng chimg 50 5 Xử lý bằng chứng.6 Kiểm tra xác nhận 32 3.7 Lập tài liệuvà báo cáo.8 Trình bày vụ án 34 2 2.9 Tam trữ hồ sơ vụ án 34 2.3 Quy trình thu thập băng chứng 54 2.1 Thú tục ban đầu để báo vệ dữ liệu trên thiết bị.9 M6 phang lai hinh dang khéa mé hinh .10— Dữ liệu copy tit ‘data.11 —SOLite Browser Link 3.12 Dữ liệu bản ghỉ cuộc gọi Hình 3.13— Thông tin lịch sử cuộc gọi Tình 3.14 Gọi bằng trong file contacts2.15 —Các tập tin trong browser2.đb oxy Viewer SQLite Forensic.db trong SQI.15 Cúc ứng dụng AFLogical OSE Hình 3.17 Thông bảo hiển thị san khi chiỗt xuất haàn tắt.18— Thông tín trích xuất dụng csv Hình 3.10 - Thiết lập The J1AG.20— Kỹ thuật Chíp-đƒƒ- Hình 3.21 ~Các tùy chọn hình ảnh da WFinHex.22 Phát hiện phục hối thiét bj Android.23— Danh sách các thiết bị lưu trữ cá sẵn Hình 3. Danh sách file được phục hỗ, TRình 3.25— Ứng dụng siêu sao hai Tình 3.26— Xem dã liệu đữ bị xoá trên phẫu mầm Oxygen.27 Tập cấu hình sealpel.27 -Chạy công cụ Scalpel trong mét file dd.28— Thư mục dẫu ra sau khi chạy công cụ Šcalpel.

Dữ liệu khôi phục sau khi sử dụng Sealpel.30— IDumh sách liên lạc trên Gmail,.31 - Hộp thoại thông báo khôi phục danh sách liên lạc TRình 4.1 — Quy trinh thu thập chứng cứ vụ án.2 —Dũ liệu bên trong the muc /data/system .3 Xác nhận giá trị bản sao chứng cứ.4— Xem tín nhắn SMS từ cơ sở dữ liệt viii DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị. vi DANH MỤC VIẾT TẮT SWGDE Scientific Working Group on Digital Nhóm khoa học làm việc trên bằng Lvidence chứng số NH | National Institute of Justice Viện tư pháp quốc gia Hoa Kỳ ISO | Intemational Organization for Tổ chức tiêu chuận hóa quốc lễ Standardization FBI __| Federal Bureau of Investigation Cục điều tra liên bang, SOP | Standard Operating Procedures Quy trình chuân ACPO _| Association of Chief Police Officers | Liệp hội cảnh sát trướng MDS _| Message-Digest algorithm 5 Thuật toán hàm băm SHA | Sccure Hash Algorithm Thuật toán hàm băm an toàn RAM | Random Access Memory Tiộ nhớ truy cập ngẫu nhiên NTFS | New Technology File System Hệ thông tập ti công nghệ mới FAT | File Allocation Table Bang định vị tap tin PDA _ | Personal digital assistant Thiét bị trợ giúp cá nhân GPS __| Global Positioning Systems Thiết bị định vị 3.7 Phục hỏi dữ liệu bị xóa từ bộ nhớ trong. con „106 CHƯƠNG 4. THỰC NGHTEM PHAN TICH DIEU TRA SO.1 Giới thiêu tỉnh huéng 114 4.2 Thực hiện quy trinh điều tra.

sexy S11 HH n1 xe 11S 4.1 Tiếp nhận cuộc điều tra.2 Nhận đang thiết bị 115 4.4 Bão vệ chứng cử 118 4.5 Xủ lý bằng chứng. sexy S11 HH n1 xe „.6 Kiểm tra xác nhận 128 4.3 Đánh giá quả trình thực hiện quy trình. 1130 TAI LIEU THAM KHAO ASL PHU LUC L CAC CONG CY BIEU TRA SO «+132 POU LUC I. SU’ DUNG CONG CU AUTOSPY.

GIẢI Mà TẬP TIN CƠ SỬ DỮ LIEU UNG DUNG WHATSALP 142 iv Hình 4.5 Chuyén déi gia trị ngày giờ.6 — Dữ liệu chứa trên ứng dụng wÏafS4pp.7 — Cúc dp tin cơ sở dữ liệu của IŸhalsapp.8 Băng cơ sở dữ liệu wbaisapp Hình 4.0— Bảng sạÏde sequence.10— Thư mục baokup trên thê nhớ của ứng dụng wphalsapp.11 — Giả mã cơ sở đữ liệu ïYhatsapp.12— Nội dung tin nhdn trich xudt tir whatapps.13— Kết quả tìm kiếm từ khỏa Rookie.14— VỊ trí hưu trữ tập tín tải về.15— Trích xuấi tập tin bị xóa.9 M6 phang lai hinh dang khéa mé hinh .10— Dữ liệu copy tit ‘data.11 —SOLite Browser Link 3.12 Dữ liệu bản ghỉ cuộc gọi Hình 3.13— Thông tin lịch sử cuộc gọi Tình 3.14 Gọi bằng trong file contacts2.15 —Các tập tin trong browser2.đb oxy Viewer SQLite Forensic.db trong SQI.15 Cúc ứng dụng AFLogical OSE Hình 3.17 Thông bảo hiển thị san khi chiỗt xuất haàn tắt.18— Thông tín trích xuất dụng csv Hình 3.10 - Thiết lập The J1AG.20— Kỹ thuật Chíp-đƒƒ- Hình 3.21 ~Các tùy chọn hình ảnh da WFinHex.22 Phát hiện phục hối thiét bj Android.23— Danh sách các thiết bị lưu trữ cá sẵn Hình 3. Danh sách file được phục hỗ, TRình 3.25— Ứng dụng siêu sao hai Tình 3.26— Xem dã liệu đữ bị xoá trên phẫu mầm Oxygen.27 Tập cấu hình sealpel.27 -Chạy công cụ Scalpel trong mét file dd.28— Thư mục dẫu ra sau khi chạy công cụ Šcalpel. Dữ liệu khôi phục sau khi sử dụng Sealpel.30— IDumh sách liên lạc trên Gmail,.31 - Hộp thoại thông báo khôi phục danh sách liên lạc TRình 4.1 — Quy trinh thu thập chứng cứ vụ án.2 —Dũ liệu bên trong the muc /data/system .3 Xác nhận giá trị bản sao chứng cứ.4— Xem tín nhắn SMS từ cơ sở dữ liệt viii 3.7 Phục hỏi dữ liệu bị xóa từ bộ nhớ trong. con „106 CHƯƠNG 4.

THỰC NGHTEM PHAN TICH DIEU TRA SO.1 Giới thiêu tỉnh huéng 114 4.2 Thực hiện quy trinh điều tra. sexy S11 HH n1 xe 11S 4.1 Tiếp nhận cuộc điều tra.2 Nhận đang thiết bị 115 4.4 Bão vệ chứng cử 118 4.5 Xủ lý bằng chứng. sexy S11 HH n1 xe „.6 Kiểm tra xác nhận 128 4.3 Đánh giá quả trình thực hiện quy trình. 1130 TAI LIEU THAM KHAO ASL PHU LUC L CAC CONG CY BIEU TRA SO «+132 POU LUC I.

SU’ DUNG CONG CU AUTOSPY. GIẢI MÃ TẬP TIN CƠ SỬ DỮ LIEU UNG DUNG WHATSALP 142 iv DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị. vi DANH MỤC HÌNH Tình 1.IMẫu chuỗi quân lý bằng chứng.2 Kết quả chuỗi MI25.3 Kiêu bằng chứng s Hình 2.1 Quy trinh diéu tra số.2 Thiết bị chống ghi Tình 2.3 Quụ trình thu thập bằng chứng (hea NH.4 Tạo thự mục chứa bằng chứng.5 Chọn thu thập đũ liệu từ bộ nhớ Hình 2.6 Chọn thư mục chứa bằng chứng.7 Quá trình thu thập bắt đâu diễn ra Hình 2.8 Lựa chọn xác nhận hình ảnh.9 KẾt quả giá trị băm .10-Lưực đồ gu trình điều tra số Tình 2.11 — Quụ trình thu thập bằng chứng.12 Thú tục ban đầu bảo vệ dữ liệu trên thiết bị Tình 2.13— Các bước tu thập trên thiết bị không có mã bảo vệ.14— Thiết bị UFED TOUCH ULTIMATE.15 - Thu thập dữ liệu trên thiết bị có mã báo vệ.16— Quy tình kiểm tra và phân tich.1 Kiển trúc Android.2 May do Dalvik va Java.3— Kích hoại chế độ LISR Debug trên (uất bị.4 Tùm các thiết bị đã kết nỗi.S— Kết nỗi ADB.6— Mô phông khóa mô hình androiÄ Tink 3.7 —N6i dung file gesture.key & dang hex.8 — So sinh chuỗi nhận được với từ điền. DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị.5 Chuyén déi gia trị ngày giờ.6 — Dữ liệu chứa trên ứng dụng wÏafS4pp.7 — Cúc dp tin cơ sở dữ liệu của IŸhalsapp.8 Băng cơ sở dữ liệu wbaisapp Hình 4.0— Bảng sạÏde sequence.10— Thư mục baokup trên thê nhớ của ứng dụng wphalsapp.11 — Giả mã cơ sở đữ liệu ïYhatsapp.12— Nội dung tin nhdn trich xudt tir whatapps.13— Kết quả tìm kiếm từ khỏa Rookie.14— VỊ trí hưu trữ tập tín tải về.15— Trích xuấi tập tin bị xóa.

DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị.5 Chuyén déi gia trị ngày giờ.6 — Dữ liệu chứa trên ứng dụng wÏafS4pp.7 — Cúc dp tin cơ sở dữ liệu của IŸhalsapp.8 Băng cơ sở dữ liệu wbaisapp Hình 4.0— Bảng sạÏde sequence.10— Thư mục baokup trên thê nhớ của ứng dụng wphalsapp.11 — Giả mã cơ sở đữ liệu ïYhatsapp.12— Nội dung tin nhdn trich xudt tir whatapps.13— Kết quả tìm kiếm từ khỏa Rookie.14— VỊ trí hưu trữ tập tín tải về.15— Trích xuấi tập tin bị xóa.9 M6 phang lai hinh dang khéa mé hinh .10— Dữ liệu copy tit ‘data.11 —SOLite Browser Link 3.12 Dữ liệu bản ghỉ cuộc gọi Hình 3.13— Thông tin lịch sử cuộc gọi Tình 3.14 Gọi bằng trong file contacts2.15 —Các tập tin trong browser2.đb oxy Viewer SQLite Forensic.db trong SQI.15 Cúc ứng dụng AFLogical OSE Hình 3.17 Thông bảo hiển thị san khi chiỗt xuất haàn tắt.18— Thông tín trích xuất dụng csv Hình 3.10 - Thiết lập The J1AG.20— Kỹ thuật Chíp-đƒƒ- Hình 3.21 ~Các tùy chọn hình ảnh da WFinHex.22 Phát hiện phục hối thiét bj Android.23— Danh sách các thiết bị lưu trữ cá sẵn Hình 3. Danh sách file được phục hỗ, TRình 3.25— Ứng dụng siêu sao hai Tình 3.26— Xem dã liệu đữ bị xoá trên phẫu mầm Oxygen.27 Tập cấu hình sealpel.27 -Chạy công cụ Scalpel trong mét file dd.28— Thư mục dẫu ra sau khi chạy công cụ Šcalpel. Dữ liệu khôi phục sau khi sử dụng Sealpel.30— IDumh sách liên lạc trên Gmail,.31 - Hộp thoại thông báo khôi phục danh sách liên lạc TRình 4.1 — Quy trinh thu thập chứng cứ vụ án.2 —Dũ liệu bên trong the muc /data/system .3 Xác nhận giá trị bản sao chứng cứ.4— Xem tín nhắn SMS từ cơ sở dữ liệt viii DANH MỤC BẰNG Bảng 2.1— Đường dẫn lưu trữ các lập tin cơ xở dữ liệu Bảng 4.1 — Thông tin nhận dạng thiết bị.5 Chuyén déi gia trị ngày giờ.6 — Dữ liệu chứa trên ứng dụng wÏafS4pp.7 — Cúc dp tin cơ sở dữ liệu của IŸhalsapp.8 Băng cơ sở dữ liệu wbaisapp Hình 4.0— Bảng sạÏde sequence.10— Thư mục baokup trên thê nhớ của ứng dụng wphalsapp.11 — Giả mã cơ sở đữ liệu ïYhatsapp.12— Nội dung tin nhdn trich xudt tir whatapps.13— Kết quả tìm kiếm từ khỏa Rookie.14— VỊ trí hưu trữ tập tín tải về.15— Trích xuấi tập tin bị xóa.