《技术实战》05-01期 效率源SPF9139打击网络诈骗实操案例(定稿).docx

助力打击网络诈骗已Root安卓手机正常数据提取实操案例效率源SPF9139打击网络诈骗实操案例编者按：本期讲解第1个手机案例，完整呈现最基本的“手机数据提取”全流程和基础注意事项。手机数据提取初学者，可通过此文掌握基础理论与实操方法，为下一步学习有难度的数据提取与分析奠定基础。因本案例涉及到网络诈骗案件侦破，文中所有敏感信息均做模糊处理。案例背景：201x年x月x日，受害人周某向xx市公安部门报案自己被诈骗。xx市公安局刑警大队在侦办该案过程中发现犯罪嫌疑人曹某通过电话、微信、QQ等方式，在获得受害人信任后，发送虚假照片给受害人并以谈恋爱为幌子，骗取受害人财务。为此，公安机关需要对犯罪嫌疑人作案手机中的电子数据进行固定和提取，为打击犯罪提供证据。实战对象：安卓某品牌手机，已Root，外观完好（没有砸摔、泡水等），正常使用，数据未做删除，需要提取电话、微信、QQ等通讯信息。技术分析：由于手机已Root，此类手机信息数据提取属于常规类型。利用效率源SPF9139系统的基本流程——“物理镜像”、“数据提取”、“数据分析”和“生成报告”就可完成（如图1）。图1：SPF9139系统业务操作流程提取设备：SPF9139系统，是一款集智能手机数据提取、恢复和取证分析为一体的综合系统，可以根据实际需求应用到电脑或者多种硬件平台上（电脑或工作站）。本案例使用的是搭载了SPF9139系统的工作站（如图2），除了具有数据恢复、提取、取证分析等功能，还能进行手机芯片提取，多次在打击网络犯罪活动中发挥了重要作用。图2:搭载SPF9139的工作站提取步骤：一、前期准备1、手机信号屏蔽。手机只要一开机，就会自动与外界进行通讯，可能会导致手机信息被篡改。因此，在电子取证或司法鉴定过程中需要使用信号屏蔽装置（如图3），避免手机与外界通讯带来数据变动，保障手机数据的完整性与原始性。图3 ：手机装入屏蔽袋手机接入SPF9139。通过数据线将手机连接至搭载了SPF9139系统的电脑或工作站。由于数据线品牌较多，但并不是所有数据线都有数据传输功能，所以需要尽可能使用原装数据线（非原装可能导致连接失败，影响取证效率）。同时，电脑或工作站端口的数据线接口应为“只读”，避免电脑对手机里面的数据进行更改，以保证取证数据的完整性与原始性。3、启动SPF9139系统。 通过电脑或工作站操作界面启动SPF9139（见图4），系统会自动读取并显示手机基本信息，比如手机品牌、手机型号、手机系统、是否root等。根据界面提示，本案例手机已经Root（如图5）。图4：启动SPF9139系统图5：SPF9139系统检测出手机已Root4、创建手机提取任务。点击“创建任务”按钮，填写与本案相关信息，包括任务名称、所属案例、手机品牌、手机型号、送检人员、送检时间等（案件内容属于涉密信息，均做马赛克处理，如图6），方便之后快速查询到案例。图6：创建新的任务（红色框填写基本信息）二、物理镜像所谓物理镜像，指的是将提取对象的信息数据进行拷贝。根据《司法鉴定程序通则》规定，司法鉴定一般不能直接在检材（送检对象）上操作，而是要求在拷贝上操作。而电子取证、数据恢复等操作，为确保数据安全性，也建议在镜像文件上进行提取、分析。如图7所示，物理镜像页面左侧为“镜像源”，也就是提取对象（本案手机），可以根据需求选择手机、SIM卡、SD卡，每一项内容下面，也可以选择具体区域，包括全部存储芯片、数据区、系统区、缓存区。为保证取证完整性，本案选择的是“手机全部存储芯片”。右侧为“镜像目标”，也就是镜像文件存储地址，可以选择默认地址（C:\XLYSFTasks\文件名\mirror，），也可自行指定。 图7：选择物理源和镜像目标三、数据提取加载物理镜像文件。物理镜像成功之后，新建一个任务（如图8），“任务名称”可以填写需要提取的数据信息类别（后期便于区分是哪一部分数据），如本案例可填写成“**手机通话记录、微信、QQ提取”。完成新建任务后，进入数据提取页面（如图9），选择“镜像加载”按钮（如图10）。找到本案件手机物理镜像存储位置（C:\XLYSFTasks\文件名\mirror），加载物理镜像。图8：创建新的数据提取任务图9：点击进入数据提取页面图10：选择加载镜像2、选择要提取的类别。SPF9139系统能提取的数据包括通讯录、通话记录、短信、社交聊天、主流邮箱、地图公交等绝大部分手机应用。根据客户需求，本案只选择电话、微信、QQ等通信方式（如图11、12）。图11：选择提取QQ和微信数据图12：选择提取通话记录3、提取手机数据。点击“开始提取”按钮，即可将需要的相关信息数据提取出来（如图13）。 图13：数据提取分析提取数据 提