《技术实战》0501期效率源SPF9139打击网络诈骗实操案例(定稿).docxVIP

助力打击网络诈骗已Root安卓手机正常数据提取实操案例 效率源SPF9139打击网络诈骗实操案例 编者按： 本期讲解第1个手机案例，完整呈现最基本的“手机数据提取”全流程和基础注意事项。 手机数据提取初学者，可通过此文掌握基础理论与实操方法，为下一步学习有难度的数据提 取与分析奠定基础。因木案例涉及到网络诈骗案件侦破，文中所有敏感信息均做模糊处理。 案例背景：201x年x月x日，受害人周某向xx市公安部门报案口己被诈骗。xx市公安局刑 警大队在侦办该案过程中发现犯罪嫌疑人曹某通过电话、微信、QQ等方式，在获得受害人 信任后，发送虚假照片给受害人并以谈恋爱为幌子，骗取受害人财务。为此，公安机关需要 对犯罪嫌疑人作案手机中的电子数据进行固定和提取，为打击犯罪提供证据。 实战对象：安卓某品牌手机，已Root,外观完好（没冇砸摔、泡水等），正常使用，数据 耒做删除，需要提取电话、微信、QQ等通讯信息。 技术分析：由于手机己Root，此类手机信息数据提取属于常规类型。利用效率源SPF9139 系统的基木流程——“物理镜像”、“数据提取”、“数据分析”和“生成报告”就可完成 （如图1） O fr 效車as科技 z V3 0 ■蚩 八 HUAWUM?11O(H3O TW) ? lb 凸 巴 □ 物理厲烤 散据挥取 散据分析 生成报告 教据上传 图1： SPF9139系统业务操作流程 提取设备： SPF9139系统，是一款集智能手机数据捉取、恢复和取证分析为一体的综合系统，可以 根据实际需求应用到电脑或者多种硬件平台上（电脑或T?作站）。木案例使用的是搭载了 SPF9139系统的工作站（如图2）,除了具有数据恢复、提取、取证分析等功能，还能进行 手机芯片捉取，多次在打击网络犯罪活动中发挥了重要作用。 图2:搭载SPF9139的工作站 提取步骤： 一、前期准备 1、手机信号屏蔽。手机只要一开机，就会自动与外界进行通讯，可能会导致手机信息 被篡改。因此，在电子取证或司法鉴定过程中需耍使用信号屏蔽装置（如图3）,避免手机 与外界通讯带來数据变动，保障手机数据的完整性与原始性。 图3 :手机装入屏蔽袋 2、 手机接入SPF9139o通过数据线将手机连接至搭载了 SPF9139系统的电脑或T作站。由 于数据线品牌较多，但并不是所有数据线都有数据传输功能，所以霊耍尽可能使用原装数据 线（非原装可能导致连接失败，影响取证效率）。同吋，电脑或匸作站端口的数据线接口应 为“只读”，避免电脑对手机里而的数据进行更改，以保证取证数据的完整性与原始性。 3、 启动SPF9139系统。通过电脑或工作站操作界面启动SPF9139 （见图4）,系统会自动 读取并显示手机基木信息，比如手机品牌、手机型号、手机系统、是否mot等。根据界面 提示，本案例手机己经Root （如图5）。 3.12.178 Release SmartPhone Data Recovery Forensics System SPF9139 Big手机数据恢复取证系统 图4：启动SPF9139系统 祁巧；■■ ■ fftfAndroid 4.4.4MUMBMWT: 0MV” ■ fftf Android 4.4.4 MU MBMWT: 0 MV” 图5： SPF9139系统检测出手机已Root 4、创建手机提取任务。点击“创建任务”按钮，填写与本案相关信息，包括任务名称、所 属案例、手机品牌、手机型号、送检人员、送检时间等（案件内容属于涉密信息，均做马赛 克处理，如图6）,方便Z后快速查询到案例。 图6：创建新的任务（红色框填写基本信息） 二、物理镜像 所谓物理镜像，指的是将捉取对彖的信息数据进行拷贝。根据《司法鉴定程序通则》 规定，司法鉴定-?般不能直接在检材（送检对象）上操作，而是要求在拷贝上操作。而电了取证、数据恢复等操作，为确保数据安全性，也建议在镜像文件上进行提取、分析。 如图7所示，物理镜像页面左侧为“镜像源”，也就是提取对彖（木案手机），nJ以 根据需求选择手机、STM卡、SD卡，每一项内容下面，也可以选择具体区域，包括全部存储 芯片、数据区、系统区、缓存区。为保证取证完整性，本案选择的是“手机全部存储芯片”。 右侧为“镜像目标”，也就是镜像文件存储地址，可以选择默认地址（C:\XLYSFTasks\文件 名\mirror,）,也可自行指定。 Eb物理镜像 ivuftnu 39 lIVninorCAXLYSnaOAff 芻？ 39 lIVninor 图7：选择物理源和镜像冃标 三、数据提取 1、加载物理镜像文件。物理镜像成功之后，新建一个任务（如图8）, “任务名称” 可以填写需要提取的数据信息类别（后期便于区分是哪一部分数据），如本案例可填写成“** 手机通话记录、微信、QQ提取”