[고려대 정보보호대학원] 모바일 포렌식 분석

모바일 포렌식 분석

https://youtu.be/rEb2vE4QOxM?si=DpbbyFV8HqoHzKv-

---

모바일 데이터 분석 개요

◆ 모바일 포렌식 데이터의 종류

• 시스템 정보
  • 기기 모델 및 버전 정보
  • 네트워크 연결 정보
  • 다운로드 및 설치된 앱 목록
• 사용자 데이터
  • 연락처
  • 통화 기록
  • 문자 메시지 기록
• 애플리케이션 사용 기록

◆ 모바일 데이터 분석 시 얻을 수 있는 정보

• 기기 정보/시스템 로그 분석
  • 기본 기기 정보, 설정 정보
  • 네트워크 연결 기록 → Wi-Fi, Bluetooth
  • 설치된 애플리케이션 목록 → 설치된 앱/삭제된 앱
  • 사용자 계정 정보
  • 타임라인 → 기기 사용 시간 예측
• 사용자 애플리케이션 데이터 분석
  • 기본 앱 로그: 통화 내역, 문자, 이메일, 메모 등
  • 사용자 앱 로그: 메신저, 웹 브라우저, 교통, 문서 뷰어 등

 

모바일 데이터 저장 형태

모바일 애플리케이션은 사용 내역 또는 로그를 특정 파일 형식을 이용하여 저장

• 텍스트 형태
  • 텍스트 형태로 저장된 데이터
  • *.log, *.xml, *.cfg 등 다양한 형태의 파일로 데이터 존재
  • 기기 정보, 시스템 로그, 애플리케이션 설정 정보 등
• 데이터베이스 형태
  • *.db 확장자를 가지며, SQLite 등의 데이터 베이스 파일로 저장된 데이터
  • 대부분의 애플리케이션 사용기록이 데이터베이스로 기록됨

SQLite란?
- 행과 열로 구성된 테이블로 데이터를 관리하는 관계형 데이터베이스(RDBMS)
- 다른 데이터 베이스와 비교해 가볍고 속도가 빨라 모바일 환경에서 가장 많이 사용되는 데이터베이스
- 표준 SQL 쿼리 사용 
※ SQLite Export 프로그램 사용하면 데이터 베이스 파일을 분석 가능

• 멀티미디어 형태
  • 사진, 동영상

 

안드로이드 데이터 분석

안드로이드 기기 정보/시스템 로그 데이터 경로

 

전원, 네트워크, 앱 정보에 해당하는 경로 ↓

• 전원 재시작 로그(power_off_reset_reason.txt)
  • 재시작 및 종료 시간 확인 가능
  • 전원 배터리 부족 종료 → reason : no power
• 설치된 애플리케이션 정보(packages.xml)
  • 패키지명, 애플리케이션 경로, 버전,권한 정보
• 연결한 Wi-Fi 정보(WifiConfigStore.xml)
  • Wi-Fi를 연결한 기록으로, 연결된 Wi-Fi 이름과 마지막으로 연결된 시각
    • ConfigKey: 연결된 Wi-Fi 이름 + Wi-Fi 암호화 방식 
    • SSID: 연결된 Wi-Fi 이름
  • 경로: /data/misc/wifi/WifiConfigStore.xml

애플리케이션 데이터

• 애플리케이션마다 디렉토리 구조와 데이터 저장 방식 다름 (*.db, *.xml 등)
• 문자 메시지, 연락처, 통화 내역, 웹 브라우저 기록 등의 애플리케이션 사용자 데이터 확인 가능

 

안드로이드 백업 데이터

• Smart Switch로 획득한 안드로이드 이미지 분석
  • 연락처(Smart Switch를 이용하여 CSV로 변환 가능) 획득 가능
  • 멀티미디어 파일(사진, 동영상, 문서 등) 획득 가능
  • 설치된 애플리케이션 목록 및 정보 획득 가능

 

iOS 데이터 분석

여러가지 형태로 시스템 설정 정보, 애플리케이션 정보 등을 저장

 

Plist(Property List)

• 애플 기반의 시스템(OS X, iOS 등) 에서 객체 직렬화 위해 사용하는 파일
• 저장 형태는 텍스트 or 바이너리

 

iOS 백업 데이터 분석

• 아이튠즈에서 지원하는 백업 기능으로 수집한 데이터 분석
• 백업 파일의 위치(Windows 7 이상): %UserProfile%\Apple\MobileSync\Backup\{UDID}
  • UDID(Unique Device Identifier): 기기 식별을 위해 사용하는 문자열 (SHA-1 해시값)
• 디렉토리 구성: 파일의 최초 2글자별로 디렉토리 생성

 

iOS 아이튠즈(iTunes) 백업 데이터

• Info.plist
  • 아이폰 내부 정보 및 어플리케이션 정보 확인 가능
  • 기기 정보, 백업 날짜, iTunes 버전 등
  • IMEI: 국제 모바일 기기 식별 번호
• Manifest.db(SQLite DB) / Manifest.mbdb(Binary)
  • 저장 경로를 알 수 있는 디렉토리와 파일 이름 목록