云电鉴定——关于Oppo手机微信数据提取之道

手机鉴定背景

随着智能手机的不断发展，各类APP应用软件层出不穷，微信作为最广泛使用的社交应用，也出现了五花八门的应用分身，不同手机检材的微信分身储存路径，因此也增加取证解析难度。面对这些疑难杂症，云电鉴定从多维度思考，在不同角度找寻不同的数据提取方法，对症下药，解决执法部门鉴定需求，提取到执法部门最需要的关键性证据，最终破案效率事半功倍，案情明朗水到渠成。

案例分析

随着电子物证逐渐发展为破案的关键性推动因素，关于手机物证的司法鉴定在各大执法机关中也越发受到重视，云电鉴定最近接收了大量关于手机相关的物证鉴定，为相关执法部门侦破案件提供了技术支持，提升了司法效率，节省了破案时间。

在云电接收该检材之前，A区公安局曾在多家机构尝试对该手机数据进行恢复，都未能得到想要的结果。

在A区公安局的某案件中，取证人员通过技术手段对涉案检材OPPO R11手机进行数据提取，获取该手机的物理镜像，并对该台手机里刘某与张某的微信聊天记录中发送的所有微信赌博账目图片记录进行恢复。

云电技术团队根据司法鉴定规则，通过云电核心鉴定软件技术，对该手机检材进行鉴定，使用手机自带的备份功能进行数据备份后，通过USB安全访问接口将送检手机连接手机取证专用设备获取手机物理镜像文件，然后对物理镜像文件进行恢复和分析，获取手机内数据。

分析说明：

1、首先启动杀毒软件对电子物证检验工作站系统进行杀毒，然后对OPPO-R11手机检材进行数据恢复和提取。

开启检材OPPO-R11手机，进入“备份与恢复”功能，对手机系统数据及微信应用数据进行数据备份，备份时间为2019年4月2日，具体如图2019-13-1所示：

图2019-13-1手机备份

2）在手机取证专用设备上，对检材手机OPPO-R11通过USB接入安全访问接口。运行PH-ExtractorS镜像获取软件提取检材镜像，获得MD5值的物理镜像文件R11_Physical_20190402_userdata.mdf，具体过程如图2019-13-2所示：

图2019-13-2  镜像文件生成

3）使用手机取证分析软件加载物理镜像文件R11_Physical_20190402_userdata.mdf，对其进行数据提取和恢复，获取手机内部数据，具体如图2019-13-3、图2019-13-4所示：

图2019-13-3 镜像文件恢复分析

图2019-13-4 镜像文件恢复分析

4 ） 在多媒体恢复检验工作站使用HashCalc对检材手机OPPO-R11的物理镜像文件R11_Physical_20190402_userdata.mdf进行MD5文件校验，校验通过后运行PH-MEDIA多媒体恢复软件对物理镜像文件R11_Physical_20190402_userdata.mdf进行多媒体恢复操作获取多媒体数据，具体如图2019-13-5、图2019-13-6所示：

图2019-13-5 文件校验

图2019-13-6 多媒体恢复

案件总结

取证人员对检材进行微信、多媒体数据恢复和综合分析。

1）在检材OPPO-R11手机中，获取短信数据4007条，其中恢复删除的数据122条。手机微信数据401905条，其中恢复删除的数据133144条。

2、在提取和恢复的微信数据中，获取目标人的关键微信数据，记录恢复出微信记录6条，微信-分身记录8条，目标人分析报告详见附件1“OPPO R11_目标人分析报告”。 具体如图2019-13-8、图2019-13-9所示：  

图2019-13-8   关键人数据

3、在提取和恢复的多媒体数据中，获取图片文件355978张，其中BMP文件5张，GIF文件449张，ICON文件3张，JPG文件51112张，PNG文件272693张，WEBP文件31716张；语音文件20184个，其中AAC文件2个，AMR文件460个等数据信息，根据委托需求恢复出手写账目图片以及目标后台管理系统截图总共722张，分析报告详见附件1“OPPO R11_多媒体分析报告.zip”。具体如图2019-13-10所示：

图2019-13-10   多媒体数据

云电司法鉴定所作为一家专业做电子数据鉴定的机构，旨在提供高效、精准、客观的电子数据恢复服务，解决执法部门关于电子物证的疑难杂症，争做司法鉴定行业内技术权威，为维护网络安全、推动中国电子物证发展贡献一份力量。