Belkasoft 成立于 10 多年前，主要以其计算机取证工具而闻名。
在过去几年中，许多DFIR(数字取证和事件响应)专业人士开始选择Belkasoft 产品，尤其是因为我们的移动设备取证和分析功能。
Belkasoft 和 Cellebrite 是全球首批在 Windows 平台上支持基于 Checkm8 的完整文件系统 iOS 采集的两家公司之一 ，而大多数竞争对手在这一功能上落后了 6 到 12 个月。
这只是 Belkasoft 作为移动取证工具越来越受欢迎的原因之一。它在手机取证方面的良好声誉使其成为全球许多调查人员的首选解决方案。
在本文中，我们将讨论 Belkasoft X 移动取证软件的功能，并探讨为什么 Belkasoft 产品应该成为您在数字取证和事件响应调查中进行手机和平板电脑取证的主要工具。
Belkasoft X
Belkasoft X (Belkasoft Evidence Center X) 是 Belkasoft 的一款旗舰工具，适用于计算机、移动设备、无人机、汽车和云取证。它可以帮助您获取和分析各种移动设备、运行各种分析任务、执行案例范围的搜索、为工件添加书签并创建报告。
Belkasoft X 的多功能性使其成为移动设备取证的理想选择，可帮助专家收集重要数据。此工具的免费试用版可在下方链接获得。
https://belkasoft.com/trialBelkasoft R
Belkasoft R（Belkasoft 远程采集）是Belkasoft X Corporate的一部分。它是一种用于对各种类型的设备以及部分图像（包括仅选定的工件）进行取证远程采集的工具（例如，出于合规性或电子取证需求）。
该产品具有独特的功能，允许远程采集移动设备，这为移动设备取证工作流程增加了价值。Belkasoft X Corporate 的免费试用版可在下方链接获得。
https://belkasoft.com/x-corporate-editionsBelkasoft 对移动取证的支持概述
使用移动设备的第一步也是最重要的一步是数据采集。如果没有采集到数据，就没有什么可分析的。
Belkasoft X 对现代便携式设备（包括智能手机和平板电脑）的采集提供了强有力的支持，这使其成为移动设备取证不可或缺的工具。
Belkasoft X支持两种最广泛使用的平台的多种类型的采集 ：基于 iOS 和基于 Android 的设备。它还支持 Microsoft (Windows) 手机，但由于不再生产，我们将不评论此功能。
在数据采集方面，iOS 和 Android 设备都有各自的特点。两者都有标准的备份机制：iOS 的 iTunes 和 Android 的 ADB。此外，AFC 和 MTP/PTP 协议允许提取媒体文件。
但是，iTunes 和 ADB 提供的信息量都非常有限。当您需要获取更全面的图像（例如设备文件系统）时，可用的方法通常不被设备制造商认可，因为它们涉及 root、越狱、漏洞利用和其他技巧。其中许多方法都是特定于设备或芯片组的。
这就是为什么对于手机取证来说，在你的工具中提供多种类型的采集非常重要。这样，你可以从更直接的方法开始，以确保安全。
Belkasoft X 的一大优点是，它允许您从侵入性最小、最安全的方法开始，然后继续使用更全面（但风险更大）的方法 - 使其成为移动设备取证中非常有价值的工具。
iOS 采集支持
对于 iOS，Belkasoft X 支持 iTunes 备份获取，其中包括一项有趣的功能，即使用锁定文件来避免在密码未知的情况下解锁设备。您还可以使用 Apple File Conduit (AFC) 协议获取媒体文件。
Belkasoft X 的另一个重要功能是它能够强行破解一系列 iOS 设备的未知密码，这是手机取证中的关键功能。
更有趣的是，借助更复杂的方法（例如越狱的 iPhone/iPad 获取、基于 Checkm8 的获取，甚至基于代理的获取），可以获取完整的文件系统甚至钥匙串（密码内置存储） 。
需要澄清的是，我们的 Checkm8 和基于代理的获取都不是越狱，因此它们是获取数据的更可靠的方法 — 因为在许多国家，法律上不可能对证据来源进行越狱。这些方法是移动设备取证不可或缺的部分，因为安全的数据获取至关重要。
我们的基于代理的采集只是Belkasoft X 的优势之一，得到了许多客户的认可。市场上提供相同功能的工具并不多。这是 Checkm8 的一个很好的补充功能，因为 Checkm8 仅限于 iOS 设备型号（带有 A5-A11 芯片组的 iOS 设备），而基于代理的采集甚至可以在最新的 iPhone 上使用，并且支持的 iOS 范围很广，从 iOS 10 开始。
说到 Checkm8，Belkasoft X 在竞争中增加了一些额外功能。例如，它可以 解除所谓的 USB 限制模式— 这是一项 iOS 安全功能，可在最新解锁后一小时内禁用通过 Lightning 线缆传输数据。
iOS 采集类型还有更多，例如自动屏幕捕获或崩溃日志提取，虽然有限，但可能会为您提供一些有用的信息，例如调查中涉及的最新 IP 地址。
要了解有关使用 Belkasoft X 进行 iOS 采集的更多信息，请观看我们的网络研讨会，网址为下方链接。
https://belkasoft.com/webinar您可以在“以前的网络研讨会”选项卡上找到录制的网络研讨会，包括锁定的 iPhone 调查、绕过 iPhone USB 限制模式等。
Android 采集支持
对于 Android，Belkasoft 支持标准 ADB 备份创建和基于 ADB 的多种获取方法。一种有趣的方法是我们的 APK 降级获取，它用旧版本替换原始应用程序文件（例如 WhatsApp）。然后可以将这样的旧版本与 ADB 备份创建一起使用，并将更多数据包含到我们的备份中。这种方法是手机取证的突破，因为它允许访问以前不可用的数据。当然，最终会恢复原始应用程序版本。
Belkasoft X 的另一种基于 ADB 的 Android 数据采集方法是自动屏幕捕获。这可能是从设备中提取数据的最安全方法，因此在尝试风险更高的方法之前，您可以考虑使用此方法开始每个案例或采集。这是移动设备取证中的一个关键过程，如前所述，非侵入式方法通常被优先考虑。
自 2024 年 3 月 1 日起，对于尚未更新 Android 安全补丁的 Android 12 和 13 设备，可以使用一种新的获取方法。它提供对设备内部文件系统中 ..datadata 下的应用程序文件夹的完全访问权限。此方法有助于绕过安全限制，而无需设备 root，这使得它类似于 APK 降级，但更加强大。
总体而言，将这种增强的应用程序获取方法与逻辑选项结合使用，可以让调查人员从 Android 12 和 13 设备中更彻底地捕获数据，从而更容易将相关的应用程序数据拼凑在一起以用于取证目的。
Belkasoft X 还支持各种 Android 采集方法，具体针对特定供应商或芯片组。其中，您会发现基于展讯、MTK（联发科）、麒麟和高通的设备。对于 MTK，该产品为您提供多达三种不同的采集方法，包括两种基于代理的提取，而高通设备则通过 EDL（紧急下载）模式获得支持。
该产品还可以获取 root 设备并分析 TWRP 提取。它支持分析 JTAG 图像和芯片转储，并可以提取第三方图像，包括取证产品图像和专有供应商图像文件。例如，您可以在 Belkasoft X 的帮助下分析 HiSuite 备份以及小米图像。这种广泛的 Android 采集方法使其在手机取证调查中非常有效。
要了解有关 Belkasoft X 中 Android 收购的更多信息，请观看我们的网络研讨会，网址为下方链接。
https://belkasoft.com/webinar录制的网络研讨会可以在“以前的网络研讨会”选项卡上找到，包括Android 手机调查：使用 Belkasoft X 和其他软件进行数据提取和分析。
SIM 卡克隆
Belkasoft X 还允许您使用硬件 SIM 卡读卡器设备或 Android 设备使用相应功能复制 SIM 卡的全部内容。SIM 卡通常包含除电话号码之外的关键取证信息。它们包括用户标识 (IMSI)、网络特定数据以及有时的联系人和短信等详细信息。此方法在移动设备取证案件中必不可少，因为电话号码跟踪、消息检索或身份验证是关键。
云取证
虽然云取证与移动取证有很大不同，但执行这些获取可以补充或证实从移动设备获得的数据。由于这不是本文的主题，我们将给出 Belkasoft X 中两个有用功能的示例，它们可以在您的移动调查中发挥作用：
下载 WhatsApp（带或不带二维码）。提取 WhatsApp 是一项具有挑战性的任务，因此您可用的每种附加方法都是无价的。
iCloud 下载。如果您无法获得 iPhone 访问权限， iCloud 可以作为您的数据来源，从该设备备份到 Apple 托管的存储
当您将基于云的数据源添加到您的案例中时，Belkasoft X 中这两个选项（以及许多其他选项）都可用。云数据通常可以补充手机取证工作，填补设备获取方法留下的空白。
移动应用分析
您现在已成功对设备进行映像处理。恭喜！现在您必须分析映像内容。
现代智能手机用户可以使用数百万种应用程序，任何自动化分析都是必不可少的，以避免案件日志不断增加。
Belkasoft X 支持 1,500 多种最流行应用程序的类型和版本，包括 WhatsApp、Signal、Telegram、Instagram、TikTok、Viber、Tinder、Pinterest 等。它对自动工件提取的支持使其成为移动设备取证的强大盟友。
虽然大多数此类应用程序都将数据存储在 SQLite 数据库中（SQLite分析则是另一回事），但要提取所有数据并不像打开您最喜欢的数据库浏览器那么简单。
首先，标准免费软件工具（如 SQLite 的 DB Browser）（甚至大多数取证工具！）无法恢复位于空闲列表中的已删除数据，也无法恢复 WAL（预写日志）和日志文件以及 SQLite 未分配文件中的数据。其次，许多应用程序使用强大的加密技术来防止审查人员在没有解密密钥的情况下打开其数据库。
Belkasoft X 可以解密和解码 WhatsApp 的多个版本— 而且无需手机 root 权限！您可以使用我们的 Android 12-13 方法来提取解密密钥。iOS Signal messenger是另一个难题，一旦您进行了完整的文件系统提取并捕获了钥匙串（或者如果您从第三方提取了钥匙串），Belkasoft X 就可以破解它。
在用户界面中，Belkasoft X 方便地布置了各种移动（和其他）工件，包括音频、聊天、文档、图片和视频、地理位置数据、加密货币钱包和交易、健身追踪器的数据、睡眠数据、心率等。
与其他通常允许您每个案件使用一台设备的工具不同，Belkasoft 允许您根据需要添加任意数量的设备。这可以帮助您通过我们的连接图获得“鸟瞰图”——它将显示来自您案件的不同人员或来自不同设备的不同人员如何进行通信。无论是通过聊天、短信、语音邮件还是电话和电子邮件，这些功能在电话取证调查中都是无价之宝。
最后，您可以建立添加的数据集之间的连接，无论设备类型如何，这是竞争对手不支持的功能。否则，将一个用户的移动设备数据与另一个用户的笔记本电脑数据关联起来可能是一项艰难且耗时的手动工作，因为您必须在两个不同的软件产品中工作，而这些产品不一定相互通信或支持彼此的格式。
使用 Belkasoft X 的内置地图查看地理位置数据，例如在移动设备上拍摄的照片
Belkasoft 移动取证解决方案的优势
有多种原因使得 Belkasoft 被越来越多知名的数字取证专家和事件响应人员视为移动设备取证的首选工具。
其中包括：
1. 对设备采集的坚实支持，包括 Checkm8 和基于代理的采集等复杂方法
2. 支持多种设备型号，实现全面的手机取证
3. 移动设备的远程取证
4. Belkasoft X 支持大量移动应用程序和工件
5. 价格非常实惠：比竞争对手的任何移动取证软件都便宜得多
6. 永久许可，而非基于期限的许可
准备好测试 Belkasoft 了吗？
如果本文说服您尝试 Belkasoft 工具，您可以从下方网址下载它们。
https://belkasoft.com/trialBelkasoft X 安装包含带有计算机和移动数据的示例图像。
您是否需要更复杂的工具来尝试？
解决我们的BelkaCTF 2 号（“毒品交易商案”），该案专门用于 Android 取证调查。
https://belkasoft.com/ctf_may/
您将亲眼见证 Belkasoft X 的强大功能：即使是最困难的任务也可以使用此工具在几分钟内解决。
这个案例完美地展示了手机取证的实际应用，使用了 Belkasoft 的广泛功能。
原文始发于微信公众号（网络研究观）：移动取证软件：为什么 Belkasoft X 应该是您的首选工具
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论