Home

UFED Physical Analyzer

1. 5 Mettez a jour la licence pour le produit puis t l chargez le package de langues Chapitre 6 Traduction de donn es d cod es 165 Une fois votre licence produit mise a jour avec les langues s lectionn es suivez la proc dure ci dessous pour afficher les langues incluses dans la licence de traduction Pour consulter les langues de la licence de traduction e S lectionnez Outils gt Traduction gt Afficher les langues prises en charge L cran suivant s affiche Dongle License Details Software License Details LIC_LicenseWillExpireOn November 30 2015 Physical Analyzer license includes CHINEX iOS Physical GPS Computer ID VRA TF5 PMV 2GH 723 DIU 34A Load license file t Support support cellebriteusa com Show previous dongle details Dongle not found To use the product with a dongle license plug in the dongle to your computer Deactivate software license Sales sales cellebriteusa com 166 cellebrite delivering mobile expertise 6 2 2 Telechargez le package de traduction Vous pouvez t l charger le package de traduction depuis l application ou depuis votre compte my cellebrite com Le package de traduction inclut un num ro de version qui vous permet de suivre la version install e sur l ordinateur Pour t l charger le package de traduction 1 S lectionnez Outils gt Traduction 2 Choisissez l une des options suivantes e T l charger le package de traduct
2. Dossier par d faut saisissez le chemin du dossier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es Chapitre 15 Param tres 369 Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl s de hachage MD5 et SHA256 calcul es ajouter chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante Inclure les traductions s lectionnez cette option pour inclure le texte traduit dans le rapport 370 celebrite delivering mobile expertise 15 7 Param tres de plug in post chaine Ajoutez et supprimez des plug ins de la liste de plug ins qui s ex cutent automatiquement lorsque vous ouvrez Un projet Cette fonctionnalit est utile lorsque vous travaillez avec des contraintes temporelles ou avec des fichiers d extractions volumineux Ces param tres vous permettent de d cider d ex cuter ou non certai
3. celebrite 232 delivering mobile expertise 3 S lectionnez l appareil 4 Utilisez une des m thodes suivantes e Saisissez le chemin de l emplacement ou vous souhaitez enregistrer les donn es extraites de l appareil e Cliquez sur et s lectionnez l emplacement souhait 5 Cliquez sur D marrer Ea Select Dump type Garmin GPS Device TomTom GPS Device Mio GPS Device USB Mass Storage Device 6 S lectionnez le type de vidage Chapitre 10 Effectuer des extractions 233 L extraction commence Lorsqu elle est termin e le message suivant s affiche 7 Cliquez sur Oui pour ouvrir l extraction 234 celebrite delivering mobile expertise Chapitre 11 Param tres avanc s 235 Chapitre 11 Param tres avanc s 11 1 Travailler avec TomTom TomTom g n re des fichiers journaux de trajet crypt s par l appareil uniquement si les utilisateurs de TomTom choisissent de partager leurs informations de localisation avec TomTom TomTom consigne la localisation de l appareil dans les fichiers journaux de trajet Exportez le fichier XML TomTom g n r partir des journaux de trajet et envoyez le Cellebrite pour qu il soit trait Une fois qu il vous a t renvoy vous pouvez afficher la plupart des informations de localisation disponibles sur le fichier l aide de UFED Physical Analyzer Pour plus d informations sur l extraction de donn es d un appareil TomTom consultez la section Lire des don
4. 4 Unicode 4 7Bit Values 1 Bookmarks DA Highlights 1 results Length 0x5480000 Offset 0x8 Selection 0x80 REMARQUE Certaines options d encodage poss dent des cat gories de sous d codage 3 Cliquez sur ou W pour agrandir ou r duire tous les types d encodage 4 Pour d coder un segment de donn es diff rent s lectionnez un segment diff rent dans l onglet Vue hexad cimale Les r sultats affich s dans l onglet Valeurs changent pour correspondre au segment s lectionn celebrite 310 delivering mobile expertise 12 6 Afficher les informations des donn es hexad cimales Affichez les informations des segments mis en signet et des r sultats de recherche lorsque vous les pointez dans l onglet Vue hexad cimale 1 Dans la barre d outils de l onglet Vue hexad cimale cliquez sur 2 Placez le curseur de la souris sur les informations mises en signet ou les r sultats de recherche dans les donn es hexad cimales Une fen tre d information flottante appara t Hex Bookmark Content k ains Elle contient les informations suivantes e Liens pointeurs vers les l ments de donn es analys s tels que les fichiers et dossiers dans l arborescence de projet e R sultats de recherche associ s aux donn es point es 3 Pour modifier le signet cliquez sur E 4 Pour copier les donn es cliquez sur E Chapitre 12 Travailler avec les donn es hexa
5. Chapitre 4 S orienter dans l espace de travail 79 l ment de l arborescence Syst mes de fichiers Description L l ment d arborescence Syst mes de fichiers r pertorie tous les syst mes de fichiers trouv s o reconstruits a partir du fichier binaire analys Chaque syst me de fichiers porte la mention disque dur Les fichiers supprim s sont indiqu s par une croix rouge 38 e Double cliquez sur un syst me de fichiers pour afficher son contenu dans un nouvel onglet Vue hexad cimale 80 El ment de l arborescence Donn es analys es celebrite delivering mobile expertise Description L l ment d arborescence Donn es analys es affiche les groupes de donn es analys es correspondant des fonctionnalit s sp cifiques de l appareil telles que les contacts les SMS les journaux d appel etc Les informations disponibles et ce qui s affiche varient en fonction des fonctionnalit s de l appareil et de la version de l application Par exemple les SMS sont tri s en fonction des dossiers utilis s par la fonctionnalit de messagerie de l appareil Brouillons Re us Envoy s etc Les e mails sont tri s en fonction du compte de messagerie avec lequel ils ont t envoy s ou re us Un dossier Compte ou messages non class s r pertorie les dossiers ou messages qui ne peuvent tre class s dans aucun des comptes ou dossiers de compte trouv s Brouillons Re us Envoy s e
6. Analytics i Activity Analytics 25 25 vi Analytics Emails 4 4 analytics Phones 64 i Analytics Skype 4 3 Analytics WhatsApp 3 1 celebrite delivering mobile expertise a Extraction donn es analys es et fichiers de donn es inclure dans le rapport b Examinateur Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnezles cl s de hachage MD5 et SHA256 calcul es ajouter chaque l ment des fichiers de donn es dans le rapport g n r Cette s lection concerne l ensemble du rapport et s applique tous les projets contenus dans le rapport CONSEIL Pour raccourcir le processus de cr ation de rapports pour les projets importants ne s lectionnez pas ces options Chapitre 9 G n rer un rapport 193 S lectionnez Inclure les traductions pour inclure le texte traduit Le tableau de r sum inclut alors une entr e suppl mentaire Langues traduites et la traduction du contenu appara t sous le texte source avec le titre Traduction c Analyse cette section appara t lorsque l l ment d arborescence Analyse est disponible dans le projet S lectionnez les l ments d analyse concern s pour les inclure dans le rapport 10 L cran S curit s affiche Les rapports au format PDF Word et Excel peuvent tre prot g s par mot de passe General Security Password COLE PhonedGsM 6 0 1 60 Confirm password eu iPhone 4 z rity Apply be
7. Chapitre 9 G n rer un rapport 187 Chapitre 9 G n rer un rapport 1 Vous pouvez g n rer un rapport contenant les informations du projet UFED Physical Analyzer fournit un assistant de cr ation de rapport qui vous aide tout au long des tapes de la cr ation d un rapport Utilisez une des m thodes suivantes e S lectionnez Rapport gt G n rer un rapport dans le menu de l application e Cliquez sur G n rer un rapport dans l onglet R sum d extraction e Double cliquez sur Rapports dans l arborescence de projet 188 celebrite delivering mobile expertise L cran G n rer un rapport s affiche General Fil name Report Save tx Css ora than Documenta ky Reports Report sub directors 2014 08 03 04 5 54 Project Applikati Ad ancedlagical Format Case Information Case number Case name Evidence number Fuamimer name Department Location Notes 2 Dans Nom de fichier s lectionnez le nom du nouveau rapport que vous souhaitez cr er 3 Dans Enregistrer sur s lectionnez le dossier dans lequel vous souhaitez que tous les rapports soient cr s Ce dossier peut tre utilis pour tous les rapports car chacun sera plac dans un sous dossier distinct 4 Dans Sous r pertoire du rapport s lectionnez un nom pour le dossier dans lequel vous souhaitez que tous les rapports s lectionnez soient cr s Par d faut ce nom est compos de la date et l heure actuelles Chapitre 9 G n rer u
8. S lectionnez Obligatoire si ce champs doit tre rempli pour que l utilisateur puisse g n rer le rapport Dans la liste Type s lectionnez une des options suivantes e Cha ne pour les champs de saisie de texte e Liste pour une liste d options sp cifi es Dans le champ Valeur par d faut d finissez le contenu par d faut celebrite 358 delivering mobile expertise e Pour le type Cha ne saisissez la cha ne par d faut Pour une cha ne de plusieurs lignes cliquez sur LA sur Enregistrer ka Option Editor Saisissez la cha ne par d faut dans l Editeur d option puis cliquez Edit the default value text e Pour le type Liste cliquez sur cliquez sur Enregistrer Saisissez les l ments de la liste un par ligne puis Chapitre 15 Param tres 359 15 5 2 Modifier un champ de rapport e Pour modifier un champ de rapport suivez les tapes 2 5 de la section Ajouter un champ de rapport page 357 et modifiez les param tres votre convenance 15 5 3 Supprimer un champ de rapport x e Pour Supprimer un champ de rapport cliquez sur 15 6 Param tres par d faut du rapport Les Param tres par d faut du rapport vous permettent de modifier la pr sentation du rapport celebrite 360 delivering mobile expertise Default folder Ci Users jonathank Documents My Reports E Default sorting T Calculate SHA 2 256 bit hash E Calculate MDS 128 bit hash M
9. Vue tableau liste de tous les fichiers d un type sp cifique images vid os fichiers audio fichiers texte etc trouv s au cours du processus d analyse de donn es Vue dossier affiche la structure de dossiers des chemins des fichiers de donn es dans le syst me de fichiers reconstruit pour les fichiers de donn es uniquement Vue hexad cimale affiche les donn es hexad cimales d un l ment binaire Vue image affiche l image Consultez la section Afficher les fichiers image page 116 Vue miniature affiche des miniatures des images pour les images uniquement Infos fichier affiche les informations relatives au fichier Vue base de donn es affiche le contenu des fichiers de base de donn es 4 2 3 1 Travailler dans les onglets de donn es S lectionner des l ments S lectionnez les l ments dans la zone d affichage des donn es pour les inclure dans un rapport que VOUS cr ez Par d faut tous les l ments sont s lectionn s Pour s lectionner plusieurs l ments maintenez la touche MAJ ou CTRL pour une s lection cons cutive ou non cons cutive respectivement 98 celebrite delivering mobile expertise e Lorsqu un l ment est s lectionn appuyez sur la barre d espace pour cocher ou d cocher la case afin d indiquer si l l ment doit tre inclus ou exclus du rapport e Pour s lectionner tous les l ments cochez la case dans l en t te de la colonne vue tableau et chro
10. jour la base de donn es de Re Gig E E EE 178 celebrite delivering mobile expertise 8 2 Mettre jour la base de donn es de signature depuis un fichier hors connexion 180 Chapitre 9 G n rer un rapport 187 Chapitre 10 Effectuer des extractions 199 10 1 Extraction d appareils IOS 199 Ve TET COMO OMS Ola SS sessin 199 10 1 2 Effectuer une extraction physique s 200 10 1 3 Effectuer une extraction num rique E OAA A E Zio 10 2 Extraction du GPS ou des appareils de stockage de MASSE 227 10 2 1 Lire des donn es depuis un appareil GPS ou de stockage de masse 230 Chapitre 11 Param tres avanc s 235 11 1 Travailler avec TomTom 235 l E Exporter un ficer TOMTOM ees 236 11 1 2 Importer UN fichier TomTom 27 Contenu 11 2 Reconstituer des images 239 11 2 1 Rechercher les images reconstitu es 240 11 2 2 Travailler avec les images reconstitu es 243 11 3 V rifier les valeurs de hachage 244 Chapitre 12 Travailler avec les donn es MEX AC SCIINGIES eessoosesseocesssocesssoccessoccess 247 12 1 Rechercher des informations dans les donn es hexad cimales et dans les donn es 0500 CE CR E A EE 250 12 1 1 Rechercher des cha nes ss 252 12 1 2 Rechercher des octets 257 LAS Re FCC VOSS DAS us nee 262 12 1 4 Rechercher des num ros SIM ICCID 268 12 1 5 Rechercher des num ros S
11. Effectuer des extractions 229 3 S lectionnez l appareil 4 Utilisez une des m thodes suivantes e Saisissez le chemin de l emplacement o vous souhaitez enregistrer les donn es extraites de l appareil e Cliquez sur et s lectionnez l emplacement souhait 5 Cliquez sur D marrer Ea Select Dump type Garmin GPS Device TomTom GPS Device USB Mass Storage Device 6 S lectionnez le type celebrite 230 delivering mobile expertise L extraction commence Lorsqu elle est termin e le message suivant s affiche Open Dump Do you want to open the newly created Dump Cancel 7 Cliquez sur Qui pour ouvrir l extraction 10 2 1 Lire des donn es depuis un appareil GPS ou de stockage de masse Lire et enregistrer des donn es depuis un appareil GPS Garmin Mio et TomTom ou un appareil de stockage de masse REMARQUE Seuls les utilisateurs administrateurs peuvent lire les donn es d appareils GPS Si vous n tes pas un administrateur fermez UFED Physical Analyzer cliquez avec le bouton droit de la souris sur l ic ne UFED Physical Analyzer sur votre bureau et s lectionnez Ex cuter en tant qu administrateur 1 Connectez le GPS ou l appareil de stockage de masse votre PC Chapitre 10 Effectuer des extractions 231 2 S lectionnez Outils gt Vidage GPS Appareil de stockage de masse ou cliquez sur P G Dump device from use e 7 TYF sical Dive 1 Total size 0 96 GB Total time
12. File System Dumps Add file systems in a folder or a zip archive Archive File Zip Tar Folder SdectFie Or Sedec Folder Image e e e e 5 Pour ajouter un fichier de vidage binaire cliquez sur a Sete ou Ajouter un vidage binaire dans la zone Vidages binaires et s lectionnez le fichier d extraction binaire que vous souhaitez Chapitre 3 Mise en route 69 ajouter Chaque vidage binaire ajout s affiche comme composant distinct dans la section Vidages binaires de la bo te de dialogue 6 Cliquez sur Terminer 3 4 3 Enregistrement d un fichier ufd tout moment au cours de la configuration des param tres Ouvrir avanc vous pouvez cliquer sur Enregistrer UFD dans l angle sup rieur droit de la bo te de dialogue pour enregistrer un fichier ufd qui contient les extractions binaires s lectionn es et les informations concernant l appareil pour une utilisation ult rieure La prochaine fois que vous aurez besoin de d coder ce fichier vous pourrez utiliser le fichier UFD enregistr pour l ouvrir avec Ouvrir ou Ouvrir avanc 70 celebrite delivering mobile expertise 3 5 Enregistrer une session de projet Enregistrez la session de projet pour sauvegarder votre travail Vous pourrez ainsi fermer UFED Physical Analyzer et reprendre votre session plus tard Le fichier de session pas enregistr inclut La s lection de l utilisateur dans les tableaux Donn es analys es et F
13. L cran Reconstituer les images s affiche Scan type Quick scan Recovers images that start with a full partial or corrupted header only The quickest scan and finds the least amount of images Full scan Recovers images that have a full partial or corrupted header as well as from blocks of JPEG data that appear without any header information Takes longer than a Quick scan and potentially finds more images Full scan without filter Uses the same full scan algorithm without the false positive filter Can be used to verify if images were missed but it takes by far the longest time and causes additional false positives Carve from Unallocated space Images W Image Note Image carving is a time consuming task which is performed in parallel with your work on the UFED Physical Analyzer 242 celebrite delivering mobile expertise 2 S lectionnez le type de scan Scan rapide ce scan se d roule en trois tapes au cours desquelles UFED Physical Analyzer tente de r cup rer les images qui commencent uniquement par un en t te complet partiel ou corrompu Scan complet ce scan se d roule en cinq tapes En plus de r cup rer les images qui ont un en t te complet partiel ou corrompu UFED Physical Analyzer tente de r cup rer les images dans les blocs de donn es JPEG qui apparaissent sans en t te Un scan complet est plus long qu un scan rapide et peut r cup rer un plus grand nombre
14. To use Bing Maps click Activate To use the application without Bing Maps click Cancel You can activate Bings Maps later from the help menu Activate e Cliquez sur Activer pour activer vos cartes BING Une fois l activation effectu e l cran suivant s affiche 154 celebrite delivering mobile expertise Ww Bing Maps activation completed successfully Si l activation n est pas effectu e au d marrage il est possible d activer les cartes Bing plus tard via le menu Aide Il est possible de parcourir et d effectuer des recherches sur des cartes de rues topographiques de nombreuses villes dans le monde Deux types de plan des rues sont disponibles Vue routi re Vue a rienne Vue routi re La vue routi re est la carte par d faut Elle affiche des images vectorielles des routes des b timents et de la g ographie Vue a rienne La vue a rienne superpose les images satellite la carte et met en vidence les routes et les principaux rep res pour une identification facile sur les images satellite Chapitre 5 Localisation et analyse des informations 155 5 10 3 Indicateurs et fen tres d informations Les indicateurs marquent la position laquelle l appareil d une personne est enregistr La couleur de l indicateur montre quelle personne est enregistr e une position particuli re un faible niveau de zoom les indicateurs montrent la position approximative et peuvent inclure les don
15. diteur de liste de surveillance ouvert e Cliquez sur OK pour enregistrer la liste de surveillance et fermer l diteur de liste de surveillance e Cliquez sur Annuler pour fermer l diteur de liste de surveillance sans enregistrer vos modifications Chapitre 5 Localisation et analyse des informations 137 5 8 2 Modifier une liste de surveillance 1 Dans l diteur de liste de surveillance s lectionnez la liste que vous souhaitez modifier 2 Modifiez les param tres et les mots cl s de la liste personnalis e votre convenance 3 Pour filtrer la liste de mots cl s afin de localiser un mot cl sp cifique saisissez celui ci dans la case Saisir le texte filtrer 4 Pour modifier un mot cl cliquez sur celui ci dans la liste puis modifiez le 5 Pour supprimer un mot cl cliquez sur A 6 Lorsque vous avez termin proc dez d une des facons suivantes e Cliquez sur Appliquer pour enregistrer la liste de surveillance et garder l diteur de liste de surveillance ouvert e Cliquez sur OK pour enregistrer la liste de surveillance et fermer l diteur de liste de surveillance e Cliquez sur Annuler pour fermer l diteur de liste de surveillance sans enregistrer vos modifications 5 8 3 Importer une liste de surveillance Les fonctions d exportation et d importation vous permettent de partager vos listes de surveillance et de recevoir celles de vos collegues Importez des listes de surveillance existantes fichie
16. e Confiance en quel point le fournisseur de service est certain que le t l phone se trouve bien la position calcul e e Horodatage Positions m dia Les donn es de localisation dans Positions m dia sont extraites du tampon de localisation associ a chaque fichier multim dia Donn es analys es gt Trajets Les donn es de localisation dans l l ment Trajets sont extraites des applications GPS sur l appareil Les cat gories affich es dans cet l ment sont divis es par application celebrite 1 52 delivering mobile expertise Donn es analys es gt R f rences GPS Les donn es de localisation dans l l ment R f rences GPS sont extraites des appareils GPS et des applications GPS sur l appareil Les cat gories affich es dans cet l ment sont divis es par application et par source 5 10 2 Afficher les donn es de localisation sur BING La fonction Cartes est gratuite mais n cessite un acc s interne Elle n est disponible que pour les utilisateurs d UFED Physical Analyzer qui disposent d une licence valide Chapitre 5 Localisation et analyse des informations 153 Pour activer les cartes BING Lorsque vous d marrez UFED Physical Analyzer pour la premi re fois vous tes invit activer vos cartes BING L cran suivant s affiche ka Map Activation The application allows you to view locations on a map using Bing Maps Bing Maps requires internet connection and a valid license
17. page 50 Chapitre 3 Mise en route 63 4 Pour personnaliser la cha ne d analyse consultez la section Modifier la cha ne actuelle page 51 5 Pour ajouter des extractions binaires consultez la section Ajouter un vidage binaire page 55 6 Pour ajouter une extraction de syst me de fichiers consultez la section Ajouter un vidage de syst me de fichiers page 56 7 Cliquez sur Terminer 3 4 2 3 Extractions JTAG JTAG Joint Test Action Group est une m thode d extraction de donn es avanc e qui n cessite un expert pour la connexion aux ports d acc s de test de l appareil pour obtenir une image physique compl te Cela permet l expert de d verrouiller les donn es brutes stock es sur la puce de m moire et d y acc der JTAG est une m thode non destructrice et permet d acc der aux donn es sur des appareils alt r s ou endommag s sur lesquels les ports de donn es ne sont pas disponibles ou d connect s ou lorsqu il est impossible de d verrouiller l appareil l aide des autres outils d investigation UFED Physical Analyzer automatise le processus de d codage JTAG et vous permet de gagner du temps car il devient inutile de d coder manuellement les importants volumes de donn es brutes obtenus gr ce aux extractions avec la m thode JTAG Le tableau suivant r pertorie une partie des appareils pris en charge 64 Fournisseur Mod le lt o o C711 GzOne Boulder Casio C751 GzOne Ravi
18. v nements entrants l horodateur est g n ralement issu de l heure d finie par le r seau l horodateur affect par le r seau Les horodateurs sont affich s avec l heure locale exacte UTC Les horodateurs d finis par le r seau d pendent du fuseau horaire dans lequel l v nement s est produit Appliquez un fuseau horaire unifi au projet pour recalculer tous les horodateurs d finis par le r seau en fonction du fuseau horaire s lectionn afin de r unir les v nements et de les afficher dans l ordre dans UFED Physical Analyzer Pour appliquer un fuseau horaire unifi au projet 1 Utilisez une des m thodes suivantes e Dans l onglet R sum d extraction du projet cliquez sur Param tres du projet celebrite 374 delivering mobile expertise T e Cliquez sur Time zone Time zone settings UTC Original UTC value Daylight Saving Time General Settings Case Information 2 Dans la liste Param tres de fuseau horaire UTC s lectionnez e Valeur UTC originale pour afficher les horodateurs tels qu ils ont t enregistr s sans unification e Un des fuseaux horaires UTC 12 00 a UTC 13 00 pour recalculer les horodateurs d finis par le r seau en fonction du d calage du fuseau horaire REMARQUE Les horodateurs d finis par l utilisateur ne sont pas inclus dans ces nouveaux calculs et sont affich s tels qu ils ont t enregistr s 3 Pour modifier les dates
19. 12 1 5 Rechercher des num ros SMS Recherchez des num ros SMS dans les donn es hexad cimales 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher 2 Dans l onglet Rechercher s lectionnez Num ros dans la liste de types de donn es celebrite 274 delivering mobile expertise Find x Find RegEx GREP SMS 7bit PDU Pattem Code Reverse nibbles n Reverse nibble numbers search SMS PDU numbers SMS PDU numbers search Search parameters E Numbers sample configuration Sere Additional data E Show before Allow partial match Offset 4 Length 14 E Numbers sample configuration 3 Pour rechercher des num ros SMS PDU s lectionnez Num ros SMS PDU L cran Param tres de recherche s affiche a Dans le champ Num ro s lectionnez le num ro rechercher Chapitre 12 Travailler avec les donn es hexad cimales 275 REMARQUE Si le champ Num ro est laiss vide les r sultats de recherche incluent tous les num ros correspondant au format Num ro SMS b Si vous saisissez seulement une partie du num ro s lectionnez Autoriser les correspondances partielles 4 Pour rechercher des quartets invers s s lectionnez Num ros quartets invers s REMARQUE Utilisez cette option lorsque les donn es ont t encod es pour inclure des quartets invers s L cran Param tres de recherche s affiche e Dans le champ Quartets s
20. 304 delivering mobile expertise 3 Utilisez une des m thodes suivantes e Cliquez sur RE pour vous d placer vers l arri re dans les donn es hexad cimales selon la valeur d finie e Cliquez sur 5 pour vous d placer vers l avant dans les donn es hexad cimales selon la valeur d finie 12 4 Travailler avec les signets Un signet est un pointeur de r f rence rapide que vous pouvez cr er sur les donn es hexad cimales Les signets que vous cr ez sont g r s dans l l ment d arborescence Signets Le nombre de signets dans le projet appara t entre parenth ses c t de l l ment d arborescence Signets e Dans l arborescence de projet double cliquez sur Signets pour ouvrir une liste des signets dans un onglet dans la zone d affichage des donn es e Pour imprimer ou exporter la liste de signets d entit s cliquez sur le format souhait dans la barre d outils de l onglet Signets Excel HTML PDF le ou XML El 12 4 1 Ajouter un signet 1 Lorsque les donn es hexad cimales sont affich es s lectionnez une des options suivantes e Dans la barre d outils de l onglet Vue hexad cimale cliquez sur E Chapitre 12 Travailler avec les donn es hexad cimales 305 e Pour ajouter un signet un segment sp cifique dans les donn es hexad cimales s lectionnez la section laquelle vous souhaitez ajouter le signet puis cliquez sur dans la barre d outils de l onglet Vue hexad cimale e Dans l onglet Signet
21. Excel E HTML PDF 16 ou XML a 12 1 9 Rechercher des codes et des mots de passe Recherchez des codes et des mots de passe utilisateur dans des structures de m moire de taille importante 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher 2 S lectionnez l onglet Code 298 Find mn Text options v Unique results only celebrite delivering mobile expertise 3 Dans la zone Options du texte d finissez les param tres de recherche suivants a D finissez le type de recherche Lettres seulement Nombres seulement ou Les deux b Pour afficher les r sultats uniques s lectionnez R sultats uniques seulement 4 Dans les champs Longueur minimale et Longueur maximale d finissez la plage de longueurs du sch ma Chapitre 12 Travailler avec les donn es hexad cimales 299 Cette option vous permet de filtrer les r sultats en fonction des sch mas recherch s 5 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez
22. Traduction de donn es d cod es 171 Detaul leider Users ponathack Documents hy Reports i Deuh sortes S Calculate Se 196 bet hath Calculate MDS 128 bi hash Hex Marani Pilate tels Pour inclure le texte traduit dans les exportations 1 Cliquez sur une option d exportation as ia a Kw 2 Cochez la case Inclure les traductions File name Report Save to C Users jonathank Documents My Reports Report sub directory _iPhone 2014 07 31 14 40 41 Include translations 172 celebrite delivering mobile expertise Chapitre 7 Travailler avec l analyse de projet 173 Chapitre 7 Travailler avec l analyse de projet L analyse de projet vous permet de visualiser les donn es de l extraction en termes de nombre d v nements de communication entre l appareil et d autres parties identifi es selon leur num ro de t l phone ou d autres identifiants utilisateur adresse e mail identifiant Skype etc L analyse vous permet d identifier facilement et efficacement les sch mas de communication entre l appareil et les autres parties Par exemple e Les parties avec lesquelles l appareil communique le plus via tous types de m thodes de communication e Les parties avec lesquelles l appareil communique le plus via appels t l phoniques SMS et MMS Si l utilisateur de l appareil a chang un grand nombre d appels t l phoniques SMS et e mails avec un certain contact il est facile de voi
23. cimale 12 4 2 Modifier un signet 1 Dans l onglet Signets de la vue hexad cimale cliquez sur P La bo te de dialogue Ajouter un signet s affiche 2 Modifiez le signet votre convenance puis cliquez sur OK 12 4 3 Supprimer un signet e Dans l onglet Signet de la vue hexad cimale s lectionnez le signet que vous souhaitez supprimer puis cliquez sur Le signet est supprim celebrite 308 delivering mobile expertise 12 5 D coder des donn es brutes S lectionnez des segments de donn es hexad cimales et d codez les au fur et mesure selon plusieurs types d encodage UFED Physical Analyzer peut d coder les donn es hexad cimales vers les formats 8 bits 16 bits 32 bits 64 bits cha nes date et heure binaire et num rique Pour d coder des segments de donn es hexad cimales 1 Dans l onglet Vue hexad cimale s lectionnez le segment de donn es que vous souhaitez d coder 2 Dans l onglet Valeurs en bas de l onglet Vue hexad cimale faites d filer les encodages jusqu celui que vous souhaitez puis cliquez sur E pour agrandir la fen tre Chapitre 12 Travailler avec les donn es hexad cimales 309 Values v I fe 8Bit E 16 Bit Little endian Signed 24950 Unsigned 24950 Big endian 32 Bit Little endian El Big endian Float 2 20444E 10 64 Bit Little endian HI Big endian Double 3 93288707508301E 315 m w m ASCI var 0000755 UTF 8 var 0000755
24. cliquez sur Ajouter puis r p tez l tape 3 6 Pour supprimer les saisies personnalis es cliquez sur 7 Pour r tablir les param tres par d faut cliquez sur R tablir les param tres par d faut Chapitre 16 R f rences 379 Chapitre 16 References 16 1 Menu Fichier Ouvrir Ouvrir avanc R cent Fermer Enregistrer votre session de projet Charger une session de projet Fermer Ouvre un fichier pour l analyser avec le processus d analyse standard Ouvre un fichier pour l analyser avec le processus d analyse avanc Consultez la section Ouvrir une extraction en mode avanc page 44 Affiche une liste des projets r cents Ferme le projet actif Enregistre les informations du projet actif g n r es par l utilisateur dans un fichier de session Physical Analyzer pas Consultez la section Enregistrer une session de projet page 70 Charge un fichier de session Physical Analyzer pas dans un projet ouvert dans l arborescence de projet Ferme UFED Physical Analyzer et toutes les sessions actives celebrite 380 delivering mobile expertise 16 2 Menu Vue Afficher l cran d accueil Affiche l onglet Accueil Consultez la section Onglet Accueil page 92 Fen tre Trace Affiche Masque la fen tre Trace en bas de la zone d affichage des donn es 16 2 1 Afficher la fen tre Trace Affiche la fen tre Trace en bas de la zone d affichage des donn es pour voir un journal des actions
25. consultez la section Informations sur les signets signets d entit s page 145 88 El ment de l arborescence Rapports Scanner anti malware celebrite delivering mobile expertise Description Pour ouvrir un rapport qui a d j t cr pour le projet e Double cliquez sur le rapport dans l l ment d arborescence Rapports Le rapport s ouvre dans l application associ e au format du rapport e Siaucun rapport n a t cr pour le projet double cliquez sur l l ment d arborescence Rapports pour ouvrir la bo te de dialogue G n rer un rapport Pour en savoir plus sur la cr ation d un rapport consultez la section G n rer un rapport Ex cutez le scanner anti malware pour identifier les malware sur l appareil Pour plus d informations consultez la section Rechercher les malware page 177 Chapitre 4 S orienter dans l espace de travail 89 l ment de Description l arborescence Analyse de projet L l ment d arborescence Analyse de projet fournir une pr sentation de l analyse comparative Vous pouvez ouvrir un onglet Analyse d activit pour afficher une pr sentation de la totalit de l activit de l appareil ainsi que des onglets correspondants aux activit s du t l phone des e mails de WhatsApp de Skype de Gmail et de BlackBerry Messenger Pour plus d informations consultez la section D finir les param tres du projet page 372 4 1 1 Travailler dans la zone Arborescence
26. cran suivant s affiche _ iOS Advanced Logical 3 8 el Choose an extraction method Connect gt Prepare gt Extract data The iTunes backup of this device iPod with iOS 4 3 5 is encrypted The data extracted by each method will vary based on the device model and iOS version Method 1 Extraction of a rich set of data including call logs SMSs MMSs applications data data files and notes The decoding process will require the password for iTunes backup Method 2 Extraction of a rich set of data including SMSs MMSs applications data and data files Some data types are not extracted More info Extended extraction time Recommended if the password is unknown Back to start 224 celebrite delivering mobile expertise Pour un appareil iOS bloqu et non crypt l cran suivant s affiche E iOS Advanced Logical 4 Back to start ACEA Choose an extraction method Connect gt Prepare gt Extract data The iTunes backup of this device iPhone with iOS 7 0 3 is not encrypted The data extracted by each method will vary based on the device model and iOS version Extraction of a rich set of data including call logs SMSs MMSs applications data data files and notes Recommended Extraction of a rich set of data including SMSs MMSs applications data and data files Some data types are not extracted More info Extended extraction time Chapitre 10 Effectuer
27. d images Scan complet sans filtre ce scan utilise le m me algorithme que le scan complet mais sans le filtre Faux positif I peut tre utilis pour v rifier si des images ont t omises mais dure beaucoup plus longtemps et provoque des faux positifs suppl mentaires 3 S lectionnez l emplacement ou vous souhaitez rechercher des images pour les reconstituer Espace non allou scanne l espace m moire non attribu Images s lectionnez toutes les images que vous souhaitez scanner 4 Cliquez sur OK Le scan commence Sa progression s affiche c t de l l ment d arborescence Reconstitution gt Images a Carving EJ Images Initializing Chapitre 11 Param tres avanc s 243 11 2 2 Travailler avec les images reconstitu es Ouvrez les onglets d affichage de donn es de toutes les images reconstitu es pour les images individuelles et extrayez les images vers votre ordinateur Pour afficher toutes les images trouv es dans l arborescence de projet e Cliquez sur pour d velopper l l ment d arborescence Reconstitution gt Images Pour ouvrir un onglet d affichage de donn es pour une image individuelle e Double cliquez sur l image dans l arborescence de projet Pour en savoir plus sur le travail avec les images consultez la section Afficher les fichiers image page 116 Pour extraire vider les images reconstitu es vers votre ordinateur 1 Cliquez avec le bouton droit de la s
28. du shell Python Chapitre 14 D codage avanc 335 14 2 1 G rer les plug ins La fen tre Ajouter Supprimer des plug ins vous permet de g rer les plug ins install s 1 Cliquez sur r ty Add Remove Plugins Drag a plugin file into the box to install Name Author Type Version A Show builtin plugins E Automatically run the added plugin 2 Pour afficher les plug ins install s y compris les plug ins int gr s qui ne peuvent pas tre supprim s s lectionnez Afficher les plug ins int gr s celebrite 336 delivering mobile expertise Ka Add Remove Plugins Drag a plugin file into the box to install Name Author T AgereCalllogs Cellebrite Tr AgerePhoneBook Cellebrite Tr AgereReader Cellebrite ib AgereSMS Cellebrite TP Android Databases Cellebrite TP Android MD Cellebrite Tr Android Unlock Password Cellebrite Th Android UnlockPattem Cellebrite T Android UnlockPattem Carver Cellebrite Tr ApplePartitionMap Cellebrite Tr BlackBemy EventLog Cellebrite TP Blackbeny Filesystem Cellebrite T Blackbemy FTL Cellebrite Te BlackBerry IPD MMS Cellebrite Show builtin plugins DC Automatically run the added plugin Dans la fen tre Ajouter Supprimer des plug ins effectuez les t ches suivantes 3 Pour installer des plug ins suppl mentaires faites les glisser sur la fen tre Ajouter Supprimer des plug ins 4 Pour extraire une copie d un plug in install s lectionne
29. l emploi Chapitre 2 Installation et activation 33 2 1 3 4 Utiliser une cl r seau dongle celebrite _ amp UFen La cl r seau est connect e au r seau de votre entreprise et contient les ae licences de toutes les applications achet es callebrite e Pour utiliser UFED Physical Analyzer avec une cl r seau Cl s r seau UFED 1 Lancez l application UFED Si la cl r seau est connect e au r seau l application d marre et l utilisateur peut commencer travailler imm diatement Si la cl r seau n est pas reconnue la fen tre Licence de produit Cellebrite s affiche gt Cellebrite Product Licensing License source Network Dongle license details Show dongle log Dongle not found To use the product with a dongle license plug in the dongle to your computer Loadiicense file Software license details Deactivate software license nra me nnr Oe ro mese ore Computer ID Sori DIL Sibeb STTERII Copy Help h Sales sales cellebrite com 2 Cliquez sur R seau La fen tre suivante s affiche 34 celebrite delivering mobile expertise License source Network Dongle License Details Your license will expire on June 13 2015 Physical Analyzer license includes CHINEX iOS Physical GPS Dongle Serial 1660761760 Copy Dongle ID F929 Copy REMARQUE Si aucune cl n est trouv e sur le r seau assurez vous d tre connect Internet et
30. lectionnez le quartet rechercher 5 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 celebrite 276 delivering mobile expertise Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 6 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche
31. puis cliquez sur OK Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus Chapitre 12 Travailler avec les donn es hexad cimales 271 D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 7 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez b Dans le champ D calage saisissez le d calage avec le d but du r sultat de re
32. s de hachage MD5 et SHA256 calcul es ajouter chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante Inclure les traductions s lectionnez cette option pour inclure le texte traduit dans le rapport D sactiver la cat gorisation des mod les s lectionnez cette option pour d sactiver la s paration et g n rer un rapport dans lequel chaque l ment de donn es est g n r comme une section unique sans s paration en sous cat gories Par d faut le rapport cr est organis en cat gories et chaque cat gorie du groupe d l ments de donn es est g n r e comme section s par e du rapport Par exemple lorsque vous g n rez un rapport avec des SMS cochez cette case pour g n rer les SMS sous forme de liste unique ou d cochez la pour cr er une liste distincte pour chaque cat gorie de SMS re us envoy s brouillons etc Chapitre 15 Param tres 363 e En t te du logo saisissez et personnalisez le format du texte qui s affiche dans l en t te du rapport avant le logo e Logo cliquez sur S lectionner un fichier image pour ajouter l image du logo l en t te du rapport Les formats compatibles sont BMP JPG GIF et PNG e Pied de page du logo saisissez et personnalisez le format du texte qui s affiche dans le pied de page du rapport apr s le logo e Afficher l
33. 4 GSM 43 24 33 Fle System Dump 2605 Betrection Summary Extraction Summary Device info 7 B images i 38 Memory Ranges iPhone 4 GSM 4 3 2 4 3 3 File System Dump 26 05 11 11 34 31 Appie Phone Phys 3 GB fie Systeme Connection Type Cable No 110 Gy Archive image Mash information 3 HT inttalled Applications 32 F Q IP Connections 4 4 No reference hash information is available for this project Calculate hashes Li eh ts Owner Name 25 Last Used ICCID Wireless Networks 3 89014104243464216296 E images 556 Fi MAC 7C C5 37 E9 3C 08 USB Ethernet MAC DA 08 AD 0B AB E0 a E Videos 4 Et c 7E C5 37 9 3C 0C ti gt B Text 6 ation State WildcardActvated 76 celebrite delivering mobile expertise L espace de travail comprend les composants suivants 2 Barre de menu de l application 3 Arborescence de projet Barre d outils de l application 4 Zone d affichage de donn es 5 Recherche dans tous les projets 4 1 Arborescence de projet La zone Arborescence de projet affiche la structure des informations extraites suivante pour chaque projet ouvert pour analyse l ment de Description l arborescence R sum e Double cliquez sur R sum d extraction pour ouvrir un d extraction r sum du projet dans la zone d affichage des donn es Pour plus d informations consultez la section Onglet R sum d extraction page 94 Chapitre 4 S orient
34. 7Bit V 7Bit reversed E Advanced Maximum number of Upper Lower case switches Maximum number of Letter Digit Symbol switches Minimum number of words Space required every N chars Maximum occurrences of the following characters oMa use 1 Contains the following word words divided by spaces 2 2 NI lb a gt gt 3 Dans la zone Options du texte d finissez les parametres de recherche suivants a D finissez le type de recherche Lettres seulement Nombres seulement ou Les deux b Pour afficher les r sultats uniques s lectionnez R sultats uniques seulement Chapitre 12 Travailler avec les donn es hexad cimales 287 c Pour autoriser les symboles dans les r sultats de recherche s lectionnez Autoriser les symboles d Pour afficher les r sultats avec une faible correspondance s lectionnez Afficher les r sultats correspondance faible e Pour d finir le nombre minimum de caract res dans les r sultats d finissez la Longueur minimum 4 Dans la zone Type s lectionnez le type de recherche Unicode 7 bits 7 bits invers s 5 Dans la zone Avanc d finissez les options suivantes le cas ch ant Nombre maximal de changements minuscule majuscule Nombre maximal de changements Lettre Chiffre Symbole Nombre minimal de mots Espace requis tous les N caract res Nombre maximal d occurrences des caract res suivants e Contient le ou les mots suivants s
35. D finissez la valeur Longueur maximale du r sultat pour filtrer uniquement les r sultats jusqu la longueur sp cifi e S lectionnez Ignorer la casse pour ignorer la casse dans les r sultats de recherche S lectionnez Multiligne Pour utiliser une expression enregistr e dans la biblioth que cliquez sur celle ci dans la zone Biblioth que Pour exporter la biblioth que d expressions r guli res actuelle vers un fichier rel cliquez sur ll Pour charger une expression r guli re export e depuis un fichier rel cliquez sur e Pour supprimer une expression de la liste de la biblioth que cliquez sur Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK celebrite 282 delivering mobile expertise Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche eff
36. Etats Unis support cellebriteusa com Le fichier GPS TomTomExport xml est trait par l quipe d assistance de Cellebrite Votre demande est plac e dans une file d attente dans le service d assistance de Cellebrite Le traitement du fichier d extraction TomTom peut prendre quelques jours 11 1 2 Importer un fichier TomTom Une fois que l assistance Cellebrite vous a renvoy votre fichier XML TomTom trait importez le sur UFED Physical Analyzer 1 Ouvrez l extraction TomTom correspondant au fichier xml 2 Dans le menu Outils s lectionnez TomTom gt Importer celebrite 238 delivering mobile expertise Click Import to decrypt the TomTom trip logs Save to CADumps TomTomsStuff export decrypted xml 3 Cliquez sur et acc dez l emplacement du fichier d extraction TomTom xml qui vous a t renvoy puis cliquez sur Ouvrir 4 Cliquez sur Importer Le fichier TomTom xml est import vers UFED Physical Analyzer L l ment d arborescence Localisations est rempli 5 Double cliquez sur Localisations pour ouvrir l l ment d arborescence dans un onglet de donn es L onglet montre la localisation de l appareil toutes les trois secondes avec un horodatage indiquant la date et l heure ainsi que ses coordonn es g ographiques REMARQUE n est pas possible de r cup rer toutes les informations contenues dans le fichier d extraction TomTom Chapitre 11 Param tres avanc s 239 11 2 Reconst
37. Include translations PDF Report Disable models categorization Logo Header will Appear before the logo i REMARQUE Faites d filer vers le bas pour voir tous les champs 1 Dans la liste Type de rapport s lectionnez le type de rapport que vous souhaitez modifier 2 Pourles rapports au format Excel d finissez les options suivantes e Dossier par d faut saisissez le chemin du dossier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport e S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de Chapitre 15 Param tres 361 donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es e Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl s de hachage MD5 et SHA256 calcul es a ajouter a chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante e Inclure les traductions s lectionnez cette option pour inclure le texte traduit dans le rapport e Caract re g n rique pour les c
38. Notification de nouvelle version 27 O Obtenir une copie de UFED Physical Analyzer 19 Onglet Accueil 90 376 394 Onglet Infos fichier 113 Onglet R sum d extraction 92 Onglets de donn es 94 Ouverture avanc e d un fichier d extraction non UFED 57 Ouverture avanc e d un fichier d extraction UFED 44 Ouvrir une extraction en mode avanc 41 42 44 37 9 Ouvrir une extraction pour analyse 41 p Param tres 339 379 Param tres avanc s 231 Param tres de la visionneuse hexad cimale 250 255 261 266 271 278 284 290 295 349 Param tres de plug in post chaine 365 celebrite delivering mobile expertise Param tres des mod les 351 Param tres g n raux 340 Param tres par d faut du rapport 187 355 Parcourir le syst me de fichiers 122 Parcourir l extraction hexad cimale 298 Permettre la connectivit avec Windows Vista 19 37 Plug in de reconstitution de mot de passe de d verrouillage Android 337 Plug ins 49 330 Presentation 11 R Raccourcis 72 Rechercher des cha nes 247 248 Rechercher des cha nes de texte de SMS 248 281 Rechercher des codes et des mots de passe 248 293 Rechercher des dates 247 258 Rechercher des expressions r guli res GREP 248 275 Rechercher des informations dans les donn es hexad cimales et dans les donn es d cod es 246 Rechercher des informations dans tous les projets
39. Text color x Data Files Hex Viewer F Models Additional Report Fields a Report Defaults MEME T INT 1 Dans la liste Type s lectionnez le type de donn es 2 Dans la liste Couleur d arri re plan s lectionnez la couleur d arri re plan souhait e 3 Dans la liste Couleur du texte s lectionnez la couleur de texte souhait e celebrite 356 delivering mobile expertise 15 5 Champs de rapport suppl mentaires Name Required DefaultValue Examiner name Yes Department Eyes Location Eyes Additional Report Fields Ia Report Defaults P Post chain Pluains Ces informations facultatives sont d finies par l utilisateur et pr sent es au d but du rapport Elles incluent g n ralement des informations sur le dossier l enqu teur et les d tails de l organisation Chaque enregistrement d informations facultatives contient les informations suivantes Chapitre 15 Param tres 357 Nom Nom du champ de rapport Obligatoire Indique que le champ doit tre renseign pour g n rer le rapport Type Types d entr e Cha ne ou Liste Valeur par d faut Contenu par d faut Vous pouvez ajouter des champs de rapport et modifier et supprimer des champs votre convenance 15 5 1 Ajouter un champ de rapport ser _ _ SNr Cliquez sur Ajouter Une nouvelle ligne est ajout e au tableau Dans la colonne Nom saisissez le nom afficher
40. Travailler avec les donn es hexad cimales 293 c Pour autoriser les symboles dans les r sultats de recherche s lectionnez Autoriser les symboles d Pour afficher les r sultats avec une faible correspondance s lectionnez Afficher les r sultats correspondance faible 4 Dans les champs Longueur minimale et Longueur maximale d finissez la plage de longueurs du sch ma Cette option vous permet de filtrer les r sultats en fonction des sch mas recherch s 5 Dans la zone Type s lectionnez le type de recherche ASCII Unicode 7 bits et ou 7 bits invers s 6 Dans la zone Avanc d finissez les options suivantes le cas ch ant Nombre maximal de changements minuscule majuscule Nombre maximal de changements Lettre Chiffre Symbole Nombre minimal de mots Espace requis tous les N caract res Nombre maximal d occurrences des caract res suivants Contient le ou les mots suivants s par s par des espaces celebrite 294 delivering mobile expertise 7 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Les couleurs choisies ici
41. a different folder cick Browse gram Files Cellebrite Mobile Synchronization UFED Phi At least 311 6 ME of free disk space is required 5 Si vous le souhaitez cliquez sur Parcourir pour choisir un dossier d installation diff rent 6 Cliquez sur Suivant celebrite 24 delivering mobile expertise i Setup UFED Physical Analyzer Select Additional Tasks Which additional tasks should be performed Select the additional tasks you would like Setup to perform while installing UFED Physical Analyzer then cick Next 7 Si vous ne souhaitez pas qu une ic ne soit plac e sur le bureau d cochez la case Cr er une ic ne sur le bureau 8 Cliquez sur Suivant Chapitre 2 Installation et activation j Setup UFED Physical Analyzer Ready to Install Setup is now ready to begin installing UFED Physical Analyzer on your computer Click Install to continue with the installation or dick Back if you want to review or change any settings Destination location C Program Files Cellebrite Mobile Synchronization WFED Physical Analyzer Additional tasks Additional icons Create a desktop icon 9 Cliquez sur Installer L installation commence 25 celebrite 26 delivering mobile expertise REMARQUE Dans le cadre du processus d installation il peut vous tre demand de t l charger et d installer Microsoft NET 3 5 Framework Un acc s Internet depuis votre ordinateur est n cessaire pour effectue
42. arborescence R sum d extraction L onglet R sum d extraction peut afficher les informations suivantes e Informations de l extraction informations relatives l extraction de l appareil Telles que Date heure d but d extraction D but et fin de l extraction Date heure fin d extraction Identifiant d unit Num ro de s rie de l appareil qui a effectu l extraction par ex UFED Touch ou un identifiant unique si l extraction a t effectu e par une application PC par ex UFED 4PC Version du logiciel UFED par ex 4 1 0 220 Fabricant de l appareil par ex Apple Nom oe s lectionn Nom de l appareil par ex iPhone 4 Type de connexion C ble utilis pour l extraction par ex C ble n 100 Type d extraction Type d extraction effectu par ex syst me de fichiers ID d extraction ID unique pour chaque type d extraction Chapitre 4 S orienter dans l espace de travail 95 e Infos hachage d image v rification des valeurs de hachage consign es pour les images analys es Consultez la section V rifier les valeurs de hachage page 244 e Infos appareil r sum des informations sp cifiques de l appareil tir es du fichier d extraction Consultez l l ment nfos appareil dans Arborescence de projet page 76 e Contenu de l appareil contenu analys divis en cat gories e Donn es du t l phone type de donn es de l appareil analys es trouv es lors de l extraction journal d appels
43. chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl s de hachage MD5 et SHA256 calcul es ajouter chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante Inclure les traductions s lectionnez cette option pour inclure le texte traduit dans le rapport D sactiver la cat gorisation des mod les s lectionnez cette option pour d sactiver la s paration et g n rer un rapport dans lequel chaque l ment de donn es est g n r comme une section unique sans s paration en sous cat gories Par d faut le rapport cr est organis en cat gories et chaque cat gorie du groupe d l ments de donn es est g n r e comme section s par e du rapport Par exemple lorsque vous g n rez un rapport avec des SMS cochez cette case pour g n rer les SMS sous forme de liste unique ou d cochez la pour cr er une liste distincte pour chaque cat gorie de SMS re us envoy s brouillons etc Chapitre 15 Param tres 365 e En t te du logo saisissez et personnalisez le format du
44. contacts SMS etc Pour une liste compl te des types de donn es de t l phone consultez l l ment Donn es analys es dans Arborescence de projet page 76 e Fichiers de donn es type de fichiers de donn es standard trouv es lors de l extraction images vid os fichiers audio et fichiers texte Consultez la section Fichiers de donn es page 347 Pour afficher les informations correspondantes dans un nouvel onglet dans la zone d affichage des donn es e Cliquez sur un l ment de l arborescence 96 4 2 3 Onglets de donn es celebrite delivering mobile expertise Les onglets de donn es affichent les fichiers d un type sp cifique journal d appels contacts SMS etc Chaque type de fichier de donn es dispose de plusieurs modes d affichage des donn es Fichiers d application Fichiers images Fichiers vid o Fichiers audio Fichiers de texte Fichiers documents Bases de donn es Configurations Vue hexad cimale et Infos fichier Vue hexad cimale Vue image et Infos fichier Vue hexad cimale Info du fichier et Vue vid o Vue hexad cimale et Infos fichier Affichage texte Vue hexad cimale et Infos fichier Vue hexad cimale et Infos fichier Vue base de donn es Vue hexad cimale et Infos fichier Vue hexad cimale et Infos fichier Chapitre 4 S orienter dans l espace de travail 97 Les onglets de donn es affichent les donn es dans plusieurs sous onglets selon le type de donn es
45. de 3 rapports avec des exemples d images SMS MMS et de nombreuses autres informations Les 3 personnes charg es sont connect es les unes aux autres de diff rentes fa ons La d monstration a d fini certains d tails relatifs aux personnes filtres de donn es a ouvert l onglet Carte et cr une chronologie Tout cela compose un projet Link Analysis simple Chapitre 3 Mise en route 41 3 3 Ouvrir une extraction pour analyse UFED Physical Analyzer permet d ouvrir les fichiers cr s par l appareil UFED les fichiers XML cr s par UFED Physical Analyzer les fichiers UFDR les fichiers UFD et les fichiers URP ces fichiers sont cr s dans l application UFED Report Manager En mode avanc UFED Physical Analyzer peut ouvrir les fichiers images Pour plus d informations consultez la section Ouvrir une extraction en mode avanc page 44 1 Si les donn es de l appareil ont t extraites vers un disque amovible connectez la cl USB ou la carte SD contenant les donn es extraites a votre PC REMARQUE Pour acc l rer le traitement copiez le dossier d extraction du disque amovible vers le PC 2 Utilisez une des m thodes suivantes e Dans l onglet Accueil cliquez sur Ouvrir e Glissez d posez le fichier UFD dans UFED Physical Analyzer e Dans la barre d outils de l application cliquez sur E 2 celebrite delivering mobile expertise e Dans le menu de l application s lectionnez Fichier gt Ouvrir I
46. de donn es avec sous onglets qui pr sentent une vue particuli re en fonction des donn es e Onglet Chronologie e Onglet Image vue hexad cimale La zone d affichage de donn es affiche galement des fen tres suppl mentaires telles que la fen tre Trace et les r sultats de la liste de surveillance Pour fermer un onglet e Utilisez une des m thodes suivantes e Cliquez sur X sur l en t te de l onglet e Cliquez sur X dans l angle sup rieur droit de la zone d affichage des donn es Pour acc der un onglet sp cifique e Dans l angle sup rieur droit de la zone d affichage de donn es cliquez sur puis s lectionnez l onglet souhait dans la liste des onglets ouverts celebrite 92 delivering mobile expertise 4 2 1 Onglet Accueil L onglet Accueil appara t automatiquement dans la zone d affichage des donn es au lancement de l application Il affiche une liste des fichiers ouverts r cemment Welcome x Extraction Summary X x Welcome to Physical Analyzer Open Settings iPhone 4 GSM 4 3 2 4 3 3 File Sys Pr Pern i iPhone 2G 3G 3GS Phone 4 GSM 43 2 4 3 3 File Syste La D Cellebrite sample files Reportson Nokia 2610 2626 NSE OE NE SE Samsung GSM_SGH D508 J DCellebrit Samsung GSM_SGH D508 ufd bat D Cellebrte sample files Report xml Chaque fichier dans la liste s affiche sous la forme d un groupe d informations encadr es qui contient les l ments suivant
47. de donn es de ce fichier dans les donn es hexad cimales dans la zone d affichage des donn es cellebrite 1 26 delivering mobile expertise 5 6 Vue Chronologie La vue Chronologie est un outil puissant qui vous permet d analyser les donn es dans l ordre chronologique afin d identifier l ordre des v nements et d tablir des liens entre eux La vue Chronologie dispose de deux affichages tableau et graphique Chapitre 5 Localisation et analyse des informations 127 Dans la vue tableau les v nements apparaissent dans un tableau class s par date et heure a Welcome seal _ Extraction Summary x Summary x V Time Line 3521 x ss gt Q Advanced i Domain EME IP Connections 21 03 2011 13 03 37 L i Router Address 192 1 x 5 16 2011 13 sin ii MAC Address 001E Installed Applications 16 05 2011 0857 21 L i E545 CE Tenete i 16 05 2011 0902291 a tO Cellular WAKE ij Timestamp 21 03 CR DE CT aoni ii 13 03 6 IT fente fameuse 7 Iistant Messages asoson oposat ur e istentmessages 160520110906251 Service Name a f tesentntessoge 1120110006281 pevicel u gt sts messages ierosmi 105905 um gt SMS Messages 16 05 2011 10 59 50 L j DNS Addresses a SMS Messages 16 05 2011 11 0004L i 19216831 FALL SMS Messages 16 05 2011 12012200 22 03 2011 1330 41 L FANS 1 12 T b c
48. de projet Ouvrez les l ments d arborescence pour tudier et localiser des informations sp cifiques Cliquez pour d velopper ou pour r duire les l ments de l arborescence Double cliquez sur un l ment de l arborescence pour ouvrir les informations d taill es dans la zone d affichage des donn es Cliquez sur TE en haut de l arborescence du projet pour d velopper tous les l ments de celle ci Cliquez sur EM en haut de l arborescence du projet pour r duire tous les l ments de celle ci 90 celebrite delivering mobile expertise 4 2 Zone d affichage de donn es Double cliquez sur un l ment pour l afficher dans un onglet Un nouvel onglet est ouvert pour chaque l ment Welcome Xx ia Extraction Summary x Call Log 12 ae alae a ci 12 Feb 10 2 00 29 P ed de S face 24694 MANICA un le 27 Jun 06 9 42 33 AM UTC 0 1 z 27 Jun 06 94240 AM UTC 0 unkn ae le 12 Mar 08 9 04 55 PM a 27 tun 06 94249 amuTc o ajo e 27 Jun 06 9 42 56 AM UTC 0 x SMS Messages 87 x _ SSS Table Search Q Advanced i SMS Message ii Source fi SMSC 97254120736 i i Folder Inbox ii Timestamp 12 Feb 10 1 48 47 i PM UTC 2 ii Status Read Parties Body 1 m www grity com MobileForensics default html Chapitre 4 S orienter dans l espace de travail 91 ll existe cing types d onglet e Onglet Accueil e Onglet R sum d extraction e Onglets
49. du fuseau horaire 2 Pour modifier les dates de d but et de fin de l heure d t cliquez sur Heure d t Pour en savoir plus sur comment modifier les param tres de fuseau horaire reportez vous la section D finir un fuseau horaire unifi pour le projet bage 372 Pour configurer la gestion des fichiers supprim s lors de l utilisation de la fonctionnalit Vidage GPS Appareil de stockage de masse 1 Dans la zone Vidage s lectionnez Enregistrer les fichiers supprim s pour enregistrer les fichiers supprim s 346 celebrite delivering mobile expertise 2 S lectionnez Ajouter l extension DEL aux fichiers supprim s pour enregistrer les fichiers supprim s avec l extension DEL Pour configurer l encodage et le s parateur des fichiers CSV export s 1 Dans la zone Exporter s lectionnez l option d encodage souhait e dans la liste Encodage 2 S lectionnez le s parateur souhait dans la liste S parateur Pour que UFED Physical Analyzer v rifie automatiquement les images au chargement du projet e S lectionnez V rifier automatiquement les images au chargement du projet Pour que UFED Physical Analyzer propose de charger une session l ouverture de l extraction correspondante e S lectionnez Sugg rer la restauration d un fichier de session l ouverture du fichier de vidage correspondant Pour d sactiver la mise en vidence des informations e S lectionnez D sactiver les informations mise
50. du syst me de fichiers qui composent le fichier de donn es D calages d calages d adresse du fichier de donn es dans les donn es hexad cimales EXIF informations EXIF int gr es enregistr es par la cam ra le cas ch ant M tadonn es du fichier informations g n rales concernant l image heure de capture r solution taille et profondeur de la couleur 4 2 3 9 Afficher les fichiers images 1 Double cliquez sur une image dans un onglet d affichage des donn es Chapitre 4 S orienter dans l espace de travail 117 Un nouvel onglet contenant l image s ouvre Cet onglet est divis en deux sous onglets Vue image et Infos fichier _2_embedded_2 j Xx Welcome X Extraction Summary X V Extraction Summary X Call Log 12 X X L jpg 2 Dans l onglet Vue image utilisez les commandes de l image j ey Hg Ie I Parcourir l image lorsqu elle est agrandie O G Faire pivoter l image dans le sens des aiguilles d une montre et dans le sens inverse PH Zoom avant et arri re Vous pouvez galement ajuster le zoom a l aide de la barre de glissement celebrite 11 8 delivering mobile expertise E Faire un zoom avant pour ajuster l image l onglet ch Red finir un zoom de 100 y Masquer les commandes de l image 3 Cliquez sur l onglet Infos fichier pour afficher les informations relatives au fichier Par exemple la section M tadonn es de fichier inclut des informations tell
51. en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats a des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez b Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses c Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Chapitre 12 Travailler avec les donn es hexad cimales 277 d Dans le champ Afficher comme saisissez le tyoe de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits e S lectionnez Contient et saisissez une chaine qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche f S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 g Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s A partir du d but des r sultats ou partir de la fin des r sultats Les donn es suppl mentaires sont consign es
52. en charge sont les suivantes Chinois simplifi Japonais payant Chinois traditionnel Cor en N erlandais Polonais Allemand Portugais H breu Russe Italien Espagnol Francais Ukrainien celebrite delivering mobile expertise 160 6 1 Utilisation de la fonction Pour utiliser cette fonction proc dez de la fa on suivante e Mettez jour votre licence avec les langues s lectionn es e T l chargez le package de traduction e Traduisez les donn es d cod es 6 2 Mettre jour votre licence avec les langues s lectionn es Vous pouvez s lectionner jusqu cing langues gratuitement sur la page Mes produits dans MyCellebrite Si vous avez besoin de langues suppl mentaires vous pouvez acheter le Pack Langue basique Vous ne pouvez pas modifier une langue apr s l avoir enregistr e mais vous pouvez demander des langues suppl mentaires REMARQUE Si vous souhaitez effectuer la traduction vers une langue autre que l anglais vous devez galement la s lectionner 6 2 1 S lectionner des langues dans MyCellebrite Pour s lectionner des langues 1 Connectez vous MyCellebrite et s lectionnez l onglet Mes produits La fen tre suivante s affiche Chapitre 6 Traduction de donn es d cod es v Active Products Dl 2 S lectionnez PC IZA WDP 5UD ZVI K2X 62A L72 UFED Physical Expi Basic Languages 4 Expi UFED Logical Expi UFED 4PC Expi UFED Logical Analyzer Expi UFED Phone Detect
53. en route 59 2 En cliquant sur l option Commencer sans fichier UFD vous disposez de deux points de d part pour votre nouveau projet e S lectionner l appareil S lectionnez la d finition sp cifique de l appareil a utiliser pour d coder l extraction de donn es Cette option est utile lorsque vous connaissez le fabricant et le mod le de l appareil Consultez la section Commencer par la s lection de l appareil page 59 e Nouveau projet Offre un panneau Personnalisation avanc e vide vous permettant de d finir les donn es et param tres du processus Cette option est utile lorsque vous n avez aucune information sur l appareil et ou le fabricant et souhaitez cr er un processus de d codage personnalis Voir Commencer avec un nouveau projet page 61 3 4 2 1 Commencer par la s lection de l appareil Cr ez un nouveau projet pour l extraction de donn es bas sur un appareil connu 1 Dans la fen tre Ouvrir avanc cliquez sur S lectionner l appareil 60 celebrite delivering mobile expertise Device Selection Select the device for your input data Select Device Cancel lt Back 2 Dans la liste S lectionner l appareil s lectionnez l appareil souhait 3 Utilisez la liste de fabricants sur la gauche pour filtrer les appareils affich s par fabricant et le champ Filtre rapide pour filtrer les appareils affich s en fonction d une cha ne Chapitre 3 Mise en route 61 4 Cliquez sur Suiv
54. instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat celebrite 302 delivering mobile expertise e Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 8 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 9 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 10 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel HTML PDF 16 ou XML a 12 2 Parcourir l extraction hexad cimale e Double cliquez sur une extraction hexad cimale dans l arborescence de projet pour afficher son contenu dans un onglet Vu
55. l une des fa ons suivantes 1 Dans le menu Python s lectionnez Shell Python 2 Cliquez sur am E Python Shell Restart Shell Active Project iphone 4 gsm 4 3 2 4 3 3 file syste gt gt gt gs is now set to project iphone 4 gsm 4 3 2 4 3 3 file system dump 26 05 11 11 34 31 Pour en savoir plus sur l utilisation des commandes du shell Python pour l analyse personnalis e consultez le Guide d criture de script Python disponible dans le menu Aide celebrite 340 delivering mobile expertise 14 4 Exporter le syst me de fichiers Exportez le syst me de fichiers extrait pour l enregistrer en totalit l emplacement de votre choix sur votre ordinateur Cet enregistrement conserve la m me hi rarchie que la structure des dossiers et fichiers physiques du syst me de fichiers original Pour exporter le syst me de fichiers extrait 1 Dans le menu Outils s lectionnez Vidage du syst me de fichiers ou cliquez sur Ee 2 Dans la fen tre de dialogue Parcourir les dossiers s lectionnez l emplacement o vous souhaitez enregistrer le syst me de fichiers extrait 3 Cliquez sur Cr er un nouveau dossier pour cr er un dossier l emplacement cible 4 Cliquez sur OK pour exporter le syst me de fichiers 14 5 Utiliser le plug in de reconstitution de sch ma de d verrouillage Android Utilisez le plug in de reconstitution de sch ma de d verrouillage Android lorsque vous travaillez avec d
56. la cha ne par e d faut de Cellebrite D code les extractions physiques et ou de syst mes de fichiers BlackBerry D code les extractions de sauvegarde BlackBerry D code les mod les pour la s rie Casio c7X1 Decode le syst me FAT table d allocation de fichier Decode les donn es de la sauvegarde Apple iCloud celebrite 332 delivering mobile expertise Nom de la cha ne Description iPhone Japanese Content D code le contenu pour les iPhones japonais iPhone Databases Logical D code le contenu iPhone pour les extractions num riques iPhoneBackupLogical D code les donn es des sauvegardes iPhone pour les extractions num riques iPhoneFS D code les systemes de fichiers et le contenu sur iPhone iPhonePhysical D code les extractions physiques iPhone Motorola Android D code les appareils Motorola Android Nokia FS D code les systemes de fichiers sur Nokia Decode tout le contenu sur Nokia Nokia Predef XSR Decode les extractions physiques non Symbian Nokia BB5 PantechCdm8999Contents D code SMS MMS et journaux d appels pour l appareil Pantech CDM8999 extrait les fichiers et SMS du syst me de fichiers Content Qualcomm Sanyo Qualcomm CDMA D code les syst mes de fichiers et le contenu de la couche de Chapitre 14 D codage avanc 333 x I Symbian Physical D code la couche de traduction flash et une partition FAT a l aide de Symbian WebOS D code les systemes de fic
57. lectionnez Outils gt Param tres L cran suivant s affiche Pn Localization Es Lo Interface Language E English v Translation Language English bd Y Show translation by default Tat O Always shift timestamps to this time zone UTC Dublin Edinburgh Lisbon v Data Files Daylight Saving Time 2 S lectionnez la langue de traduction C est la langue dans laquelle vous souhaitez traduire le texte Vous ne pouvez s lectionner qu une seule langue de traduction Pour demandez des langues de traduction suppl mentaires s lectionnez Plus de langues 3 Cochez la case Afficher la langue de traduction par d faut pour afficher les traductions par d faut D cochez cette case pour que la traduction n apparaisse pas lorsque vous traduisez le texte Pour afficher la traduction s lectionnez Afficher la traduction Chapitre 6 Traduction de donn es d cod es 169 Pour traduire des donn es d cod es 1 Cliquez sur les donn es que vous souhaitez traduire pour les s lectionner berpr fung in verschiedenen Sprachen Translate 2 Cliquez sur le bouton ou sur le bouton droite de la souris et s lectionnez Traduire Li Pe la s lection ou cliquez sur 7 puis s lectionnez l une des options suivantes e Traduire tout Traduit toutes les entr es dans le champ sp cifi e Traduire la s lection Traduit uniquement le texte s lectionn REMARQUE S
58. lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 8 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 9 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 10 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel HTML PDF 8 ou XML S 12 1 3 Rechercher des dates Recherchez des dates pour trouver des p riodes dans les donn es hexad cimales 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher Chapitre 12 Travailler avec les donn es hexad cimales 263 2 Dans l onglet Rechercher s lectionnez Dates dans la liste de types de donn es Find YYYYMMDDHHM T Epoch Jan 6 1980 Find RegEx GREP SMS 7bit PDU Pattem Code Date search Date search Epoch Jan 1 1970 Date search HFS Filesystem Date search MS DOS 057 2 Date search Qualcomm BRE E Dates range parameters Min date 01 01 2000 Max date 24 09 2012 Colors Text Background Find all instances E Show results comments slower La fen tre Filtres affiche une li
59. les messages des conversations instantan es affiche dans le rapport la totalit des messages des conversations instantan es Famille de police pour les rapports au format PDF uniquement Diviser le rapport HTML pour les rapports au format HTML uniquement Garantit que chaque section du rapport commence sur une nouvelle page b Rapports au format Excel tous formats et ODS Rapport Excel compatible avec OpenOffice s lectionnez cette option pour vous assurer que le rapport Excel pourra tre ouvert sous OpenOffice G n rer les donn es d identification du contact s lectionnez cette option pour ajouter une feuille au rapport Excel contenant une liste des contacts uniques en fonction du type c Package de rapport UFED et XML Chapitre 9 G n rer un rapport 197 e AUCUN param tre suppl mentaire n est requis pour ces rapports Si les formats de rapport demand s incluent uniquement des rapports XML et ou UFED aucune information suppl mentaire n est n cessaire 13 Cliquez sur Terminer REMARQUE L option Terminer ne devient disponible qu une fois que les champs obligatoires sont remplis Une ic ne d avertissement jaune s affiche c t de tous les champs requis qui ne sont pas remplis Lorsque le rapport a bien t cr vous tes invit ouvrir le fichier correspondant Celui ci s ouvre avec l application correspondant au format de fichier install e sur le poste de travail Une fois qu un rap
60. lines Selection Background Text Application Bookmark text Highlight background anni Highlight text File chunk background File chunk text Selected file chunk text Bookmark background Selected file chunk background Base format for selection Courier New 354 celebrite delivering mobile expertise Modifiez les param tres par d fauts suivants de la visionneuse hexad cimale Afficher l adresse Afficher Masquer la colonne des num ros de ligne de la visionneuse hexad cimale Afficher la vue ASCII Afficher Masquer la colonne de la vue ASCII de la visionneuse hexad cimale Afficher les lignes de s paration Afficher Masquer les lignes de s paration entre les colonnes Adresse Donn es hexad cimales et Vue ASCII Afficher les donn es de cha ne 0x00 et OxFF comme un espace Les donn es de cha ne affichent les caract res 0x00 et OxFF comme un espace au lieu d un Format de base pour la s lection Format des num ros de ligne d cimal hexad cimal ou les deux Police Police utilis e pour afficher les informations Param tres de couleur D finit les couleurs appliqu es aux diff rentes fonctionnalit s de la visionneuse hexad cimale Chapitre 15 Param tres 355 15 4 Param tres des mod les D finissez les sch mas de couleurs appliqu s aux diff rents types de donn es de l appareil Background color L x General Settings
61. mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s A partir du d but des r sultats ou A partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 15 Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale 284 celebrite delivering mobile expertise Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Donn e
62. nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez Chapitre 12 Travailler avec les donn es hexad cimales 289 D C Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une chaine qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s A partir du d but des r sultats ou A partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn
63. of data can be extracted Extraction of a rich set of data including SMSs MMSs applications data and locations Call logs are not extracted Extended extraction time Method 2 Extraction of a set of data including call logs SMSs MMSs applications data and locations Extraction of the richest set of data including call logs SMSs MMSs emails applications data and locations recommended Back to start 221 celebrite 222 delivering mobile expertise Pour un appareil iOS d bloqu et crypt l cran suivant s affiche DD SES 0 UW gt En a iOS Advanced Logical 3 8 Choose an extraction method Connect gt Prepare gt Extract data The device iPhone with iOS 4 0 2 is jailbroken and iTunes backup is encrypted The data extracted by each method will vary based on the device model and iOS version Method 1 Extraction of a rich set of data including call logs SMSs MMSs applications data data files and notes The decoding process will require the password for iTunes backup Method 2 Extraction of a rich set of data including SMSs MMSs applications data and data files Some data types are not extracted More info Extended extraction time Method 3 Extraction of the richest set of data including call logs SMSs MMSs emails applications data and locations Recommended Back to start Chapitre 10 Effectuer des extractions 223 Pour un appareil iOS bloqu et crypt l
64. personnalis ou de sp cifier comment analyser les appareils inconnus Chapitre 3 Mise en route 45 Pour cr er un nouveau projet partir des donn es extraites par UFED avec l option Ouvrir avanc 1 S lectionnez Fichier gt Ouvrir avanc ou cliquez sur Li La bo te de dialogue Ouvrir avanc s affiche vous permettant de d finir le processus de d codage des donn es extraites pour votre nouveau projet Open Advanced Start a new project while customizing the decoding process Select a UFED extraction If you ve used a UFED unit to extract data from your device select the UFD file in the extraction folder CS Select a UFED extraction Start without a UFD file Use this option in case another method was used to extract the data e g a chip off or a different tool Blank project Select Device n cellebrite delivering mobile expertise 2 Cliquez sur S lectionner une extraction UFED 3 Dans la bo te de dialogue Ouvrir s lectionnez le fichier ufd traiter puis cliquez sur OK Le contenu de la bo te de dialogue devient Personnalisation avanc e et affiche les informations d tect es suivantes en fonction du fichier ufd choisi e Appareil Nom du fabricant et mod le de l appareil e Cha ne s lectionn e Cha ne de d codage standard de l appareil automatiquement attribu e l appareil e Vidages binaires Images d extraction binaires r f renc es par le fi
65. pouvez ajouter qu une seule extraction de syst me de fichiers Si vous tentez d en ajouter plusieurs le vidage de syst me de fichiers ajout pr c demment est supprim qu il s agisse d une archive ZIP o d un dossier e Pour supprimer une extraction de syst me de fichiers cliquez sur li qui s affiche lorsque vous placez le curseur de la souris sur celui ci Chapitre 3 Mise en route 57 3 4 2 Ouverture avanc e d un fichier d extraction non UFED Lorsque vous recevez des extractions binaires ou de syst me de fichiers non g n r es par une unit UFED ou si vous ne disposez pas du fichier ufd qui les accompagne vous pouvez utiliser la fonctionnalit Ouvrir avanc pour d finir comment les d coder pour le nouveau projet 1 S lectionnez Fichier gt Ouvrir avanc ou cliquez sur LE celebrite 58 delivering mobile expertise La bo te de dialogue Ouvrir avanc s affiche vous permettant de d finir le processus de d codage des donn es extraites pour votre nouveau projet Open Advanced Start a mew project while customizing the decoding process Select a UFED extraction If you ve used a UFED unit to extract data from your device select the UFD file in the extraction folder LS Select a UFED extraction Start without a UFD file Use this option in case another method was used to extract the data eg a chip off or a different tool L Blank project Select Device Chapitre 3 Mise
66. processus d analyse des donn es y compris l analyse du projet commence Cela peut durer plusieurs minutes A la fin du processus un nouveau projet est ajout l arborescence de projet et le R sum d extraction appara t dans la zone d affichage des donn es REMARQUE Pour ouvrir une extraction rapidement lorsque UFED Physical Analyzer est ferm double cliquez sur le fichier ufd dans le r pertoire d extraction UFED Physical Analyzer s ouvre et commence l analyse des donn es celebrite 44 delivering mobile expertise 3 4 Ouvrir une extraction en mode avanc La fonctionnalit Ouvrir avanc vous permet de sp cifier les options de l extraction de donn es de l appareil et de d codage Choisissez parmi deux m thodes d ouverture de projet principales e S lectionner une extraction UFED vous permet de sp cifier comment d coder un fichier d extraction UFED ufd e Commencer sans fichier ufd vous permet de commencer d coder une extraction physique ou un syst me de fichiers qui n a pas t g n r par une unit UFED 3 4 1 Ouverture avanc e d un fichier d extraction UFED Le processus d ouverture standard active un processus de d codage en fonction des informations relatives a l appareil et au fabricant enregistr es sur le fichier ufd L utilisation de la m thode S lectionner une extraction UFED vous permet d ignorer le processus d ouverture standard et de sp cifier un processus d analyse
67. qu une cl est connect e au r seau Cliquez ensuite sur Rafra chir pour rechercher une cl r seau nouveau REMARQUE Par d faut la configuration du r seau est Diffusion Si n cessaire vous pouvez connecter manuellement la cl r seau Cliquez sur Configurer pour modifier la configuration du r seau et choisissez l option H te sp cifique Saisissez le nom de l h te ou son adresse IP et le num ro de port 1 5 chiffres REMARQUE Si une seule cl r seau est disponible elle est s lectionn e automatiquement S il y a plusieurs cl s r seau s lectionnez la cl souhait e dans la liste puis cliquez sur Appliquer F licitations Votre application est maintenant pr te l emploi Chapitre 2 Installation et activation 35 2 1 4 D placer UFED Physical Analyzer vers un autre PC a l aide d une licence logicielle Lorsqu une installation de UFED Physical Analyzer activ e par une licence logicielle doit tre d plac e vers un autre PC vous devez d abord d sactiver supprimer la licence de l ordinateur d origine Le processus de d sactivation varie selon les versions de la licence Suivez les instructions fournies par votre application 2 1 4 1 D sactivation des licences de la version 2 1 Dans UFED Physical Analyzer allez dans Aide gt Afficher les d tails de la licence La fen tre Licence de produit Cellebrite s affiche 2 Cliquez sur D sactiver la licence logicielle La fen tre D sa
68. saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses 266 celebrite delivering mobile expertise Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s A partir du d but des r sultats ou A partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 7 Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Chapitre 12 Travailler avec les donn es he
69. sous forme de liste unique o d cochez la pour cr er une liste distincte pour chaque cat gorie de SMS re us envoy s brouillons etc En t te du logo zone de texte dans laquelle vous pouvez saisir et personnaliser le format du texte qui s affiche dans l en t te du rapport avant le logo Logo cliquez sur S lectionner un fichier image pour ajouter l image du logo l en t te du rapport Les formats compatibles sont BMP JPG GIF et PNG Pied de page du logo saisissez et personnalisez le format du texte qui s affiche dans le pied de page du rapport apr s le logo Afficher les totaux pour les l ments exclus du rapport ajoute une colonne Total au rapport qui affiche le nombre total d l ments exclus du rapport Afficher le statut complet des l ments supprim s inclut le statut Intact Supprim o Inconnu des l ments supprim s dans le rapport g n r Lorsque cette 196 celebrite delivering mobile expertise option n est pas s lectionn e le statut des l ments supprim s est simplement Oui et reste vide pour les autres statuts Nombre de lignes de l aper u d e mail d finit le nombre maximum de lignes affich dans le rapport pour chaque e mail Afficher le corps entier de l e mail affiche la totalit du corps du message Nombre de messages par chat d finit le nombre maximum de messages affich dans le rapport pour chaque conversation instantan e Afficher tous
70. sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 10 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel HTML PDF 8 ou XML E Chapitre 12 Travailler avec les donn es hexad cimales 279 12 1 6 Rechercher des expressions regulieres GREP Recherchez des expressions r gulieres RegEx pour rechercher une structure de chaine sp cifique dans les donn es Par exemple pour l expression r guli re a zA Z0 9 _ a zA Z0 9 A Za z 2 4 UFED Physical Analyzer recherche dans vos donn es toutes les adresses e mail qui correspondent a la structure lt chaine gt lt chaine gt lt 2 a 4 lettres gt 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher celebrite 280 delivering mobile expertise Find cox Tercssececeseneseseerenesseseonenesese0e Options 2 Dans l onglet RegEx GREP saisissez l expression que vous souhaitez utiliser dans la recherche 3 Cliquez sur pour saisir un code d expression r guli re choisi dans une liste de codes communs 4 Cliquez sur pour enregistrer l expression actuelle dans la liste de la biblioth que Chapitre 12 Travailler avec les donn es hexad cimales 281 ia Cliquez sur fia pour effacer le champ de l expression r guli re
71. sur OK C Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 300 celebrite delivering mobile expertise 6 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a D S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche par
72. 4 Rechercher des informations dans tous les projets ouverts Utilisez la bo te de recherche Tous les projets dans la barre d outils pour rechercher des informations dans tous les projets ouverts 1 Saisissez la cha ne de votre choix dans la case Tous les projets Une liste des r sultats correspondants s affiche sous le champ de recherche Tous les projets Les r sultats sont tri s par projet ouvert Dans chaque projet les r sultats sont tri s par cat gories selon le type SMS messages contacts fichiers etc Le nombre de r sultats dans chaque cat gorie type s affiche galement celebrite delivering mobile expertise 124 shop Show All 5 blackberry 9800 ebay 3 Samsung GSM_SGH D508 3 2 Cliquez sur pour r duire ou d velopper les projets 3 Utilisez une des m thodes suivantes e Cliquez sur a c t du nom d un projet pour afficher les r sultats de la recherche dans cette extraction dans un onglet dans la zone d affichage des donn es S lectionnez Tout afficher en haut de la liste de r sultats rapides pour afficher un onglet R sultats dans la zone d affichage des donn es montrant tous les r sultats de la recherche La cha ne correspondante dans chaque l ment appara t en rouge Comme dans la liste de r sultats rapides l onglet R sultats r pertorie les r sultats par type 5 5 Parcourir le syst me de fichiers UFED Physical Analyzer permet de reconstruire et d affich
73. 5 Effectuer une extraction num rique avanc e 212 Effectuer une extraction physique 196 Effectuer une extraction physique d appareils crypt s 205 206 Effectuer une extraction physique d appareils iOS non crypt s 197 207 209 Enregistrement d un fichier ufd 69 Enregistrer les param tres 70 339 366 Enregistrer une chaine personnalis e 54 Enregistrer une session de projet 69 375 Espace libre 12 Ex cuter un plug in sp cifique 333 337 381 Ex cuter une liste de surveillance 140 Ex cuter une liste de surveillance sur des projets sp cifiques 141 Ex cuter une liste de surveillance sur votre projet en cours 142 Exporter le syst me de fichiers 336 378 Exporter un fichier TomTom 232 Index Exporter une liste de surveillance 138 Extraction d appareils iOS 195 379 Extraction de donn es d un appareil avec mot de passe complexe 209 Extraction de donn es d un appareil avec mot de passe simple 207 Extraction du GPS o des appareils de stockage de masse 223 Extraction physique 12 F Fermer UFED Physical Analyzer 71 Fermer un projet 71 Fichier ufdx 310 312 Fichiers de donn es 93 343 392 G G rer les cha nes 54 313 381 G rer les cha nes d appareils 320 G rer les param tres des fichiers de donn es 81 345 G rer les plug ins 331 381 H Heure d t 341 Importer un fichier TomTom 233 Importer une liste de surv
74. ApplicationUsage Name com apple mobileslidesho E 2 0x243F366 Od ApplicationUsage LaunchCount 1 3 0x243F3A43 Od ApplicationUsage ActivationCount 18 A NwIAIEIIN mA Annlicatinalleane ActnreTime NMI AA b lt m ul 2 Values E Bookmarks Q Highlights 6 results Offset 0x243F36E Selection 0x0 Chapitre 4 S orienter dans l espace de travail 115 2 Dans l arborescence de projet cliquez sur un dossier Donn es analys es par exemple Contacts L emplacement du dossier s lectionn est mis en vidence dans l onglet Vue hexad cimale et la liste des tranches de donn es qui composent le dossier se trouve dans l onglet Mises en vidence 4 2 3 8 Onglet Infos fichier Welcome x Extraction Summary x Text 4 x Images 556 x CallLog 1 x TAR X call_history db x v X Database view Hex View File Info E Date amp Time Creation time Modify time 12 03 2011 12 34 00 UTC 0 Last access time E General File size 28672 Bytes Chunks 1 E Offsets Data offset 0x5450E00 116 celebrite delivering mobile expertise L onglet Infos fichier affiche les informations suivantes relatives au fichier de donn es FAT table d allocation de fichier des attributs tendus Date et heure horodatages de la date de cr ation de la date de modification et du dernier acc s au fichier de donn es G n ral taille du fichier en octets et nombre de tranches
75. D placer UFED Physical Analyzer vers un autre PC l aide d une licence logicielle 35 2 1 5 Permettre la connectivit avec Windows celebrite delivering mobile expertise Chapitre 3 Mise en route 39 3 1 Lancer UFED Physical Analyzer 40 3 2 D monstration de LINK Analysis 40 3 3 Ouvrir une extraction pour analyse 41 3 4 Ouvrir une extraction en mode avanc 44 3 4 1 Ouverture avanc e d un fichier Cie PaO We aei en 44 3 4 2 Ouverture avanc e d un fichier Ucci 57 3 4 3 Enregistrement d un fichier Ufd uu ee 69 3 5 Enregistrer une session de projet 70 3 6 Charger une session de projet 71 RR 72 3 8 Fermer UFED Physical Analyzer 72 3 9 Raccourcis Clavier 73 Contenu Chapitre 4 S orienter dans l espace de traValli assi ii 75 4 1 Arborescence de projet 76 4 1 1 Travailler dans la zone Arborescence de O 89 4 2 Zone d affichage de donn es ns 90 4 2 1 Onglet ACCUEIT nes 92 4 2 2 Onglet RESUME d extraction 94 AD Ole Ce CORNE 96 Chapitre 5 Localisation et analyse des IHTOrMAatiIONSsssssnnnnnnenhennnnannn 119 5 1 Rechercher des informations dans un onglet CR 3 119 D LES RITES a AO EN 119 ARE 122 5 4 Rechercher des informations dans tous les DOE OUVE Reel 123 5 5 Parcourir le syst me de fichiers 124 5 5 6 VCCI WON OOO onu 126 5 7 Acc der la vue Conversation ss 129 5 8 Travailler avec l
76. Definitions Downloader Ready to download malware definitions There are new malware definitions Click Download to start downloading the definitions They will be stored in the same location as the Downloader Select the computer operating system on which the UFED Physical Analyzer is installed 32 Bit 64 Bit 4 S lectionnez le syst me d exploitation de l ordinateur sur lequel UFED Physical Analyzer est install 5 Cliquez sur T l charger celebrite 182 delivering mobile expertise 4 Malware Definitions Downloader Download completed successfully Copy the definitions file to a storage device if it s not already on one connect it back to the computer running Physical Analyzer and continue there Open containing folder 6 Cliquez sur Ouvrir le dossier 7 Copiez le fichier definitions msd sur un dispositif de stockage externe puis transf rez le sur l ordinateur sur lequel UFED Physical Analyzer est install 8 Cliquez sur Fermer pour fermer le programme de t l chargement des d finitions de malware REMARQUE Pour simplifier votre travail et gagner du temps il est conseill d utiliser toujours le m me ordinateur pour t l charger le fichier definitions msd Lorsque vous t l chargerez le fichier definitions msd sur cet ordinateur l avenir le programme de t l chargement des d finitions de malware mettra jour le fichier au lieu de le t l charger en totalit Assurez vous de ne pas s
77. Enregistrer sous acc dez l emplacement o vous souhaitez enregistrer votre configuration de param tres puis cliquez sur Enregistrer Les param tres sont enregistr s dans un fichier de configuration des param tres UFED Physical Analyzer cnf celebrite 372 delivering mobile expertise 15 9 Charger des param tres Chargez votre configuration de param tres enregistr e 1 Dans la fen tre Param tres cliquez sur Charger la configuration 2 Dans la fen tre Ouvrir acc dez l enregistrement de votre configuration de param tres s lectionnez la cnf puis cliquez sur Ouvrir Les param tres sont appliqu s dans la fen tre Param tres 15 10 D finir les param tres du projet D finissez un fuseau horaire unifi et des informations de dossier pour chaque projet 15 10 1 D finir un fuseau horaire unifi pour le projet Au cours de l extraction un horodateur est extrait par v nement Pour les v nements sortants l horodateur est g n ralement issu de l une des sources suivantes e Heure de l appareil d finie par l utilisateur lorsque l heure de l appareil a t d finie manuellement par l utilisateur les horodateurs sont affich s sans l heure locale exacte UTC Chapitre 15 Param tres 373 e Heure de l appareil d finie par le r seau lorsque l heure de l appareil est d finie automatiquement par le r seau les horodateurs sont affich s avec l heure locale exacte UTO Pour les
78. MS 273 12 1 6 Rechercher des expressions r guli res Ci E 279 12 1 7 Rechercher des cha nes de texte de ll 285 12 1 9 Rechercher des codes et des mots de 12 3 Utiliser un d calage pour acc der directement un emplacement diff rent dans le ce eee OPP PPT 303 12 4 Travailler avec les signets 304 Lee hed OU ie UI SIO Re 2 304 12 42 Mod r 307 l2 43 SUPPAMSFUASIOR ns 207 12 5 D coder des donn es brutes 308 12 6 Afficher les informations des donn es hexad cimMaleS rennes 310 12 7 Localiser des types de donn es sp cifiques dans les donn es hexad cimales 311 Chapitre 13 Preuve appareil photo et capture d cran ssessesssocceesssocceeessooceeessooe 313 8 Chapitre 14 D codage avanc seo 317 14 1 G rer les Cha nes nn 317 14 1 1 Construire UNE Cha ne nn 319 14 1 2 Modifier une cha ne existante 321 14 1 3 G rer les cha nes d appareils 324 14 1 4 Supprimer UNE chafre nn 330 14 1 5 Description des Cha nes sse 330 CCL 334 14 2 1 G rer les PLUG INS hs 35 14 2 2 Ex cuter un plug in sp cifique 357 14 3 Utiliser le shell Python 339 14 4 Exporter le syst me de fichiers 340 14 5 Utiliser le plug in de reconstitution de sch ma de d verrouillage Android 340 14 6 Plug in de reconstitution de mot de passe de d verrouillage Android 341 celebrite delivering mobile expertise Chapit
79. OS La plupart des donn es telles que les contacts messages photos certains e mails etc peuvent tre d crypt es sans conna tre le mot de passe Cependant pour d crypter certains mots de passe et e mails enregistr s vous devez conna tre le mot de passe de l appareil Si l appareil est verrouill par un mot de passe simple iOS Device Extraction r cup re automatiquement ce mot de passe pour vous Si l appareil est verrouill par un mot de passe complexe vous pouvez essayer autant de mots de passe que vous le souhaitez o poursuivre l extraction sans pouvoir d crypter certains mots de passe et e mails enregistr s Si l appareil n est pas verrouill par un mot de passe toutes les donn es peuvent tre extraites m me si l appareil est crypt 10 1 2 2 1 Extraction de donn es d un appareil avec mot de passe simple 1 Suivez les tapes 1 7 de la section Effectuer une extraction physique d appareils iOS non crypt s page 207 Lorsque l appareil est pr t pour l extraction tape 8 une option R cup ration du mot de passe suppl mentaire est ajout e aux deux options d extraction Extraction physique et Extraction de systeme de fichiers L option de r cup ration du mot de passe fournit le mot de passe de l appareil afin de vous permettre de le d verrouiller et de l utiliser celebrite 212 delivering mobile expertise 2 Pour extraire et r cup rer le mot de passe en un seul processus choisissez Extrac
80. Utiliser le filtre rapide 117 Utiliser le plug in de reconstitution de sch ma de d verrouillage Android 336 Utiliser le shell Python 335 380 Utiliser un d calage pour acc der directement un emplacement diff rent dans le fichier 299 V V rifier les valeurs de hachage 93 240 Vue base de donn es 104 Vue Chronologie 124 Vue Conversation 127 Vue dossier 102 Vue hexad cimale 106 123 245 Vue tableau pour les donn es analys es 101 Vue tableau pour les fichiers de donn es 99 Vue texte 98 Z Zone d affichage de donn es 88 Index
81. Vue hexad cimale appara t pour chaque l ment binaire ouvert partir de l arborescence de projet Par exemple lorsque vous ouvrez un disque m moire Image un onglet Vue hexad cimale s ouvre seul Lorsque vous ouvrez un l ment binaire par exemple un fichier image l onglet Vue hexad cimale peut tre accompagn par d autres onglets X call_history db X aaar Offset Length 2 Values Bookmarks Highlights Length 0x7000 Offset 0x0 Selection 00 Chapitre 4 S orienter dans l espace de travail 109 L onglet Vue hexad cimale contient les sections suivantes Onglets hexad cimaux a Colonne d adresse num ro de la colonne d informations en valeur hexad cimale ou d cimale affichant l adresse de d part de chaque ligne dans les sections de donn es de repr sentation hexad cimale et ASCII b Colonne Vue de donn es hexad cimales donn es hexad cimales de l l ment s lectionn c Colonne Vue de repr sentation ASCII repr sentation au format ASCII des donn es hexad cimales Une fen tre d informations s affiche automatiquement lorsque vous placez la souris sur les informations affich es dans la vue hexad cimale La fen tre d informations affiche des liens pointeurs vers les l ments de donn es analys s tels que les fichiers et dossiers dans l arborescence de projet et les r sultats de recherche associ s aux donn es point
82. XP Chapitre 2 Installation et activation 19 Si vous avez l intention d activer l application l aide d une cl de Autorisations licence logicielle dongle fournie par Cellebrite vous devez disposer de droits d administrateurs sur l ordinateur REMARQUE Pour permettre l extraction vers un PC avec le syst me d exploitation Windows Vista suivez la proc dure d crite dans la section Permettre la connectivit avec Windows Vista page 37 2 1 2 Installation du logiciel 2 1 2 1 Obtenir une copie de UFED Physical Analyzer Vous pouvez trouver une copie du logiciel d installation le plus r cent pour l application UFED Physical Analyzer aupr s des sources suivantes e CD UFED Physical Analyzer e En le t l chargeant sur le site MyCellebrite e En le t l chargeant l aide du lien fourni dans les notes de publication celebrite 20 delivering mobile expertise 2 1 2 2 Installer UFED Physical Analyzer REMARQUE Avant de commencer assurez vous qu aucun c ble U 441 n est branch votre ordinateur 1 Double cliquez sur le fichier de configuration Select Setup Language 2 S lectionnez la langue de votre choix puis cliquez sur OK pour continuer Chapitre 2 Installation et activation WA Setup UFED Physical Analyzer Vase eur Welcome to the UFED Physical Analyzer Setup Wizard This will install Cellebrite UFED Physical Analyzer 3 8 on your It is recommended that you dose all
83. ad cimaux qui peuvent ensuite tre lus et d cod s l aide de UFED Physical Analyzer L extraction physique ainsi cr e inclut l espace m moire non attribu par le syst me d exploitation de l appareil qui peut contenir des donn es supprim es notamment SMS journaux d appel entr es de carnet d adresses images vid os et mots de passe utilisateur L extraction physique permet de faire une copie bit par bit de la totalit de la m moire Flash d un appareil mobile Le d codage des extractions physiques permet non seulement d acqu rir des donn es intactes mais aussi des donn es masqu es ou supprim es Les donn es supprim es peuvent tre r cup r es dans les fichiers et l espace libre L espace libre est compos de grappes de partitions multim dia non utilis es pour stocker des fichiers actifs Il peut contenir des fragments de fichiers supprim s de la partition de fichier mais non supprim s du disque physique Chapitre 1 Introduction 13 UFED Physical Analyzer offre des algorithmes de reconstitution avanc s en r cup rant les enregistrements SQLite pour r v ler des donn es supprim es suppl mentaires de l espace libre La quantit de donn es supprim es varie en fonction des donn es pr sentes sur l appareil Les donn es d cod es sont affich es dans les m mes listes que les donn es analys es Par exemple les SMS supprim s de l espace libre sont affich s dans la m me liste que les SMS La re
84. ancel celebrite 1 78 delivering mobile expertise 2 S lectionnez le ou les syst mes que vous voulez scanner puis cliquez sur Scan UFED Physical Analyzer recherche les malware dans le projet Les r sultats sont affich s dans l l ment d arborescence Scanner anti malware 3 Double cliquez sur l l ment d arborescence Scanner anti malware pour ouvrir un onglet d affichage des donn es Les donn es affich es incluent le type de malware et les informations correspondantes telles que le nom du malware e Pour inclure les r sultats dans un rapport s lectionnez Fichiers infect s dans la zone Ensemble de donn es du rapport Pour plus d informations consultez la section G n rer un rapport 8 1 Mettre jour la base de donn es de signature en ligne Mettez jour la base de donn es de signature avant d utiliser le scanner anti malware pour la premi re fois afin de remplir la base de donn es et ensuite afin de maintenir la base de donn es de signature jour REMARQUE Une fois la base de donn es de signature remplie vous pouvez ex cuter le scanner anti malware en utilisant la base de donn es existante I est fortement conseill de mettre jour la base de donn es de signature r guli rement afin qu elle reste jour 1 Dans le menu Outils s lectionnez Scanner anti malware gt Mettre jour la base de donn es de signature Chapitre 8 Rechercher les malware Update from web Click Upd
85. ant Le panneau Personnalisation avanc e affiche le nom et la chaine de d codage par d faut de l appareil s lectionn e Pour s lectionner un appareil diff rent consultez la section Sp cifier un appareil diff rent page 47 e Pour s lectionner une cha ne d analyse diff rente consultez la section Sp cifier une cha ne diff rente page 50 e Pour personnaliser la cha ne d analyse consultez la section Modifier la cha ne actuelle page 51 e Pour ajouter des extractions binaires consultez la section Ajouter un vidage binaire page 55 e Pour ajouter une extraction de syst me de fichiers consultez la section Ajouter un vidage de syst me de fichiers page 56 5 Cliquez sur Terminer 3 4 2 2 Commencer avec un nouveau projet 1 Dans la fen tre Ouvrir avanc cliquez sur Nouveau projet celebrite 62 delivering mobile expertise E Open Advanced Advanced Customization Customize the current chain and add dumps and file systems Device No device Selected Chain Switch Chain F Customize Chain i Empty Binary Dumps Select binary dumps to ince File System Dumps Add fie systems in a folder or a zip archive Zip File Select File 2 Pour s lectionner un appareil consultez la section Sp cifier un appareil diff rent page 47 3 Pour s lectionner une cha ne d analyse consultez la section S lectionner une cha ne diff rente
86. apacit utiliser les commandes shell Python pour l analyse des donn es e Plug ins e Ajouter ou supprimer des plug ins e crivez vos propres plug ins l aide du langage script Python e G rer les cha nes e Rapports e Cr ez des rapports dans plusieurs formats e Personnalisation des rapports logo en t te etc celebrite delivering mobile expertise Chapitre 2 Installation et activation Chapitre 2 Installation et activation Ce chapitre d crit le processus d installation et d activation de UFED Physical Analyzer sur votre PC 17 celebrite 1 8 delivering mobile expertise 2 1 Installer UFED Physical Analyzer 2 1 1 Configuration requise PC PC compatible avec Windows avec processeur Pentium IV ou compatible fonctionnant 1 6 GHz ou plus iste desio Microsoft Windows XP avec SP3 ou plus r cent st me d exploitati gt P Microsoft Windows Vista Windows 7 ou Windows 8 Syst me d exploitation Recommand Minimum M moire RAM 32 Dits 4 GO 4 GO 64 bits 8 Go 4 GO 500 Mo d espace libre sur le disque pour l installation Microsoft Net version 4 0 REMARQUE Windows XP 64 bits n cessite l installation d un correctif Net 2 0 NDP20 KB913384 X64 exe t l chargeable a l adresse http archive msdn microsoft com KB913384 Release ProjectRelease s aspx Releaseld 771 Conditions suppl mentaires gt compter du 28 f vrier 2015 la s rie UFED ne prendra plus en charge Windows
87. aract res non imprimables d finissez le caract re g n rique qui remplace les caract res non imprimables e Format du fichier de sortie d finissez le format de sortie du fichier tableur au choix XLSX format de fichier Excel actuel XLS ancien format de fichier Excel ODS format de fichier tableau OpenOffice e Rapport Excel compatible avec OpenOffice s lectionnez cette option pour vous assurer que le rapport Excel pourra tre ouvert sous OpenOffice e G n rer les donn es d identification du contact s lectionnez cette option pour ajouter une feuille au rapport Excel contenant une liste des contacts uniques en fonction du type 362 celebrite delivering mobile expertise 3 Pour les rapports au format HTML d finissez les options suivantes Dossier par d faut saisissez le chemin du dossier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl
88. ate from web if you are connected to the Internet Update from file Click Update from file after you downloaded the signature database For more information click here Installation progress i a 2 Cliquez sur Mettre a jour depuis le serveur La base de donn es est remplie ka Update Malware Signature Database Update finished 3 Cliquez sur Fermer 179 celebrite 1 80 delivering mobile expertise Vous pouvez maintenant scanner le projet pour rechercher des malware 8 2 Mettre jour la base de donn es de signature depuis un fichier hors connexion Mettez jour la base de donn es de signature partir d un fichier lorsque vous travaillez sur un ordinateur qui n est pas connect Internet REMARQUE Une fois la base de donn es de signature remplie vous pouvez ex cuter le scanner anti malware en utilisant la base de donn es existante I est fortement conseill de mettre jour la base de donn es de signature r guli rement afin qu elle reste jour 1 Dans Windows Explorer dans le r pertoire principal de UFED Physical Analyzer copiez le r pertoire BitDefenderUpdater sur un dispositif de stockage externe 2 Transf rez le r pertoire BitDefenderUpdater sur un ordinateur connect Internet sans param tres Proxy 3 Dans le r pertoire BitDefenderUpdater double cliquez sur Malware Definitions Downloader exe Chapitre 8 Rechercher les malware 181 4 Malware
89. ate var mobile Applications E0EC92AC 1C3 private var mobile Applications E0EC92AC 1C3 private var mobile Applications E0EC92AC 1C3 private var mobile Applications EQEC92AC 1C3 _ m A 2 Values A Bookmarks CAN Highlights 140 results Search 0 results Search 93 results 3 Pour exporter la liste des mises en vidence cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel E HTML PDF ou XML tel Chapitre 13 Preuve appareil photo et capture d cran 313 Chapitre 13 Preuve appareil photo et capture d cran UFED 4PC ou UFED Touch associ l appareil photo UFED vous permet de rassembler des preuves en prenant des photos ou des vid os d un appareil Une fonction Captures d cran permet d effectuer des captures d cran en interne directement a partir d un appareil Blackberry Android ou iOS Ces options peuvent tre utiles pour r unir des preuves compl mentaires ou lorsqu il est impossible d extraire les donn es d un appareil Ces preuves peuvent tre affich es dans UFED Physical Analyzer ainsi que des notes cat gories et signets ajout s par l examinateur Pour plus d informations sur la capture de preuves appareil photo et captures d cran reportez vous aux manuels de l utilisateur UFED 4PC ou UFED Touch Pour importer des preuves appareil photo ou capture d cran e Cliquez sur le fichier Evidence ufd Les preuves appar
90. borescence Fichiers de donn es e Extensions extensions de fichier a utiliser pour filtrer les fichiers de donn es de ce groupe e Filtre signature signatures d en t te et ou de pied de page a utiliser pour filtrer les fichiers de donn es de ce groupe e Baliser comme nom de balise appliquer au fichier de donn es et utilis pour r pertorier les fichiers dans l arborescence de projet Balises 15 2 1 M thodes de filtrage des fichiers de donn es Vous pouvez filtrer les groupes en utilisant une ou plusieurs des m thodes suivantes e Filtre signature Chapitre 15 Param tres 349 Un filtre signature est une d finition de l en t te et ou du pied de page du fichier rechercher permettant de d tecter un type de fichier et de l associer un groupe de fichiers de donn es sp cifique L en t te et ou le pied de page peuvent tre configur s sur une plage d finie partir du d but et de la fin du fichier respectivement en utilisant le param tre de d calage Par exemple une image au format JPEG commence par l en t te FF D8FF etse de page FF B amp En Seeslissantages defom ations dans les cha signature vous cr ez une signature qui identifie les images au format JPEG e Filtre d extension Un filtre d extension est une liste d extensions de fichier courantes associ es aux formats de fichiers qui appartiennent au groupe de fichiers de donn es sp cifique Par exemple il est possible de filtrer le
91. c Default sorting Ward report PDF Report celebrite 194 delivering mobile expertise Choisissez le format et saisissez un mot de passe 11 S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es General Layout Default sorting View soring Default sorting iPhone4GSM_6 0 1 6 0 iPhone 4 Security Default sorting Word report PDF Report Chapitre 9 G n rer un rapport 195 12 Pour chaque format choisi pour ce rapport vous pouvez pr ciser les param tres de rapport de la facon suivante a Rapports au format Word HTML et PDF D sactiver la cat gorisation des mod les s lectionnez cette option pour d sactiver la s paration et g n rer un rapport dans lequel chaque l ment de donn es est g n r comme une section unique sans s paration en sous cat gories Par d faut le rapport cr est organis en cat gories et chaque cat gorie du groupe d l ments de donn es est g n r e comme section s par e du rapport Par exemple lorsque vous g n rez un rapport avec des SMS cochez cette case pour g n rer les SMS
92. ce est filtr e en cons quence 5 9 Informations sur les signets signets d entit s Un signet d entit est un pointeur de r f rence rapide que vous pouvez cr er pour des l ments individuels e Un l ment de Donn es analys es tel qu un appel du journal d appels un contact un e mail etc Consultez l l ment Donn es analys es dans la section Arborescence de projet bage 76 celebrite 1 46 delivering mobile expertise e Un l ment de Fichiers de donn es tel qu un fichier image un fichier vid o un fichier texte etc Consultez l l ment Fichiers de donn es dans la section Arborescence de projet page 76 Les signets d entit s que vous cr ez sont g r s dans l l ment Signets d entit s de l arborescence Le nombre de signets d entit s du projet appara t entre parenth ses c t du nom de la section e Double cliquez sur Signets d entit s pour ouvrir une liste des signets d entit s dans un onglet dans la zone d affichage des donn es Les signets d entit s lectionn s seront inclus dans les rapports g n r s e Double cliquez sur un signet d entit pour aller l l ment marqu dans l onglet d affichage correspondant Par exemple double cliquez sur un signet d entit correspondant un SMS pour ouvrir la liste de SMS dans un onglet d affichage des Donn es analys es avec l l ment marqu mis en surbrillance e Passez avec le curseur de la souris au dessus d un Lf pour affiche
93. ce for physical extraction Connect gt Prepare gt Extract data The device needs to be in DFU mode Device Firmware Update to enable data extraction Press and hold both the When the device screen Release only the power Power and Home buttons turns black wait 3 seconds button Keep holding the home button iOS Device Extraction n affecte pas les micrologiciels ou les donn es utilisateur de l appareil REMARQUE Cette tape soit tre respect e de fa on pr cise Si l appareil est accidentellement allum d branchez le cable teignez l appareil puis revenez l tape 4 Chapitre 10 Effectuer des extractions 207 Lorsque l appareil est en mode DFU un programme d investigation requis pour l extraction est import automatiquement sur celui ci E iOS Physical 4 uccesstully entered DFU Mode Connect gt Prepare gt Extract data You can release the Home button now The wizard is now uploading the forensic program to the device This will take about a minute Stage 6 out of 24 Waiting for device Total Progress 12 D L appareil est maintenant pr t pour l extraction 8 Choisissez le type d extraction souhait celebrite 208 delivering mobile expertise choose an extraction method Connect gt Prepare gt Extract data The device iPhone4GSM_R2 with iOS 7 0 3 7 0 6 is encrypted and protected with a simple passcode All data can be fully extracted and dec
94. ce pour afficher une liste des listes de surveillances ex cut es au cours de la session actuelle e Double cliquez sur Listes de surveillance pour afficher les entit s mises en vidence en fonction des listes de surveillance Pour plus d informations consultez la section Travailler avec les listes de surveillance page 132132 Les signets que vous cr ez pour d finir et enregistrer des emplacements sp cifiques dans les donn es hexad cimales sont g r s dans l l ment d arborescence Signets e Double cliquez sur Signets pour ouvrir une liste des signets dans un onglet dans la zone d affichage des donn es Chapitre 4 S orienter dans l espace de travail 87 l ment de l arborescence Des signets d entit s Description Les signets d entit s que vous cr ez sont g r s dans l l ment Signets d entit s de l arborescence du projet Le nombre de signets d entit s du projet appara t entre parenth ses c t du nom de la section e Double cliquez sur Signets d entit s pour ouvrir une liste des signets d entit s dans un onglet dans la zone d affichage des donn es e Double cliquez sur un signet d entit pour aller l l ment marqu dans l onglet d affichage correspondant Par exemple double cliquez sur un signet d entit correspondant un SMS pour ouvrir la liste de SMS dans un onglet d affichage des Donn es analys es avec l l ment marqu mis en surbrillance Pour plus d informations
95. cellebrite delivering mobila expertise Avis juridiques Copyright 2014 Cellebrite Mobile Synchronization Ltd Tous droits r serv s Ce manuel fourni est sujet aux conditions et restrictions suivantes e Ce manuel contient des informations propri taires appartenant a Cellebrite Mobile Synchronization Ltd De telles informations sont fournies uniquement dans le but d assigner explicitement et correctement les utilisateurs autoris s au UFED Physical Analyzer e Aucune partie de ce contenu ne peut tre utilis e a d autres fins d voil e a toute personne ou soci t ou reproduite de toute mani re lectronique ou m canique sans l autorisation expresse pr alable et crite de Cellebrite Ltd e Les textes et graphiques sont donn s dans un but d illustration et de r f rence seulement Les sp cifications sur lesquelles ils sont bas s sont sujettes modification sans pr avis e Les informations contenues dans ce document sont sujettes modification sans pr avis Les noms et donn es d entreprise et de personnes utilis s ici dans des exemples sont fictifs sauf mention contraire 4 Contenu Chapitre 1 Introduction 11 IPF 11 l ARN del 12 1 3 Analyse de donn es 14 Chapitre 2 Installation et activation 17 2 1 Installer UFED Physical Analyzer 18 2 18 2 1 2 Installation du logiciel 19 2 1 3 Activer UFED Physical AnalyZel 27 2 1 4
96. cence 1 Connectez le dongle un port USB de votre ordinateur La licence est dongle UFED automatiquement d tect e Une fois le dongle reconnu par le syst me d exploitation l application peut lire la licence 2 Lancez UFED Physical Analyzer F licitations Votre application est maintenant pr te l emploi Si la cl de licence dongle est introuvable 1 Lorsque vous le lancez pour la premi re fois ou lorsqu une cl de licence est introuvable la fen tre Licence du produit Cellebrite s affiche Chapitre 2 Installation et activation 29 gt Cellebrite Product Licensing License source Dongle license details Dongle not found To use the product with a dongle license plug in the dongle to your computer Software license details ad license ile SERRE PS LUE Deactivate software license Computer ID STI DIL SNNeBON TRHUUT Copy O Help W Sales sales cellebrite com Close 2 Si vous avez connect le dongle a un port USB sur votre ordinateur et qu il ne fonctionne toujours pas contactez nous l adresse support cellebrite com REMARQUE Les pilotes du dongle HASP doivent tre install s pour pouvoir utiliser une cl de licence mat rielle Si les pilotes n ont pas t install s lors du processus d installation du logiciel UFED vous pouvez ex cuter le processus d installation nouveau et s lectionner Installer les pilotes du dongle Hasp la fin du processus celebrite 30 deli
97. cherche a partir duquel les donn es suppl mentaires doivent tre incluses c Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage d Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode o 7 bits e S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche celebrite 2 72 delivering mobile expertise f S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 g Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s partir du d but des r sultats ou partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 8 Cliquez sur Rechercher REMARQUE Si le champ Num ro est laiss vide les r sultats de recherche incluent tous les num ros correspondant au format ICCID Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations s
98. chier ufd Chapitre 3 Mise en route E Open Advanced lela Advanced Customization Customize the current chain and add dumps and file systems a Device G Seve uFD Motorola V3I Selected Chair h Cha Customize Cha Motorola V3i Swit e Binary Dumps a Flex a Firmware D Cellebrite sam D Cellebrite sam File System Dumps Zip File Folder Select File Or O Select File Cancel lt Back Finish 4 Personnalisez les options d ouverture du fichier en suivant la m thode d crite dans les sections suivantes 5 Cliquez sur Terminer 3 4 1 1 Sp cifier un appareil diff rent 47 Vous pouvez sp cifier un processus de d codage totalement diff rent pour l extraction en rempla ant l appareil s lectionn celebrite delivering mobile expertise 1 Cliquez sur Changer d appareil E Open Advanced Loh Device Selection Select the device for your input data Select Device Quick Filter ee Acer NEOT Cancel lt Back 2 Dans la liste S lectionner l appareil s lectionnez l appareil souhait 3 Pour filtrer les appareils affich s proc dez d une des fa ons suivantes e Cliquez sur le fabricant de l appareil dans la liste de fabricants situ e sur le panneau de gauche e Saisissez le nom de fabricant ou le mod le de l appareil dans le champ Filtre rapide pour filtrer les appareils affich s 4 Cliquez sur Suivant pour revenir
99. constitution des donn es de l espace libre offre les avantages suivants Solution la plus rapide et la plus efficace du march pour r cup rer les donn es supprim es Davantage de donn es supprim es plus rapidement R v le des donn es supprim es qui n taient pas disponibles auparavant Meilleure qualit des donn es car les faux positifs et les doublons sont automatiquement supprim s Activation automatique Aucune activation manuelle n est n cessaire Prend en charge plusieurs types de contenu tels que SMS MMS appels contacts e mails et donn es des applications M me vue Possibilit d organiser l ensemble des donn es y compris les donn es d cod es partir de l espace libre dans les m mes vues et avec des chronologies Donn es d applications telles que Kik WhatsApp Facebook Facebook Messenger Twitter etc 14 celebrite delivering mobile expertise 1 3 Analyse de donn es UFED Physical Analyzer permet l investigateur d effectuer une analyse en profondeur des donn es extraites et de g n rer des rapports UFED Physical Analyzer pr sente les caract ristiques principales suivantes e D codage de l extraction avec une vue stratifi e du contenu de la m moire Offre une vue d taill e du fichier hexad cimal Reconstruit le syst me de fichiers de l appareil D code plusieurs types de donn es analys es notamment liste de contacts SMS journaux d appel informat
100. ctivation de la licence logicielle s affiche 3 Cliquez sur G n rer le fichier de d sactivation UFED Physical Analyzer est d sactiv 4 Pour obtenir votre nouvelle licence UFED Physical Analyzer rendez vous l adresse http my cellebrite com physicalanalyzer et suivez les tapes d activation de la licence Pour plus d informations consultez la section Activation l aide d une licence logicielle page 30 36 celebrite delivering mobile expertise 2 1 4 2 D sactivation des licences de la version 5 1 2 Dans UFED Physical Analyzer allez dans Aide gt Afficher les d tails de la licence La fen tre D sactivation de la licence logicielle s affiche Cliquez sur D sactiver la licence logicielle La fen tre D sactivation de la licence logicielle s affiche Cliquez sur Copier pour copier l identifiant de l ordinateur Rendez vous sur la page http my cellebrite com deactivation et connectez vous votre compte MyCellebrite Si vous n avez pas de compte cliquez sur Inscription et cr ez un utilisateur Puis revenez la page http my cellebrite com deactivation Vous tes alors dirig vers l assistant de d sactivation Collez l identifiant de l ordinateur puis cliquez sur Suivant Cliquez sur T l charger et t l chargez le fichier de d sactivation sur le PC Dans UFED Physical Analyzer allez dans Aide gt Afficher les d tails de la licence Cliquez sur S lectionner le fich
101. d iPhone4 GSM 432 433File ooo r 4 IA Organize v nan Views v New Folder Favorite Links Name Date modified E Documents Es iPhone 4 GSM 4 3 2 4 3 3 File System 2 Recent Places More Folders Desktop IG Papus di Public M Computer amp ACER C a DATA D 3 Acc dez au dossier dans lequel se trouvent les donn es extraites de l appareil et ouvrez le 4 S lectionnez une extraction dans l un des formats pris en charge suivants e Fichier de vidage UFED ufd e Fichiers binaires bin Fichiez binaires bruts ou toute extraction hexad cimale g n r e par une autre application l aide de la fonctionnalit d ouverture avanc e Voir Ouvrir une extraction en mode avanc page 44 Chapitre 3 Mise en route 43 Nokia PM pm Fichier de sauvegarde BlackBerry ipd Fichier de sauvegarde BlackBerry bbb Sony Ericsson GDFS gdfs bin TOMON Grad cg Rapport UFED xml Rapports num riques g n r s par l unit UFED et rapports XML cre s par UFED Physical Analyzer e UFED Report Manager urp ucp rapports du package de rapports UFED Pack de contenu UFED cr s par Report Manager e Package de rapport UFED ufdr REMARQUE Par d faut la bo te de dialogue Ouvrir est configur e pour afficher le fichier ufd qui est le fichier de mappage des informations des donn es extraites de l appareil 5 Cliquez sur Ouvrir Le
102. d cimales 311 Les donn es sont copi es sur le presse papier 5 Pour maintenir ouverte la fen tre d information cliquez sur La fen tre d information reste ouverte et affiche les informations relatives au dernier segment que vous pointez Les informations affich es sur la fen tre sont automatiquement mises a jour lorsque vous pointez le curseur de la souris sur un segment mis en signet ou un r sultat de recherche diff rent 6 Pour fermer la fen tre d information cliquez sur X 12 7 Localiser des types de donn es sp cifiques dans les donn es hexad cimales L onglet Mises en vidence pr sente les emplacements des donn es analys es au sein des donn es hexad cimales ce qui vous permet de d terminer le o les emplacements exacts d un type particulier de donn es analys es dans les donn es hexad cimales 1 L onglet Mises en vidence se trouve en bas de l onglet Vue hexad cimale 2 Dans l arborescence de projet s lectionnez un des dossiers Donn es analys es par exemple Contacts 312 celebrite delivering mobile expertise Le dossier s lectionn est mis en vidence dans l onglet Vue hexad cimale et la liste des tranches de donn es qui composent le dossier se trouve dans l onglet Mises en vidence ag s 2 Find Value Contact Name Echo Sound Test Service Contact UserlD Value echo123 Contact WebAddress Value http www skype com Contact Name Noga Gal Source priv
103. dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale 278 celebrite delivering mobile expertise L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 8 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 9 Pour rechercher des donn es
104. de d but et de fin de l heure d t cliquez sur Heure d t Chapitre 15 Parametres PEER RE EEE EEE sisia E 318 it g x a 535 CRIE Gi El EN 5 8 AHI 8 5 S TEE GB 3 Back to last saved data Back to original data End eer TE ao es Bl 3 X X X ON X X X KK K X 4 375 celebrite 376 delivering mobile expertise a Pour l ann e que vous souhaitez modifier utilisez le calendrier pour s lectionner les dates de d but et de fin ou modifiez les dates directement Vous pouvez utiliser le bouton K pour supprimer certaines ann es b Cliquez sur Revenir aux derni res donn es enregistr es pour r initialiser le tableau la derni re sauvegarde des donn es cliquez sur Revenir aux donn es d origine pour r tablir les param tres par d faut du tableau ou cliquez sur Enregistrer pour enregistrer les modifications apport es au tableau 4 Cliquez sur OK Le projet est recalcul en fonction du fuseau horaire unifi s lectionn et le nouveau fuseau horaire est appliqu aux horodateurs d finis par le r seau Les horodateurs des v nements affich s dans les fen tres UFED Physical Analyzer et dans tous les rapports cr s ensuite refl tent le fuseau horaire unifi s lectionn 15 10 2 D finir les informations du dossier Les param tres d informations du dossier sont enregistr s avec le projet Le num ro de dossier appara t avec les info
105. de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Chapitre 12 Travailler avec les donn es hexad cimales 297 e Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat e Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 10 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 11 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 12 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche
106. der l extraction de donn es l aide de JTAG 1 Dans la fen tre Ouvrir avanc cliquez sur S lectionner l appareil 2 Pourfiltrer les appareils affich s saisissez le nom de fabricant ou le mod le de l appareil dans le champ Filtre rapide o cliquez sur le fabricant dans la liste de fabricants sur le panneau de gauche celebrite 66 delivering mobile expertise Device Selection Select the device for your input data Select Device REMARQUE Si la m thode JTAG n est pas prise en charge pour l appareil souhait vous pouvez saisir jtag dans le champ Filtre rapide pour s lectionner un appareil JTAG g n rique 3 S lectionnez l appareil souhait et cliquez sur Suivant Chapitre 3 Mise en route 67 4 La fen tre suivante s affiche Decoding method selection Select the decoding method for your input data Select Decoding method NOKLUMIA920_WP8 S lectionnez la m thode de d codage et cliquez sur Suivant Les m thodes disponibles varient en fonction de l appareil 68 celebrite delivering mobile expertise La fen tre suivante s affiche Advanced Customization Customize the current chain and add dumps and file systems Switch Device Device Nokia Lumia 920 Selected Chain Switch Chain gF Customize Chain WindowsPhone8 Decode extractions of windows phone 8 devices Binary Dumps Add Binary Dump Select binary dumps to use Image GPT
107. des extractions 225 REMARQUE La dur e de l extraction d pend de la quantit de donn es pr sente sur l appareil iOS et de la m thode choisie Une extraction avec la M thode 2 effectu e sur un appareil beaucoup utilis peut durer plusieurs HEURES 5 Choisissez l emplacement o vous souhaitez enregistrer les donn es extraites Assurez vous que l espace disque disponible est suffisant l emplacement choisi Vous pouvez enregistrer les donn es localement sur l ordinateur sur un dispositif de stockage amovible ou sur le r seau E i05 Advanced Logic Choose Where to save the extraction Connect gt Prepare gt Extract data My documents My UFED Extractions O Desktop O Browse 6 Cliquez sur Suivant pour continuer celebrite 226 delivering mobile expertise 7 Une barre de progression s affiche Attendez la fin du processus d extraction E i05 Advanced Logic Estacion in progress Connect gt Prepare gt Extract data Extraction completed Extraction size 2 7 GB Time elapsed 07 30 Open in UFED Physical Analyzer Open file location REMARQUE Sa dur e varie en fonction de la m thode d extraction du mod le de l appareil de la quantit de donn es sur l appareil de l ordinateur qui effectue l extraction et d autres param tres L extraction num rique avanc e est enregistr e l emplacement choisi sous la forme d un fichier UFD et d un fichier TAR Ouvrez l extractio
108. duit ou le texte non traduit celebrite 1 22 delivering mobile expertise REMARQUE Les l ments de la barre d outils varient selon le contexte et s affichent uniquement lorsque des donn es pertinentes sont affich es 5 3 Utiliser le filtre avanc Utilisez le filtre avanc pour filtrer la liste selon plusieurs param tres 1 Dans la barre d outils du filtre cliquez sur Avanc Results shop x Images 170 X Welcome X i Extraction Summary X i Extraction Summary X 7x Table View Thumbnail View Folder view Se SEE Y eau E A Advanced Filter Arad x Addfield 2 Cliquez sur Ajouter un champ puis s lectionnez un champ dans la liste d roulante La liste de champs se compose des colonnes dans l onglet de donn es actuel 3 Dans la case qui s affiche pour le champ s lectionn saisissez la cha ne ou l horodatage de votre choix L onglet affiche uniquement les l ments correspondant au filtre 4 Pour ajouter d autres filtres r p tez les tapes 2 et 3 Lorsque vous ajoutez des filtres dans la recherche avanc e les r sultats correspondent tous les crit res sp cifi s Chapitre 5 Localisation et analyse des informations 123 5 Pour effacer la chaine saisie cliquez sur x 6 Pour effacer toutes les chaines saisies cliquez sur Tout effacer 7 Pour supprimer le filtre du champ cliquez sur Lum 8 Pour fermer le filtre avanc cliquez sur Avanc 5
109. e plist file then click Retry The plist file may be available in the lockdown folder of the device owner s PC To use the plist file you need to run the application as an administrator celebrite 220 delivering mobile expertise 4 Choisissez une M thode d extraction num rique avanc e Selon que l appareil est bloqu et ou crypt ou non diff rentes m thodes d extraction sont disponibles a M thode 1 Extraction d un ensemble de donn es important comprenant les SMS MMS donn es d application et emplacements Journaux des appels corps des e mails et pi ces jointes ne sont pas extraits Dur e d extraction prolong e b M thode 2 Extraction d un ensemble de donn es comprenant les journaux d appels SMS MMS donn es d application et emplacements Cette proc dure de d codage peut n cessiter la saisie du mot de passe de sauvegarde iTunes c M thode 3 Extraction de l ensemble de donn es le plus complet comprenant les journaux d appels SMS MMS e mails donn es d application et emplacements En outre l application indique une m thode recommand e sp cifique en fonction de la configuration de la sauvegarde iTunes et de si l appareil est bloqu ou non Chapitre 10 Effectuer des extractions Pour un appareil iOS d bloqu l cran suivant s affiche 10S Advanced Logical 3 8 Connect gt Prepare gt Extract data The device iPad with iOS 4 3 3 is Jailbroken A rich set
110. e 5 Localisation et analyse des informations 141 press o 4 a Te IE Computer Le FT A M Organize Favorite Links Hard Disk Drives 3 ACER C IF Documents Me Recent Places BI Desktop 226 GB free of 325 GB More DATA D a Folders SP 325 GB tree of 325 GB a RI Desktop gt EE Papus Local Disk Q gt Public i dr p jE Computer Devices with Removable Storage 7 gt EN Network Pi t 3 Control Panel ia DVD RW Drive E AA TES Folder Computer 3 Acc dez l emplacement dans lequel vous souhaitez enregistrer votre liste de surveillance puis cliquez sur S lectionner dossier La liste de surveillance est export e Par d faut elle est enregistr e comme nom de la liste de surveillance csv celebrite 142 delivering mobile expertise 5 8 5 Supprimer une liste de surveillance 1 Dans l diteur de liste de surveillance s lectionnez la liste que vous souhaitez supprimer 2 Cliquez sur 3 Cliquez sur Oui La liste de surveillance est supprim e 5 8 6 Ex cuter une liste de surveillance Vous pouvez ex cuter des listes de surveillance sur les projets ouverts Chapitre 5 Localisation et analyse des informations 143 5 8 6 1 Ex cuter une liste de surveillance sur des projets sp cifiques Lorsque vous ex cutez une liste de surveillance depuis l diteur de liste de surveillance vous pouvez s lectionner l
111. e Ctrl afin de s lectionner les localisations souhait es Chapitre 5 Localisation et analyse des informations 157 Timestamp Position ne ee Address carne 22900 PM UTC 0 _ 46 779900 73 267570 RE Les adresses r cup r es sont affich es en rouge dans la colonne nomm e Adresse sur la carte Pour filtrer les localisations e Cliquez sur F puis s lectionnez l une des options suivantes e Afficher tout pour afficher toutes les localisations e Avec adresse sur la carte pour afficher les localisations qui poss dent une adresse sur la carte e Sans adresse sur la carte pour afficher les localisations qui ne poss dent pas d adresse sur la carte 158 celebrite delivering mobile expertise Chapitre 6 Traduction de donn es d cod es 159 Chapitre 6 Traduction de donn es d cod es Traduisez le contenu de vos extractions en langue trang re sans attendre qu un traducteur soit disponible ni utiliser d outils en ligne La fonction Traduction permet de traduire les donn es d cod es sur demande pour permettre aux enqu teurs de comprendre les informations disponibles dans une extraction La fonction Traduction est une solution de traduction hors connexion qui ne n cessite pas d tre connect Internet Vous pouvez s lectionner une plusieurs o toutes les entr es du tableau pour les traduire Le texte d origine et le texte traduit peuvent tre inclus dans le rapport Les langues prises
112. e donn es souhait s Chapitre 5 Localisation et analyse des informations Lorsque vous ex cutez la liste de surveillance seuls les types de donn es s lectionn s sont Extraction a Re Analyzed Data MS sms Messages E Web Bookmarks 28 Chats Contacts IE call Log Emails Calendar IE Locations FH Journeys Instant Messages gt GPs Fixes WA MMS Messages Log Entries Bluetooth Devices Notes LL Web History Cookies File Application Usage consult s pour y rechercher des correspondances 135 136 celebrite delivering mobile expertise Dans la case Saisir une description saisissez une description g n rale de la liste de surveillance facultatif Pour que la liste de surveillance soit ex cut e automatiquement lorsque vous ouvrez un projet cliquez sur Activation auto Cliquez sur Nouveau pour ajouter un mot cl Une ligne avec le nouveau mot cl appara t dans la liste des mots cl s Pour chaque mot cl d finissez les options suivantes votre convenance e Valeur d entr e Saisissez le mot cl e Respecter la casse S lectionnez cette option pour respecter la casse du mot cl e Mot entier S lectionnez cette option pour rechercher le mot entier e Couleur Cliquez sur et s lectionnez la couleur d affichage des mots cl s trouv s Utilisez une des m thodes suivantes e Cliquez sur Appliquer pour enregistrer la liste de surveillance et garder l
113. e hexad cimale dans la zone d affichage des donn es REMARQUE Vous pouvez galement cliquer sur les liens des images dans la zone Journal d extraction en bas de l onglet R sum d extraction pour acc der l extraction hexad cimale Chapitre 12 Travailler avec les donn es hexad cimales 303 12 3 Utiliser un d calage pour acc der directement un emplace ment diff rent dans le fichier Parcourez les donn es hexad cimales en d finissant une valeur de d calage pour vous d placer dans les donn es Pour vous d placer depuis une position d finie 1 2 Cliquez sur WE S lectionnez D cimal ou Hexad cimal puis dans le champ D calage saisissez la valeur du d calage dans un format adapt ser N Dans le champ partir de choisissez le point de r f rence partir duquel le d calage est d fini D but du fichier Position actuelle ou Fin du fichier UJ _ Cliquez sur Aller Le curseur se d place jusqu l emplacement d cal Pour vous d placer depuis la position actuelle 1 Cliquez sur un emplacement sp cifique dans les donn es hexad cimales 2 Dans le champ Valeur du d calage de la barre d outils saisissez la valeur de d calage souhait e au format d cimal 20 ou hexad cimal 0x20 ou s lectionnez une des valeur saisies pr c demment dans la liste REMARQUE Saisissez o avant la Valeur pour calculer le d calage partir de la position actuelle celebrite
114. e la t che de navigation au sein des structures de donn es de l appareil UFED Physical Analyzer vous assiste dans l ex cution de t ches complexes telles que la collecte d informations la recherche d investigation et la cr ation de rapports constituant des preuves l gales Cette application est con ue pour utiliser la m moire extraite par l unit UFED et pr sente l extraction hexad cimale le syst me de fichiers et les donn es analys es de l appareil sous forme claire et concise permettant aux investigateurs d utiliser des outils de recherche puissants pour d couvrir des informations pertinentes Enfin une derni re tape vous permet de cr er des rapports dans plusieurs formats tels que HTML PDF Excel xisx et XML celebrite 40 delivering mobile expertise 3 1 Lancer UFED Physical Analyzer Pour lancer UFED Physical Analyzer utilisez une des m thodes suivantes e Double cliquez sur le raccourci bureau de UFED Physical Analyzer e S lectionnez D marrer gt Programmes gt Cellebrite Mobile Synchronization gt UFED Physical Analyzer Pour une pr sentation de l espace de travail consultez la section S orienter dans l espace de travail page 75 3 2 D monstration de Link Analysis Lorsque vous ouvrez UFED Physical Analyzer il vous est propos d afficher un exemple de projet dans UFED Link Analysis La d monstration UFED Link Analysis contient un exemple de contenu pr charg Ce contenu ce compose
115. e recherche Pour ajouter ou modifier des signets cliquez sur Cochez une case pour inclure des messages sp cifiques dans le rapport ou s lectionnez Tous les messages ou AUCUN message celebrite delivering mobile expertise 132 5 8 Travailler avec les listes de surveillance Ex cutez une liste de surveillance compos e de mots cl s sur vos donn es extraites afin d identifier et de mettre en vidence les informations importantes et pertinentes La recherche par liste de surveillance peut tre activ e automatiquement ou ex cut e manuellement sur les donn es d cod es s lectionn es 5 8 1 Cr er une liste de surveillance 1 Utilisez une des m thodes suivantes ity e Dans la barre d outils cliquez sur e Dans le menu Outils s lectionnez Editeur de liste de surveillance Chapitre 5 Localisation et analyse des informations 133 L diteur de liste de surveillance s affiche Enter text te filter q 2 Cliquez sur et s lectionnez Nouveau 7 celebrite delivering mobile expertise Auto activate Keywords New Enter text to filter a Entry Value Match case Whole word Color Created on 04 10 2012 Last modified on 3 Dans la case Nom de la liste de surveillance saisissez le nom de la liste 4 Pour que la liste de surveillance recherche les mots cl s uniquement dans les types de donn es dans le projet cliquez sur Rechercher dans puis s lectionnez les types d
116. echerche 10 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 11 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel E HTML PDF 16 ou XML 24 12 1 8 Rechercher des sch mas Lorsque vous travaillez dans une structure de m moire de taille importante recherchez des sch mas pour localiser tout contenu de nature textuelle 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher 2 S lectionnez l onglet Sch ma celebrite 292 delivering mobile expertise Colors Text Background Find all instances Show results comments slower E ASCII TC Unicode Z 7Bt L 7Bit reversed E Advanced Maximum number of Upper Lower case switches Maximum number of Letter Digit Symbol switches Minimum number of words Space required every N chars Maximum occurrences of the following characters cME 8 S N Contains the following word words divided by spaces NI lb a gt gt 3 Dans la zone Options du texte d finissez les parametres de recherche suivants a D finissez le type de recherche Lettres seulement Nombres seulement ou Les deux b Pour afficher les r sultats uniques s lectionnez R sultats uniques seulement Chapitre 12
117. ectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 14 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats a des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez b Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses Chapitre 12 Travailler avec les donn es hexad cimales 283 C Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl
118. eil photo images et vid os ou les preuves t l phone captures d cran sont import es dans UFED Physical Analyzer comme nouveau projet Les preuves incluent les preuves t l phone ou les preuves appareil photo s par es en cat gories ainsi que les signets d entit et notes ajout s au cours de l extraction En voici un exemple 314 e ti Evidence go Extraction Summary Device Info a Images Memory Ranges File Systems op Analyzed Data gt GS Data Files b Carving S Ta z 4 Installed Applications 1 Images 1 b Instant Messages 1 b Passwords 1 a SMS Messages 1 E Videos 1 7 Timeline Watch Lists Malware Scanner Project Analytics Hex Bookmarks 9 Reports celebrite delivering mobile expertise Pour importer des preuves appareil photo et capture d cran avec les donn es extraites Cliquez sur le fichier EvidenceCollection ufdx Chapitre 13 Preuve appareil photo et capture d cran 315 Les preuves appareil photo images et vid os les preuves t l phone captures d cran et les donn es extraites sont import es dans UFED Physical Analyzer comme projet unique Les preuves incluent les preuves t l phone ou les preuves appareil photo ainsi que les cat gories signets d entit et notes ajout s au cours de l extraction En voici un exemple 4 Analyzed Data I Contacts 4 W User Dictionary 1 D Ep Data Files 4 Carving ES Images Tags a Phone Evid
119. eillance 135 Indicateurs et fen tres d informations 152 Informations sur les signets signets d entit s 85 143 Installation du logiciel 19 celebrite delivering mobile expertise Installation et activation 17 Installer UFED Physical Analyzer 18 20 Introduction 11 J JTAG 63 L Lancer UFED Physical Analyzer 40 Licence logicielle 30 Lire des donn es depuis un appareil GPS o de stockage de masse 226 231 379 Lire des fichiers vid o ou audio 116 Localisation des appareils 146 Localisation et analyse des informations 117 Localiser des types de donn es sp cifiques dans les donn es hexad cimales 306 Localiser une liste de surveillance 143 M Menu Aide 382 Menu Extraction 379 Menu Fichier 375 Menu Outils 378 Menu Plug ins 381 Menu Python 380 Menu Rapport 381 Menu Vue 3 6 M thodes de filtrage des fichiers de donn es 344 Mettre jour la base de donn es de signature en ligne 173 174 Mettre jour la base de donn es de signature depuis un fichier hors connexion 173 176 Index Mise en route 39 Modifier la cha ne actuelle 51 61 63 Modifier la cha ne de d codage 49 Modifier un champ de rapport 355 Modifier un enregistrement de fichier de donn es existant 348 Modifier un signet 303 Modifier un signet d entit 145 Modifier une cha ne existante 317 Modifier une liste de surveillance 135 N
120. elebrite 1 28 delivering mobile expertise e Cliquez sur pour regrouper ou s parer les v nements en fonction de la date Dans la vue graphique les v nements apparaissent dans un graphique Cela vous permet d identifier rapidement les pics d activit potentiellement int ressants Welcome x Extraction Summary x Time Line 3521 x x Table View Graphic View v 09 AM 10 AM 11 AM 12 PM 15 ET 17 5 16 2011 11 06 04 AM e Pour avancer ou reculer dans la chronologie utilisez les boutons i ET Det Gil Chapitre 5 Localisation et analyse des informations 129 Vous pouvez augmenter ou r duire le niveau de d tail de la vue Chronologie e Pour augmenter la r solution temporelle cliquez sur Ea e Pour r duire la r solution temporelle cliquez sur El Les v nements qui se produisent peu d intervalle sont marqu s par groupes e Cliquez sur pour ouvrir un autre onglet Vue chronologie pour un groupe d v nements 5 7 Acc der la vue Conversation Les donn es relatives aux communications journaux d appels e mails SMS MMS etc peuvent tre affich es dans une vue Conversation afin de suivre plus facilement et plus efficacement les communications entre deux parties o plus Vous pouvez rechercher des messages dans une conversation s lectionner les messages inclure dans un rapport par d faut tous les messages de la conversation sont inclus imprimer ou exporter la co
121. ence 2 b amp Chats 1 4 Installed Applications 1 FF Camera Evidence 4 4 T Installed Applications 1 Images 1 I Instant Messages 1 b fe Passwords 1 a SMS Messages 1 E Videos 1 Timeline Watch Lists Malware Scanner b Project Analytics Hex Bookmarks yr Entity Bookmarks 2 sn celebrite delivering mobile expertise REMARQUE Glissez d posez le fichier EvidenceCollection ufdx dans UFED Physical Analyzer pour ouvrir plusieurs extractions effectu es pour un appareil particulier C est dire que toutes les extractions dans le dossier seront ouvertes Chaque extraction fichier ufd dans le dossier peut aussi tre ouverte s par ment Un exemple de dossier avec plusieurs extractions et un fichier UFDX s affiche ensuite Name CaptureScreenthots 20140827 001 Samsung GSM Samsung GT i5510M Galas FileSystemDump Samsung GSM GT i5510M Galaxy 2014_08_27 001 Physical Samsung GSM GT 15510M Galaxy 2014_08_27 001 UFED Samsung GSM GT 15510M Galaxy 356210042118450 2014 08 27 001 H FvidenceCollection ufd Pour associer des preuves appareil photo et capture d cran a un type d extraction Si vous disposez de plusieurs types d extraction ainsi que de preuves appareil photo l cran Associer les preuves au projet s affiche Please choose which project should be associated with the evidence GT i9205 Samsung Galaxy Mega 6 3 Samsung GSM_GT i9205 Samsung Galax
122. ent Supprime Tout afficher Afficher les images de plus de 30 Ko Afficher les images de plus de 100 Ko Afficher les images de plus de 500 Ko Filtrer les images par extension celebrite delivering mobile expertise Affiche tous les l ments Affiche les l ments s lectionn s Affiche les l ments non s lectionn s Affiche les l ments supprim s Affiche toutes les images Affiche uniquement les petites images de plus de 30 Ko Affiche uniquement les images de taille moyenne de plus de 100 Ko Affiche les grandes images uniquement plus de 500 Ko Cliquez ici pour activer le filtre par type de fichier Chapitre 5 Localisation et analyse des informations 121 Afficher les fichiers JPEG Affiche les fichiers JPG ou JPEG Li Afficher les fichiers GIF Affiche les fichiers GIF Afficher les fichiers BMP Affiche les fichiers BMP LA Afficher les fichiers PNG Affiche les fichiers PNG i Filtre m tadonn es Filtrez les fichiers image et vid o par m tadonn es Toutes Sans m tadonn es ou Contient des m tadonn es et par emplacement Tous Poss de un emplacement o Sans emplacement Filtre heure de capture Filtrez les fichiers image et vid o en fonction de l heure de capture La plage maximum est affich e par d faut et vous pouvez s lectionner une plage sp cifique d finie par une date et une heure Filtre traduction Filtrez le texte traduit pour afficher tout le texte le texte tra
123. er dans l espace de travail 77 l ment de l arborescence Infos appareil Images Description e Double cliquez sur Infos appareil pour ouvrir un onglet dans la zone d affichage des donn es L onglet Infos appareil fournit une liste des informations existantes ainsi que des identifiants importants pour l appareil notamment les codes de carte SIM et de verrouillage de l utilisateur le cas ch ant Le nombre de cat gories et la quantit d informations affich es varie en fonction du mod le et du fabricant de l appareil e Double cliquez sur une image pour l afficher dans un onglet Vue hexad cimale dans la zone d affichage des donn es L l ment d arborescence Images r pertorie tous les fichiers d extraction g n r s depuis les modules de m moire de l appareil 78 El ment de l arborescence Plages m moire celebrite delivering mobile expertise Description L l ment d arborescence Plages m moire r pertorie les plages de m moire analys es pour chaque module de m moire extrait de l appareil r pertori s sous Images e S lectionnez une plage m moire pour e Mettre en vidence la portion de la plage m moire dans les donn es affich es e L ajouter la liste des mises en vidence de l image binaire affich e laquelle elle appartient situ e en bas de l onglet Vue hexad cimale e Double cliquez sur une plage m moire pour afficher son contenu dans un nouvel onglet Vue hexad cimale
124. er le syst me de fichiers d un appareil sous forme d arborescence Chapitre 5 Localisation et analyse des informations 125 Pour parcourir le syst me de fichiers de l appareil 1 Dans l l ment d arborescence Systemes de fichiers cliquez sur l ic ne o de chaque n ud pour d velopper l l ment correspondant 2 Continuez d velopper le syst me de fichiers pour explorer son contenu Une des ic nes suivantes est attribu e chaque fichier du syst me de fichiers reconstruit e J Fichier existant trouv dans le systeme e Lt Fichier supprim trouv dans le syst me de fichiers Pour ouvrir un fichier double cliquez dessus pour afficher ses informations dans la zone d affichage des donn es Le nombre d onglets d informations affich pour un fichier varie en fonction du type de fichier Par exemple un fichier inconnu affiche uniquement les onglets Vue hexad cimale et Infos fichier alors qu une image au format JPEG peut galement afficher les onglets Vue image et M tadonn es La vue par d faut est la Vue hexad cimale Pour en savoir plus sur le travail avec la vue hexad cimale consultez les sections Vue hexad cimale page 108 et Travailler avec les donn es hexad cimales page 247 Lorsque l extraction hexad cimale d une image est affich e dans la zone d affichage des donn es cliquez sur un fichier sous l l ment d arborescence Syst mes de fichiers pour mettre en vidence la portion
125. ering mobile expertise 4 2 3 5 Vue dossier 7 Table View Folder View x a M root 544 544 MR lib 177 177 bluez plugin 2 2 Ce hw 5 5 egl 2 2 framework 51 51 app 258 258 data 11 11 com skype raider lib 2 2 com viber voip lib 1 1 com facebook katana lib 1 1 com fring lib 6 6 com google android apps plus lib 1 1 dalvik cache 44 44 La vue dossier affiche l organisation des l ments dans l appareil e Cochez la case correspondant a un dossier pour s lectionner tous les l ments dans ce dossier y compris les sous dossiers Les l ments s lectionn s seront inclus dans les rapports g n r s Lorsque vous s lectionnez un l ment celui ci est s lectionn dans tous les onglets dans la zone d affichage des donn es Chapitre 4 S orienter dans l espace de travail 105 e Cliquez sur pour ouvrir le dossier dans un nouvel onglet dans la zone d affichage des donn es Les informations suivantes relatives au dossier s affichent e Le nom du dossier dans le syst me de fichiers extrait e Le nombre d l ments s lectionn s dans ce dossier en rouge et entre parenth ses e Le nombre total d l ments dans ce dossier en noir cellebrite 106 delivering mobile expertise 4 2 3 6 Vue base de donn es e Pour ouvrir une vue base de donn es ouvrez un fichier db dans l l ment d arborescence Systemes de fichiers Welco
126. es Barre d outils de la vue hexad cimale A fa p goe alc RR ca n 110 celebrite delivering mobile expertise Cliquez ici pour enregistrer la totalit de l extraction de m moire dans A Enregistrer un dossier local Copie tous les contenus s lectionn s de l onglet Vue hexad cimale 33 Copier la s lection vers le presse papier Affiche la bo te de dialogue Rechercher pour trouver toutes les Rechercher occurrences des informations sp cifi es dans le panneau d affichage hexad cimal affich Affiche la bo te de dialogue Rechercher avec les param tres utilis s lors Rechercher suivant de la derni re recherche Aller Redirigez le d calage vers une adresse sp cifique dans le contenu du panneau d affichage hexad cimal Activer la fen tre Active D sactive l affichage de la fen tre d infos flottante a d infos l emplacement du curseur Afficher l adresse Active D sactive l affichage de la colonne d adresse de gauche Afficher en mode Active D sactive l affichage de la colonne de repr sentation ASCII de ASCII droite m Ajoutez un signet au contenu s lectionn dans le panneau d affichage Ajouter un signet si hexad cimal Chapitre 4 S orienter dans l espace de travail 111 Onglets d informations sur l analyse Les onglets d informations sur l analyse sont situ s sous l onglet Vue hexad cimale Ils affichent les types d informations suivants en lien direct avec les don
127. es appareils Android pour lesquels le d codage n est pas encore pris en charge Le plug in de reconstitution de sch ma de d verrouillage Android permet de d coder les sch mas de d verrouillage sur les appareils Android Ce plug in peut tre ex cut sur le fichier image cr par l appareil UFED JTAG Chip off ou d autres outils pour lesquels le d codage n est pas encore pris en Chapitre 14 D codage avanc 341 charge Le fichier image peut tre compos de toutes les partitions de l appareil ou uniquement de la partition de donn es utilisateur 2 Ner Effectuez une extraction physique avec l appareil UFED Dans UFED Physical Analyzer ouvrez l extraction physique Android par glisser d poser ou en utilisant l option Ouverture avanc e _ _ UJ nS Ex cutez le plug in Reconstitution de sch ma de d verrouillage Android Pour plus d informations sur l ex cution d un plug in consultez la section Ex cuter un plug in sp cifique page 337 Le sch ma de d verrouillage est pr sent dans l onglet R sum d extraction dans la zone Infos appareil gt D verrouillez l appareil Android et effectuez une extraction physique ou de syst me de fichiers avec l appareil UFED 14 6 Plug in de reconstitution de mot de passe de d verrouillage Android UFED Physical Analyzer inclut le plug in de reconstitution de mot de passe de d verrouillage Android Ce plug in d velopp par le groupe CCL F
128. es donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 g Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s partir du d but des r sultats ou partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Chapitre 12 Travailler avec les donn es hexad cimales 257 e Plus e Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat e Donn es suppl mentaires a
129. es listes ex cuter et sur quels projets vous souhaitez les ex cuter 1 Dans la barre d outils cliquez sur amp pour ouvrir l diteur de liste de surveillance puis s lectionnez la liste que vous souhaitez ex cuter 2 Cliquez sur S Une liste des projets ouverts s affiche 3 S lectionnez le ou les projets ouverts sur lesquels vous souhaitez ex cuter la recherche REMARQUE Une coche Y indique que la liste de surveillance s lectionn e est active pour le projet 4 Cliquez sur Appliquer UFED Physical Analyzer recherche les mots cl s dans les projets s lectionn s Une fois la recherche termin e les r sultats de la liste de surveillance s affichent dans l l ment d arborescence Listes de surveillance Si la liste de surveillance est attribu e a des types d informations sp cifiques voir Cr er une liste de surveillance page 132 seules les correspondances pour ces types s affichent dans les r sultats celebrite 144 delivering mobile expertise 5 8 6 2 Ex cuter une liste de surveillance sur votre projet en cours Lorsque vous ex cutez une liste de surveillance depuis l arborescence de projet vous pouvez s lectionner quelles listes ex cuter pour le projet sur lequel vous tes en train de travailler Si plusieurs projets sont ouverts les listes de surveillance s lectionn es s ex cutent sur le dernier projet sur lequel vous avez cliqu dans l arborescence de projet 1 Dans la barre d outils cliquez
130. es listes de surveillance 132 5 8 1 Cr er une liste de surveillance 122 5 8 2 Modifier une liste de surveillance 1537 5 8 3 Importer une liste de surveillance 137 5 8 4 Exporter une liste de surveillaNCe 140 5 8 5 Supprimer une liste de surveillance 142 5 8 6 Ex cuter une liste de surveillance 142 5 8 7 Localiser une liste de surveillance 145 5 9 Informations sur les signets signets E nnn Teen rere errern 145 5 9 1 Cr er un nouveau signet d entit 147 5 9 2 Modifier un signet d entit 148 5 9 3 Supprimer UN signet d eNtit 148 5 10 Localisation des appareils sn 149 5 10 1 propos des donn es de localisation 149 5 10 2 Afficher les donn es de localisation sur 5 10 3 Indicateurs et fen tres d informations 155 5 10 4 R cup ration des adresses 156 Chapitre 6 Traduction de donn es CECOGCES dinde 159 6 1 Utilisation de la fonction nn 160 6 2 Mettre jour votre licence avec les langues O nee ene ere 160 6 2 1 S lectionner des langues dans MyCellebrite nn 160 6 2 2 T l chargez le package de traduction 166 6 2 3 Traduction de donn es d cod es 168 6 24 RE OONIN O 170 Chapitre 7 Travailler avec l analyse de PrOjet sssssosseessssscoocceesssssccocccesessssoocccesesssssse 173 Chapitre 8 Rechercher les malware 177 8 1 Mettre
131. es que l Heure de capture qui correspond la date et l heure auxquelles la photo a t prise 4 2 3 10 Lire des fichiers vid o Pour lire des fichiers vid o avec UFED Physical Analyzer 1 Dans le tableau de donn es double cliquez sur le fichier m dia que vous souhaitez lire Un nouvel onglet s ouvre pour le fichier m dia 2 Cliquez sur vd Pour lire la vid o avec le programme par d faut e Cliquez avec le bouton droit de la souris sur le fichier m dia et s lectionnez Ouvrir avec le programme par d faut Chapitre 5 Localisation et analyse des informations 119 Chapitre 5 Localisation et analyse des informations Cette section d crit comment parcourir rechercher filtrer marquer par un signet et g rer les informations dans votre projet 5 1 Rechercher des informations dans un onglet de donn es Dans les onglets Vue tableau recherchez un l ment particulier dans le tableau de donn es La recherche est effectu e sur toutes les entr es de donn es du tableau e Dans la case Rechercher dans le tableau saisissez la cha ne de votre choix Le tableau est mis jour pour afficher uniquement les l ments qui contiennent la cha ne que VOUS avez saisie 5 2 Utiliser le filtre rapide Utilisez les outils du filtre rapide pour filtrer les donn es dans les onglets Vue tableau de la fa on suivante 120 cas REX fe Tout afficher S lectionn uniquement Non s lectionn uniquem
132. es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 290 celebrite delivering mobile expertise 8 Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat Chapitre 12 Travailler avec les donn es hexad cimales 291 9 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de r
133. es totaux pour les l ments exclus du rapport ajoute une colonne Total au rapport qui affiche le nombre total d l ments exclus du rapport e Afficher le statut complet des l ments supprim s inclut le statut Intact Supprim ou Inconnu des l ments supprim s dans le rapport g n r Lorsque cette option n est pas s lectionn e le statut des l ments supprim s est simplement Oui et reste vide pour les autres statuts e Nombre de lignes de l aper u d e mail d finit le nombre maximum de lignes affich dans le rapport pour chaque e mail e Afficher le corps entier de l e mail affiche la totalit du corps du message e Nombre de messages par conversation instantan e d finit le nombre maximum de lignes affich dans le rapport pour chaque conversation instantan e e Afficher tous les messages des conversations instantan es affiche dans le rapport la totalit des messages des conversations instantan es e Diviser le rapport HTML chaque section du rapport commence sur une nouvelle page 364 celebrite delivering mobile expertise 4 Pour les rapports au format PDF d finissez les options suivantes Dossier par d faut saisissez le chemin du dossier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour
134. et R sum d extraction 2 Cliquez sur Afficher les d tails Chapitre 11 Param tres avanc s 245 ka Image Hash Details All project images are verified SHA256 0449CB1786E39ABB0D46 4064CAB216ED93207455694 C848BA83818C8D077B SHA256 E6D4 3012E 768 04110313038BDDCE3B4B250B85B00FA3 D580917ABAD82331F3 La fen tre D tails du hachage de l image affiche les r sultats de la comparaison entre les valeurs de hachage de r f rence et calcul es pour chaque image Marileda indique des valeurs identiques F Bad Verification _ indique que les images ne correspondent pas celebrite 246 delivering mobile expertise Chapitre 12 Travailler avec les donn es hexad cimales 247 Chapitre 12 Travailler avec les donnees hexad cimales L extraction vous permet d afficher l image de l appareil Il s agit d un ou plusieurs fichiers qui contiennent une copie compl te du contenu et de la structure des donn es sur l appareil Pour acc der la vue hexad cimale de l image de l appareil e Dans l arborescence de projet d veloppez l l ment Images et double cliquez sur l image souhait e celebrite 248 delivering mobile expertise Un onglet Image s affiche dans la zone d affichage des donn es montrant une vue hexad cimale des donn es de l image gt Image iPhone 4 GSM 4 3 2 4 3 3 File System Dump 26 05 11 11 343Ltan x COCO CCI 00000 75 COOL A CoOoRG03F Do000S 4 l i k Copa
135. evices AndroidUnlockPattern Decodes Android Unlock pattern Appareil cha ne compl te d un appareil sp cifique Cha ne une cha ne pr d finie sp cifique 53 celebrite 54 delivering mobile expertise Plug in un plug in sp cifique REMARQUE Un l ment s lectionn sous Appareil ou Cha ne est ajout la chaine comme Composant de la cha ne 3 Cliquez sur pour ajouter le composant 4 Pour supprimer un composant de la liste de la cha ne cliquez sur le x a droite du composant puis sur Oui pour confirmer 5 Cliquez sur OK pour revenir l cran de personnalisation avanc e La cha ne par d faut est remplac e par la cha ne personnalis e Pour enregistrer une cha ne personnalis e Apr s avoir personnalis une cha ne vous pouvez enregistrer les modifications apport es celle ci afin de la r utiliser ult rieurement l aide des boutons Enregistrer sous o Enregistrer dans la section Cha ne s lectionn e REMARQUE Le bouton Enregistrer est disponible uniquement pour les personnalisations de cha nes d finies par l utilisateur d verrouill es enregistr es dans Mes cha nes Pour en savoir plus sur les cha nes d finies par l utilisateur consultez la section G rer les cha nes page 317 1 Cliquez sur Enregistrer pour remplacer la cha ne d finie par l utilisateur par la cha ne actuelle ou sur Enregistrer sous pour enregistrer la cha ne actuelle comme nouve
136. ex cut es au cours de votre session par vous ou UFED Physical Analyzer par exemple l activation d un plug in 1 Dans le menu Vue s lectionnez Fen tre Trace La fen tre Trace s affiche sous la zone d affichage des donn es Trace window vix Clear Numeric file found numeric 0x0026 0x04F9 Numeric file found numeric 0x0027 0x1213 Numeric file found numeric 0x0027 0x1214 Numeric file found numeric 0x0027 0x1215 Numeric file found numeric 0x0026 0x04FA Numeric file found numeric 0x0027 0x1216 Numeric file found numeric 0x0027 0x1217 Numeric file found numeric 0x0027 0x1218 Numeric file found numeric 0x0026 0x04FB Numeric file found numeric 0x0027 0x1219 Numeric file found numeric 0x0027 0x121A v Chapitre 16 R f rences 381 2 Pour effacer le journal dans la fen tre Trace cliquez sur Effacer 3 Pour fermer la fen tre Trace cliquez sur W La fen tre Trace peut tre masqu e ou affich e e Pour maintenir ouverte la fen tre Trace cliquez sur e Pour ne plus maintenir ouverte la fen tre Trace cliquez sur W e Pour afficher la fen tre Trace lorsqu elle est masqu e s lectionnez la ou passez avec le curseur de la souris sur l onglet 382 16 3 Menu Outils Lire des donn es depuis UFED Vidage du systeme de fichiers Reconstituer des images Reconstituer des chaines Editeur de liste de surveillance Scanner anti malware celebrite delivering mob
137. g mobile expertise e Double cliquez sur le nom d un onglet pour l afficher sous forme de fen tre flottante Double cliquez sur l en t te de la fen tre flottante pour l ancrer son emplacement d origine e Faites glisser l en t te d une fen tre flottante jusqu aux panneaux d ancrage qui s affichent pour l ancrer l emplacement de votre choix dans la vue hexad cimale 4 2 3 7 1 Travailler dans l onglet Valeurs D codez les donn es brutes vers plusieurs types d encodage en temps r el et d veloppez les dans la liste Valeurs 1 Pour acc der l onglet Valeurs cliquez sur l onglet Valeurs en bas d un onglet Vue hexad cimale Chapitre 4 S orienter dans l espace de travail 113 Welcome x Extraction Summary x Text 4 x Images 556 x Call i x TAR X call_history db x Xx Database view Hex View File Info ET d PRE RD E 00 00 00 04 00 00 00 00 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 OF FC 00 OD 03 08 00 OF 1D OF AS OE 63 OE 11 OD 2C OC EB Oc OA C3 09 7A 08 4B 07 08 05 OF 03 08 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 Unsigned Q 16 Bit B Little endian Signed Linrinnod S2 Values IE Bookmarks amp Highlights Length 0x7000 Offset 0x0 Selection 0x2C 2 S lectionnez un segment de donn es hexad cimales 3 Pou
138. gEx GREP SMS 7bit PDU Pattem Code Options Search parameters E Hex bytes parameters Bytes hex 3 S lectionnez Hexad cimaux Chapitre 12 Travailler avec les donn es hexad cimales 259 L cran Param tres de recherche s affiche 4 Dans le champ Octets hexad cimaux saisissez la valeur hexad cimale par exemple FFD8FF 5 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche C d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes le
139. ha nes 14 1 4 Supprimer une cha ne Vous ne pouvez supprimer les cha nes que dans la liste Mes cha nes 1 Dans la fen tre Gestionnaire de cha nes cliquez s lectionnez Mes cha nes 2 Cliquez sur droite de la cha ne 14 1 5 Description des chaines Le tableau suivant r pertorie les cha nes d appareil UFED et leur description AndroidContent D code le contenu pour les syst mes de fichiers Android AndroidContent Japanese D code le contenu pour les syst mes de fichiers Android et les applications japonaises AndroidFS D code diff rents systemes de fichiers sur Android Cette cha ne fait partie des cha nes Motorola AndroidouAndroidDD Chapitre 14 D codage avanc 331 D code certains types d appareils Android en utilisant les m tadonn es de l extraction D code certains types d appareils Android et d applications japonaises en utilisant les m tadonn es de l extraction D code Motorola iDen avec Android utilisant les extractions physiques du syst me D code le contenu pour les extractions num riques Android Content AndroidMotorolaYaffs D code les extractions de l appareil Motorola Android AndroidDD AndroidMTK NAND D code les extractions NAND d appareils MTK Android AndroidNvidia D code les appareils Android avec chipset Nvidia AndroidSamsungFAT D code plusieurs telephones Samsung Android avec systemes de BlackBerryIPD D code les appareils de sauvegarde BlackBerry utilisant
140. haitez modifier celebrite 322 delivering mobile expertise 3 Cliquez sur Ajouter une cha ne un plug in pour afficher la biblioth que de composants P Edit Decoding methods 0 Quick Filter Q AgereCalllogs Reads call logs from the Samsung Agere family of phones Decodes contacts from the Samsung Agere family of phones dh AgereReader Decodes the proprietary file system of the Samsung Agere phone family sS AgereSMS Decodes SMS from the Samsung Agere family of phones Sip Analytics Generates the Analytics section information Android Apps Japanese Decodes Japanese apps for Android devices Android Databases Decodes user data and 3rd party application databases for Android devices s Android Databases Logical Decodes user data and 3rd party application databases for Android devices Logical extraction 4 Pour ajouter un composant a la liste de votre cha ne cliquez sur le a c t du composant 5 Pour supprimer un composant de la liste de la cha ne cliquez sur le x droite du composant puis sur Oui pour confirmer Chapitre 14 D codage avanc 323 6 Pour modifier les param tres d un plug in ou d une cha ne s lectionnez le la dans la liste des composants de la cha ne sur la gauche et d finissez les options qui s affichent New Chain 2 Fl Edit Decoding methods 0 Sample Chain1 Used Dumps mcu AgereReader Decodes the proprietary file system of the Samsung Agere pho
141. her affiche les r sultats d une recherche dans les donn es hexad cimales affich es Un nouvel onglet R sultats de recherche est ouvert pour chaque recherche effectu e Le nombre de r sultats pour chaque recherche appara t entre parenth ses c t du nom de l onglet Pour en savoir plus sur l onglet Image consultez la section Vue hexad cimale page 108 celebrite 250 delivering mobile expertise 12 1 Rechercher des informations dans les donn es hexad cimales et dans les donn es d cod es Search directs Down il Fes Search results window Calore Text Background Find al instances M Show results comments slower Show as DC Shen after Show ss Chapitre 12 Travailler avec les donn es hexad cimales 251 La fen tre Rechercher se compose de plusieurs onglets qui vous permettent de rechercher les donn es hexad cimales dans les modes suivants Rechercher recherche de param tres sp cifiques tels que des cha nes des octets des dates etc RegEx GREP recherche de cha nes utilisant des expressions r guli res SMS 7 bits PDU recherche de cha nes de texte de SMS Sch ma recherche de sch mas de texte dans les cas o le sch ma du texte est compris mais pas le texte lui m me principalement utilis e pour la recherche en 7 bits pour localiser les SMS Code recherche sp cialis e de codes et mots de passe REMARQUE Les modes de Recherche ont t con us a
142. hexad cimales 255 D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 6 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez b Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses c Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage d Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits e S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche 256 celebrite delivering mobile expertise f S lectionnez Montrer apr s pour afficher l
143. hiers pour les appareils avec systeme d exploitation sur Internet Palm WindowsPhone7 D code les extractions des appareils Windows Phone 7 AndroidXSR D code les appareils Android avec la couche de traduction flash XSR BlackBerry Filesystem D code les donn es des syst mes de fichiers BlackBerry Content Android Samsung Nexus D code les appareils Samsung Nexus AndroidMTK MMC D code les extractions MMC d appareils MTK Android Nokia Predef Content D code le contenu des appareils Nokia Predef Phonebook t l phonique Samsung Qualcomm JTAG D code le syst me de fichiers et le contenu des extractions JTAG des couche de traduction flash XSR Samsung Non Android D code le contenu des appareils Samsung qui n utilisent pas les Content syst mes d exploitation Android celebrite 334 delivering mobile expertise SIM LG Qualcomm JTAG with D code le syst me de fichiers et le contenu des extractions JTAG des Sanyo Qualcomm JTAG D code le contenu des extractions JTAG des appareils Sanyo CDMA Samsung Generic JTAG D code les extractions avec toutes les m thodes prises en charge TE pour les appareils HTC Samsung Qualcomm with D code le syst me de fichiers et les SMS des appareils Samsung Content 14 2 Plug ins Le m canisme des plug ins est une API qui permet aux utilisateurs d augmenter les capacit s de l application en ajoutant des plug ins fournis par Cellebrite ou des plug ins personnalis s crits l aide
144. hode de recherche vous permet de trouver des num ros SIM ICCID dans les donn es hexad cimales 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher 2 Dans l onglet Rechercher s lectionnez SIM dans la liste de types de donn es Chapitre 12 Travailler avec les donn es hexad cimales 269 Find RegEx GREP SMS 7bit PDU Pattem Code Search parameters E Numbers sample configuration Number Allow partial match 3 S lectionnez ICCID L cran Param tres de recherche s affiche 4 Dans la zone Configuration de l chantillon de num ros saisissez le num ro ICCID dans le champ Num ro celebrite 270 delivering mobile expertise 5 Si vous saisissez seulement une partie du num ro s lectionnez Autoriser les correspondances partielles Par exemple si vous saisissez le nombre 89972 et que vous s lectionnez cette option UFED Physical Analyzer recherche les num ros ICCID fournis par un fournisseur de services isra lien 6 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e
145. i n cessaire utilisez l option Supprimer la traduction pour supprimer le texte traduit Le texte traduit est indiqu par une barre jaune Checkup of different languages Pour afficher le texte source 1 Cliquez avec le bouton droit de la souris sur le texte et s lectionnez Afficher la source ou cliquez sur le bouton Wa Miewsource Le texte source est indiqu par une barre grise berpr fung in verschiedenen Sprachen celebrite 1 70 delivering mobile expertise Pour filtrer le texte e Cliquez sur puis s lectionnez l une des options suivantes e Tout pour afficher tout le texte e Traduit pour afficher le texte traduit e Non traduit pour afficher le texte non traduit 6 2 4 Reporting Lors de la cr ation de rapports ou de l exportation de donn es vous pouvez pr ciser si vous souhaitez inclure le texte traduit ou non Si vous choisissez d afficher le texte traduit dans le rapport le tableau de r sum inclut une entr e suppl mentaire nomm e Langues traduites avec une liste des langues Le contenu traduit appara t en dessous du texte source sous l en t te Traduction Pour plus d informations sur les rapports consultez la section G n rer un rapport page 187 Pour inclure le texte traduit dans les rapports 1 Allez dans Outils gt Param tres gt Param tres g n raux gt Param tres par d faut pour du rapport 2 Cochez la case Inclure les traductions Chapitre 6
146. ication UFED Link Analysis Affiche les informations de licence logicielle ou mat rielle dongle et vous permet e D activer ou de charger une nouvelle licence logicielle ou dongle e D afficher des informations sur les pr c dents dongles qui ont t connect s ce poste de travail e De d sactiver une licence logicielle e De contacter l assistance et le service des ventes Cellebrite par e mail Zippe les fichiers journaux et ouvre le dossier dans lequel les fichiers zipp s sont enregistr s Chapitre 16 R f rences 387 Zipper les fichiers journaux Zippe les fichiers journaux et inclut des informations d taill es avec informations syst me concernant le syst me d exploitation les pilotes les donn es d application les journaux d v nements etc Ces informations peuvent tre utilis es pour analyser les cas de rapport propos de UFED Physical Fournir des informations sur la version install e de UFED Physical Analyzer Analyzer celebrite 388 delivering mobile expertise A A propos des donn es de localisation 80 146 231 Activation l aide d une licence logicielle 35 37 Activer UFED Physical Analyzer 27 Afficher la fen tre Trace 376 Afficher les donn es de localisation sur BING 149 Afficher les fichiers image 95 114 239 Afficher les informations des donn es hexad cimales 305 Ajouter un champ de rapport 353 355 Ajouter un signet 300 Ajouter un type de fichie
147. ichiers de donn es image uniquement Nom Nom du fichier Chemin Chemin racine du fichier de donn es 102 Taille M tadonn es Date de cr ation Modifi Date d acc s Note de signet celebrite delivering mobile expertise Taille du fichier M tadonn es suppl mentaires du fichier de donn es Horodatage de cr ation du fichier de donn es Horodatage de modification du fichier de donn es Horodatage du dernier acc s au fichier de donn es D tails du signet En outre des indicateurs s affichent pour montrer les pi ces jointes indiquer les appels vid o et m me les directions e Double cliquez sur l enregistrement d un l ment ligne du tableau pour ouvrir un onglet Vue hexad cimale montrant les donn es hexad cimales du fichier s lectionn Chapitre 4 S orienter dans l espace de travail 103 4 2 3 4 Vue tableau pour les donn es analys es Pour les donn es analys es les onglets Vue tableau affichent une liste de tous les v nements d un type sp cifique journal d appels contacts SMS etc trouv s au cours du processus d analyse de donn es fa s 5 Table Search 4 ch Parties Call RS Timestamp 07 Jan 04 9 42 00 PM 0547265478 Duration 032535522 Pet store koan Outgoing 0546512487 a i 0543774742 ses 038582555 Slater Paul ls video 0576761249 0527623485 0546608889 0526765424 0508159490 111 0526765424 Partes ES celebrite 104 deliv
148. ichiers de donn es Des signets hexad cimaux Des signets d entit s Les r sultats de la liste de surveillance Les onglets ouverts Les rapports g n r s Il est galement possible de cr er une session de projet pour les extractions effectu es par des outils tiers Chapitre 3 Mise en route 71 REMARQUE Les sessions de projet enregistr es ne contiennent pas de param tres d finis Pour en savoir plus sur comment enregistrer vos param tres consultez la section Enregistrer les param tres page 371 Pour enregistrer une session de projet 1 Dans le menu Fichier s lectionnez Enregistrer une session de projet La bo te de dialogue Enregistrer sous s affiche 2 Acc dez l emplacement dans lequel vous souhaitez enregistrer le fichier de la session de projet 3 Pour changer le nom du fichier modifiez le nom attribu automatiquement dans la zone de texte Nom du fichier REMARQUE Pour remplacer une session pr c dente choisissez le m me nom de fichier 4 Cliquez sur Enregistrer 3 6 Charger une session de projet 1 Dans l onglet Accueil ouvrez le projet avec lequel vous souhaitez travailler 2 Dans le menu Fichier s lectionnez Charger une session de projet 3 Dans la bo te de dialogue Ouvrir acc dez au fichier de session de projet que vous souhaitez ouvrir 4 Cliquez sur Ouvrir La session s ouvre 72 celebrite delivering mobile expertise 3 7 Fermer un projet e U
149. ier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport 366 celebrite delivering mobile expertise S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pour trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl s de hachage MD5 et SHA256 calcul es ajouter a chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante Inclure les traductions S lectionnez cette option pour inclure le texte traduit dans le rapport 6 Pour les rapports au format Word d finissez les options suivantes Dossier par d faut saisissez le chemin du dossier dans lequel vous souhaitez enregistrer les rapports que vous g n rez pour ce type de rapport S lectionnez Tri par d faut pour trier les l ments inclus dans le rapport g n r en fonction du tri par d faut d fini par Cellebrite pour chaque type de fichier analys et de donn es ou d s lectionnez Tri par d faut pou
150. ier de d sactivation puis s lectionnez le fichier de d sactivation s lectionn l tape 6 Votre licence est d sactiv e et UFED Physical Analyzer cr ez un fichier de d sactivation La fen tre D sactivation de la licence logicielle vous informe que le fichier de d sactivation a t cr Chapitre 2 Installation et activation 37 9 Revenez l assistant de d sactivation dans MyCellebrite 10 Cliquez sur Choisir le fichier puis t l chargez le fichier de d sactivation cr par UFED Physical Analyzer Cliquez sur Terminer 12 Pour obtenir votre nouvelle licence UFED Physical Analyzer rendez vous l adresse http my cellebrite com physicalanalyzer et suivez les tapes d activation de la licence Pour plus d informations consultez la section Activation l aide d une licence logicielle page 30 2 1 5 Permettre la connectivit avec Windows Vista Suivez la proc dure ci dessous pour permettre l unit UFED de se connecter aux ordinateurs sur lesquels le syst me d exploitation Windows Vista est install 1 Acc dez au dossier Cellebrite Physical Analyzer Drivers cbrtucbl 2 Double cliquez sur USB Cable DRV exe 3 Suivez les instructions l cran 38 celebrite delivering mobile expertise Chapitre 3 Mise en route 39 Chapitre 3 Mise en route UFED Physical Analyzer propose des outils de d codage et d analyse puissants pour les donn es extraites d un appareil et simplifi
151. ile expertise Permet d extraire des donn es directement sur l ordinateur Exporte et enregistre le syst me de fichiers analys vers les fichiers et dossiers r els dans une structure de r pertoire Consultez la section Exporter le syst me de fichiers page 340 Ouvre la fen tre Reconstituer des images qui permet de rechercher des images Consultez la section Reconstituer des images page 239 Ouvre la fen tre Reconstituer des cha nes qui permet de rechercher des cha nes Ouvre la fen tre diteur de liste de surveillance qui permet de cr er g rer et ex cuter vos listes de surveillance Consultez la section Travailler avec les listes de surveillance page 132 Ouvre le sous menu Scanner anti malware qui permet d ex cuter la d tection de malware sur votre extraction et de mettre jour la base de donn es de signature Consultez la section Rechercher les malware page 177 Chapitre 16 R f rences Traduction Ouvrir dans UFED Link Analysis TomTom Parametres Parametres du projet 383 T l charge le package de traduction depuis Internet installe ce package depuis un fichier ou affiche les langues prises en charge Consultez la section Traduction de donn es d cod es page 159 Ouvre ce projet Physical Analyzer dans UFED Link Analysis Ouvre le sous menu TomTom qui permet d exporter le fichier d extraction TomTom et d importer le fichier XML qui vous est renvoy Consultez la section Tra
152. imer des plug ins Ex cuter le plug in Gestionnaire de cha nes 16 7 Menu Rapport G n rer un rapport 385 Affiche une liste des plug ins pr install s pour activer la gestion des plug ins d j install s Consultez la section G rer les plug ins page 335 Permet l utilisateur de s lectionner un plug in sp cifique et de l ex cuter Consultez la section Ex cuter un plug in sp cifique page 337 Affiche la fen tre Gestionnaire de chaine qui permet de g rer et de cr er des cha nes de traitement de l appareil Consultez la section G rer les cha nes page 317 G n re un r sum du rapport contenant toutes les informations trouv es lors du processus d analyse Consultez la section G n rer un rapport 386 16 8 Menu Aide Applications prises en charge Manuel Guide d criture de script du shell Python Activer les cartes Bing en ligne Lancer la d monstration UFED Link Analysis Afficher les d tails de licence Zipper les fichiers journaux celebrite delivering mobile expertise R pertorie les applications prises en charge et les versions v rifi es pour les appareils Android et iOS Ouvre le manuel de l utilisateur au format PDF Ouvre le Guide d criture de script Python au format PDF Active les cartes Bing pour vous permettre d afficher les emplacements sur une carte Un acc s Internet et une licence UFED Physical Analyzer valide sont n cessaires Lance l appl
153. ion T l charge le package de traduction cette option n est pas disponible si vous n tes pas connect Internet Installer le package de traduction partir d un fichier Installe le package de traduction partir d un fichier S lectionnez cette option si vous n tes pas connect Internet 3 Suivez les instructions l cran pour installer le package de traduction REMARQUE Pour d sinstaller le package de traduction rendez vous sur la page D sinstaller de Windows et s lectionnez le package de traduction des langues Publisher Cellebrite Mobile Synchronization dans la liste Uninstall or change a program To uninstall a program select it from the list and then click Uninstall Change or Repair Organize v Uninstall Publisher Chapitre 6 Traduction de donn es d cod es Pour afficher le num ro de version du package de traduction e Cliquez sur Aide gt propos L cran suivant s affiche celleDrite Galiwasing Moll opens UFED Physical Analyzer 2014 Cellebrile Mobile Synchronization Ltd All rights reserved UFED Physical Analyzer Version 4 0 0 148 Copyright Cellebrite 2014 167 celebrite 1 68 delivering mobile expertise 6 2 3 Traduction de donn es d cod es Par d faut la langue cible d finie est la m me que la langue de l interface Si n cessaire vous pouvez choisir une langue cible diff rente Pour modifier la langue de traduction 1 S
154. ion physique pour trouver des images partiellement supprim es ou corrompues e Double cliquez sur Reconstitution pour lancer la recherche Pour plus d informations consultez la section Reconstituer des images page 239 Chapitre 4 S orienter dans l espace de travail 85 l ment de l arborescence Balises Chronologie Description Certains types de fichiers sont identifi s et balis s dans les donn es extraites Il existe huit balises par d faut Applications Audio Configurations Bases de donn es Documents Images Texte et Vid os Vous pouvez utiliser les plug ins ou le shell Python pour rechercher des segments de donn es suppl mentaires et les baliser l aide des balises existantes ou d une balise personnalis e Les l ments supprim s sont indiqu s par une croix rouge 38 e Double cliquez sur Chronologie pour ouvrir les v nements de l appareil organis s par ordre chronologique dans la zone d affichage des donn es L onglet Chronologie affiche les v nements horodat s de l appareil appels SMS MMS etc dans l ordre chronologique 86 El ment de l arborescence Listes de surveillance Signets celebrite delivering mobile expertise Description Les listes de surveillance sont des listes de mots cl s que vous cr ez et utilisez pour rechercher et identifier des v nements et l ments sp cifiques dans les donn es extraites e D veloppez les Listes de surveillan
155. ions de l appareil IMSI ICCID codes utilisateur informations sur l application etc Offre une vue des fichiers de donn es images vid os bases de donn es etc Permet d acc der aux donnes existantes et supprim es R v le les mots de passe de l appareil le cas ch ant e Extraction puissante pour les appareils iOS et GPS e Offre une interface utilisateur intuitive et conviviale pour parcourir les informations extraites e Outils d analyse et de recherche puissants Recherche instantan e de tout le contenu du projet Recherche avanc e selon plusieurs parametres Recherche instantan e du contenu des tableaux de donn es Chapitre 1 Introduction 15 e Liste de surveillance pour mettre en vidence les informations en fonction d une liste de valeurs pr d finies e Chronologie pour consulter tous les v nements effectu s via l appareil mobile sur une seule vue chronologique e Analyse de projets pour une analyse complete de l activit e Scanner anti malware pour identifier les malware pr sents dans l appareil e Capacit a effectuer une recherche hexad cimale selon plusieurs param tres cha nes octets chiffres dates e Capacit a utiliser une recherche d expression r guli re RegEx pour rechercher des cha nes de donn es sp cifiques e Capacit ajouter des signets diff rents emplacements de la m moire pour indexer les zones importantes afin de les tudier ult rieurement e C
156. ires doivent tre incluses Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s partir du d but des r sultats o partir de la fin des r sultats celebrite 296 delivering mobile expertise Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 9 Cliquez sur Rechercher REMARQUE La recherche de mod le peut tre utilis e pour localiser tous les r sultats possibles de texte de SMS 7 bits Pour limiter le nombre de faux r sultats positifs choisissez une plus grande valeur pour la Longueur minimale Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats
157. isations sont les informations r colt es Les localisations calcul es de cette fa on sont consid r es comme pr cises Lorsque le Wi Fi est activ sur l appareil celui ci envoie r guli rement les localisations r colt es Apple appareils iPhone ou Google appareils Android Les informations r colt es sont ensuite supprim es de l appareil Lorsque le Wi Fi est d sactiv sur l appareil ou en l absence de connexion Wi Fi disponible l appareil r colte et stocke les localisations des antennes relais t l phoniques et r seaux Wi Fi puis envoie les informations lorsque le Wi Fi est activ ou qu une connexion devient disponible 2 T l chargement L appareil se connecte au fournisseur de services de localisation Apple pour les appareils iPhone ou Google pour les appareils Android pour demander les services de localisation Apple ou Google envoie les informations relatives aux antennes relais t l phoniques et aux r seaux Wi Fi dans un rayon d environ 2 kilom tres Ces informations sont enregistr es sur l appareil et sont appel es informations non r colt es Chapitre 5 Localisation et analyse des informations 151 Les donn es de localisation des cat gories Antenne relais t l phoniques R seaux Wi Fi Antenne relais t l phoniques r colt es et R seaux Wi Fi r colt s incluent e Les informations GPS longitude et latitude e La pr cision rayon en m tres dans lequel se trouve l appareil
158. it 1 Choisissez une des m thodes suivantes e Un enregistrement de signet d entit dans la liste des Signets d entit s de l arborescence du projet e Un l ment marqu par un signet indiqu par w 2 Cliquez sur dans la barre d outils de la vue Tableau Chapitre 5 Localisation et analyse des informations 149 Le signet est supprim 5 10 Localisation des appareils 5 10 1 A propos des donn es de localisation Dans UFED Physical Analyzer les donn es de localisation sont extraites de plusieurs endroits dans l appareil Les donn es de localisation suivantes sont analys es Donn es analys es gt Localisations Les donn es de localisation dans l l ment Localisations sont divis es en plusieurs cat gories Antennes relais t l phoniques R seaux Wi Fi Antennes relais t l phoniques r colt es R seaux Wi Fi r colt s Positions m dia Informations de localisation r colt es et non r colt es 150 celebrite delivering mobile expertise Les informations de localisation r colt es et non r colt es sont tir es de la base de donn es de l appareil La localisation de l appareil est identifi e par les informations GPS de l appareil calcul es de deux fa ons 1 Collecte Lorsque l appareil se d place avec son propri taire il collecte les informations de localisation de chaque antenne relais t l phonique et r cepteur de r seau Wi Fi dans son entourage Ces local
159. ituer des images Effectuez une reconstitution d image pour r cup rer des fichiers image JPEG o des fragments incomplets ou corrompus ce qui indique qu ils ont t supprim s par l utilisateur La reconstitution d image r cup re et restaure les images dans la mesure du possible Pour effectuer une reconstitution d image vous devez le demander Elle n est pas effectu e lorsque UFED Physical Analyzer ouvre l extraction physique REMARQUE La reconstitution d image est disponible uniquement pour les extractions physiques La reconstitution d image est un processus qui peut prendre du temps Pendant son traitement vous pouvez continuer de travailler en parallele dans UFED Physical Analyzer celebrite 240 delivering mobile expertise 11 2 1 Rechercher les images reconstitu es 1 Utilisez une des m thodes suivantes e Cliquez sur 8 REMARQUE Lorsque vous cliquez sur dans la barre d outils la recherche s applique au projet actif c est dire le dernier projet sur lequel vous avez cliqu e Si vous n avez pas recherch d images reconstitu es au cours de la session actuelle double cliquez sur l l ment d arborescence Reconstitution gt Images e Si vous avez d j recherch des images reconstitu es au cours de la session actuelle cliquez avec le bouton droit de la souris sur l l ment d arborescence Reconstitution gt Images puis s lectionnez Rechercher nouveau Chapitre 11 Param tres avanc s 241
160. ive Expi it a ae r Lor puis cliquez sur S lectionner les langues La fen tre suivante s affiche res on res on res on res on res on res on Jul 29 2015 Jul 29 2015 Jul 29 2015 Jul 29 2015 Jul 29 2015 Nov 2 2015 161 celebrite 1 62 delivering mobile expertise Device Languages for IZAWDP5UDZVIK2X62AL72 Choose up to 5 languages for translating decoded data Tip If you want to translate to a language other than English you should select it as well You cannot change a language after saving but you don t have to choose all 5 right now Select Language Select Language a Select Language a Select Language a Select Language a Need more languages Cancel Chapitre 6 Traduction de donn es d cod es 163 3 S lectionnez jusqu cing langues de traduction puis cliquez sur Suivant La fen tre suivante s affiche Pour des langues suppl mentaires cliquez sur Besoin de langues suppl mentaires et remplissez le formulaire Device Languages for IZAWDP5UDZVIK2X62AL72 Selected Languages Dutch German Italian Please note You cannot change a language after saving 4 Cliquez sur Enregistrer La fen tre suivante s affiche celebrite delivering mobile expertise 164 Device Languages for IZAWDPSUDZVIK2X62AL72 What s next 1 Update the license for your product 2 Download the language pack You don t need to do this if you installed it on this product before
161. l cran Personnalisation avanc e Chapitre 3 Mise en route 49 3 4 1 2 Modifier la chaine de d codage Une chaine est un ensemble de plug ins regroup s dans un certain ordre et utilis pour d coder les donn es extraites Chaque appareil de la liste des appareils pris en charge par l application dispose d une chaine de d codage pr d finie REMARQUE Outre des plug ins une cha ne peut galement contenir d autres chaines C est une fa on simplifi e d utiliser un ensemble de plug ins pr d finis dans une autre cha ne Pour en savoir plus sur les cha nes de d codage et les plug ins consultez les sections D codage avanc page 317 et Plug ins page 334 celebrite 50 delivering mobile expertise Pour s lectionner une cha ne diff rente 1 Cliquez sur Changer de cha ne La fen tre de dialogue Changer de cha ne s ouvre et affiche la cha ne par d faut attribu e l appareil E Switch Chain Switch Chain Quick Filter a Current Device AndroidDD For certain types of Android using the MD from the dur MERGeneric AndroidMD D GUIDPartitionTable EN AndroidFa EE Acer E310 Liquid mini An _ v Default Chapitre 3 Mise en route 51 REMARQUE Plusieurs cha nes peuvent tre attribu es a un appareil mais une seule est la cha ne par d faut 2 Dans la liste de cha nes s lectionnez celle que vous souhaitez utiliser d une des fa ons suivantes e S lectionnez le
162. le fournis avec l appareil e Un c ble UFED n 210 pour les extractions num riques iOS depuis un iPhone 5 un iPad Mini et un iPad4 REMARQUE l extraction d appareils iOS n est pas compatible avec les environnements de la machine virtuelle En outre une connexion Internet est n cessaire lors de la premi re ex cution d iOS Device Extraction afin de t l charger le pack correctif n cessaire Vous pouvez galement t l charger le pack correctif sur un autre ordinateur et le copier manuellement sur l ordinateur utilisant iOS Device Extraction iOS Device Extraction vous avertit automatiquement lorsqu une mise jour logicielle est disponible 10 1 2 Effectuer une extraction physique Vous pouvez effectuer une extraction physique et une extraction de syst mes de fichiers des appareils suivants utilisant iOS version 3 0 ou plus r cente e iPhone 2G e iPhone 3G e iPhone 3GS e iPhone 4 e Pad Chapitre 10 Effectuer des extractions 201 e iPod Touch 1G e iPod Touch 2G e iPod Touch 3G e iPod Touch 4G e iPod Nano 5G 10 1 2 1 Effectuer une extraction physique d appareils iOS non crypt s 1 S lectionnez Extraire gt Extraction d appareils iOS ou cliquez sur lil pour lancer l extraction d appareil iOS iOS Device Data Extraction Wizard Choose an extraction type Advanced Advanced Logical extraction extraction Physcalmode mode celebrite 202 delivering mobile expertise 2 Cliquez sur Mode physiq
163. lle cha ne Chapitre 3 Mise en route 55 2 Si vous avez cliqu sur Enregistrer sous saisissez un nom pour la nouvelle cha ne puis cliquez sur Enregistrer Save Chain As ci Save Chain As iPhone Copy save cancel La nouvelle cha ne est ajout e la liste de cha nes personnalis es Mes cha nes de l application et la cha ne enregistr e appara t comme Cha ne s lectionn e 3 4 1 3 Ajouter un vidage binaire Vous pouvez ajouter des fichiers de vidage binaire recus depuis une source diff rente celebrite 56 delivering mobile expertise As Image Select File e Pour ajouter un fichier de vidage binaire cliquez sur ou Ajouter un vidage binaire dans la zone Vidages binaires et s lectionnez le fichier d extraction binaire que vous souhaitez ajouter Chaque vidage binaire ajout s affiche comme composant distinct dans la section Vidages binaires de la bo te de dialogue e Pour supprimer un vidage binaire cliquez sur qui s affiche lorsque vous placez le curseur de la souris sur celui ci 3 4 1 4 Ajouter un vidage de syst me de fichiers Vous pouvez ajouter un vidage de syst me de fichiers au projet recu sous forme d archive ZIP ou de dossier contenant les fichiers d extraction du syst me de fichiers e Pour ajouter une extraction de syst me de fichiers cliquez sur Fichier Zip ou Dossier puis s lectionnez l archive ZIP ou le dossier que vous souhaitez ajouter REMARQUE Vous ne
164. lo Chapitre 7 Travailler avec l analyse de projet 175 4 Pour afficher les v nements par identifiant de communication double cliquez sur l l ment d arborescence de l identifiant souhait 5 Cliquez sur l en t te d une colonne pour trier les informations dans celle ci REMARQUE Les informations de l analyse de projet peuvent tre incluses dans un rapport Pour en savoir plus consultez la section G n rer un rapport 176 celebrite delivering mobile expertise Chapitre 8 Rechercher les malware 177 Chapitre 8 Rechercher les malware Ex cutez la d tection de malware sur votre extraction pour rechercher les malware Lors d une recherche de malware UFED Physical Analyzer utilise la derni re base de donn es de signature utilis e Si vous utilisez le scanner anti malware pour la premi re fois ou si vous souhaitez mettre jour la base de donn es avant d effectuer le scan suivez les tapes d crites dans la section Mettre jour la base de donn es de signature en ligne page 178 Si vous travaillez sur un ordinateur sans connexion Internet suivez les tapes d crites dans la section Mettre jour la base de donn es de signature depuis un fichier hors connexion page 180 1 S lectionnez Outils gt Scanner anti malware gt Rechercher les malware ou cliquez sur kes Malware Scanner File systems Archive The definitions database was last updated on 11 Oct 12 12 50 PM Scan C
165. me cliquez sur un nom de balise dans la liste pour le s lectionner celebrite 352 delivering mobile expertise 7 Pour modifier l ordre des types de fichiers de donn es utilisez les fl ches lg 8 Pour effacer la liste de types de fichiers de donn es que vous avez ajout s et conserver uniquement les types par d faut cliquez sur R tablir la liste par d faut 15 2 2 2 Modifier un enregistrement de fichier de donn es existant 1 Cliquez sur la ligne du type de fichiers de donn es que vous souhaitez modifier 2 Double cliquez sur la colonne et la ligne que vous souhaitez modifier et mettez jour les param tres existants votre convenance 15 2 2 3 Supprimer un type de fichier de donn es 1 Cliquez sur la ligne du type de fichiers de donn es que vous souhaitez supprimer 2 Cliquez sur 3 Chapitre 15 Parametres 353 15 3 Param tres de la visionneuse hexad cimale Les param tres de la visionneuse hexad cimale vous permettent de contr ler les options d affichage des extractions hexad cimales afin de les adapter a vos besoins et de les rendre plus lisibles o General Settings ig cP Data Files Hex Viewer Additional Report Fields la Report Defaults P Post chain Pluains Hex Show address Show ASCII view Draw separation lines E Display 0x00 and OxFF string data as space Color settings General Background Address text Hex text ASCII text Separating
166. me x Extraction Summary x Text 4 x Images 556 x Call Log 1 x TAR x gt call_history db x v X key isSelected call 0 data salite_sequence call_history_limit timer _last timer_outgoing timer_incoming timer_all timer_lifetime timer_last_reset 0 data_up_last 0 0 data_down_last 0 0 data_up_all 0 0 data_down_all 0 0 data_up_lifetime 0 0 data_down_lifetime 0 0 data_last_reset 0 _ClientVersion 7 _Uniqueldentifier 61C7D272 143C 44E8 B542 C3C3CA296890 Ooo 0 OI OOO Oooo oo ot La vue base de donn es affiche le contenu des fichiers de base de donn es trouv s dans l extraction La vue base de donn es se compose des sections suivantes 1 Liste des tableaux de base de donn es Chapitre 4 S orienter dans l espace de travail 107 Le nombre entre parenth ses c t de chaque nom de tableau indique le nombre d enregistrements dans le tableau de base de donn es S lectionnez un tableau dans la colonne de gauche pour afficher ses enregistrements dans la colonne de droite 2 Les zones d affichage des enregistrements contenant une liste des enregistrements de donn es dans le tableau de base de donn es s lectionn 3 Un champ Recherche pour filtrer les enregistrements affich s e Cliquez sur LA pour exporter les enregistrements de base de donn es s lectionn s dans un fichier CSV cellebrite 108 delivering mobile expertise 4 2 3 7 Vue hexad cimale Un onglet
167. n cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Chapitre 12 Travailler avec les donn es hexad cimales 265 Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 6 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez b Dans le champ D calage
168. n es de plusieurs personnes Les indicateurs suivants sont des exemples de ceux qui peuvent s afficher sur une carte un faible niveau de zoom cet indicateur affiche plusieurs positions enregistr es dans une zone particuli re Indique la position de l antenne relai t l phonique qui a enregistr l appareil de la personne Indique la position du r cepteur de r seau Wi Fi qui a enregistr l appareil de la personne Indique la position enregistr e d un objet multim dia F amp NE cellebrite delivering mobile expertise Indique la position d une entit non identifi e qui a enregistr l appareil de la personne 5 10 4 R cup ration des adresses Vous pouvez afficher les adresses pour obtenir la longitude et la latitude extraites d un appareil Cela peut tre utile pour filtrer les localisations Vous pouvez s lectionner une ou plusieurs localisations jusqu 200 Vous pouvez r cup rer les adresses dans les vues suivantes Recherche de projet vues Chronologie et R sultats de la liste de surveillance REMARQUE Pour utiliser cette fonction vous devez utiliser le service de cartes Bing et tre connect a Internet Pour r cup rer une adresse 1 Dans l un des affichages par tableau des localisations de l appareil s lectionnez une ligne faites un clic droit et s lectionnez R cup rer l adresse ou cliquez sur o REMARQUE Pour r cup rer plusieurs adresses vous pouvez utiliser la touch
169. n es depuis un appareil GPS ou de stockage de masse page 230 Pour en savoir plus sur les g olocalisations consultez la section propos des donn es de localisation page 149 celebrite 236 delivering mobile expertise REMARQUE n est pas possible de r cup rer toutes les informations contenues dans le fichier d extraction TomTom REMARQUE Le service de traitement peut prendre plusieurs jours selon de volume de donn es et le nombre de demandes Ce service est actuellement gratuit mais est susceptible d tre modifi REMARQUE Vous devez ouvrir l extraction TomTom dans UFED Physical Analyzer avant d exporter ou d importer le fichier XML 11 1 1 Exporter un fichier TomTom 1 Ouvrez une extraction depuis un appareil TomTom 2 Dans le menu Outils s lectionnez TomTom gt Exporter Click Export to export the required file for decrypting the TomTom trip logs For additional processing you need to send the file to support cellebrite com Save to Chapitre 11 Param tres avanc s 237 3 Acc dez l emplacement o vous souhaitez enregistrer le fichier d extraction TomTom export puis cliquez sur Enregistrer Le fichier d extraction TomTom est enregistr comme fichier GPS TomTomExport xml REMARQUE Le fichier ne contient pas d informations personnelles de l utilisateur telles que la localisation 4 Envoyez le fichier GPS TomTomExport xml a l adresse support cellebrite com Pour les clients aux
170. n es hexad cimales affich es e Valeurs un grand nombre d interpr tations des valeurs telles que 8 16 32 et 64 bits divers encodages de cha ne les formats de date et d heure etc calcul s au fur et mesure pour les donn es actuelles contenues dans la vue hexad cimale Consultez la section Travailler dans l onglet Valeurs page 112 e Signets une liste des signets ajout s aux donn es hexad cimales affich es Consultez la section Travailler avec les signets page 304 e Mises en vidence une liste des segments de contenu mis en vidence dans les donn es hexad cimales affich es Le nombre de r sultats mis en vidence appara t entre parenth ses c t du nom de l onglet Consultez la section Travailler dans l onglet Mises en vidence page 114 e Rechercher affiche les r sultats d une recherche dans les donn es hexad cimales affich es Un nouvel onglet R sultats de recherche est ouvert pour chaque recherche effectu e Le nombre de r sultats pour chaque recherche appara t entre parenth ses c t du nom de l onglet Vous pouvez r organiser les onglets d informations sur l analyse en fonction de vos pr f rences e Double cliquez sur l en t te de la section pour afficher la totalit de celle ci sous forme de fen tre flottante Double cliquez sur l en t te de la fen tre flottante pour l ancrer son emplacement par d faut en bas de l onglet Vue hexad cimale celebrite 112 deliverin
171. n for deleted files Export CSV Encoding Separator Image hash verification Additional Report Fields E Automatically verify images on project load Dump Sessions i a F Suggest restoring a session file when its corresponding dump is loaded Report Defaults Highlight information E Disable highlight information Post chain Pluains Pour configurer la langue de l interface de UFED Physical Analyzer e Dans la liste Langue s lectionnez la langue souhait e Chapitre 15 Param tres 345 Pour d finir la langue de traduction 1 S lectionnez la langue de traduction C est la langue dans laquelle vous souhaitez traduire le texte Vous ne pouvez s lectionner qu une seule langue de traduction Pour demandez des langues de traduction suppl mentaires s lectionnez Plus de langues 2 Cochez la case Afficher la langue de traduction par d faut pour afficher les traductions par d faut D cochez cette case pour que la traduction n apparaisse pas lorsque vous traduisez le texte Pour afficher la traduction s lectionnez Afficher la traduction Pour d placer les horodateurs vers un fuseau horaire particulier 1 Dans la liste Param tres de fuseau horaire UTC s lectionnez e Valeur UTC originale pour afficher les horodateurs tels qu ils ont t enregistr s sans unification e Un des fuseaux horaires UTC 12 00 a UTC 13 00 pour recalculer les horodateurs d finis par le r seau en fonction du d calage
172. n latins e UTF 8 7 bits principalement pour le texte des SMS celebrite delivering mobile expertise 254 L cran Param tres de recherche s affiche 4 Sur la page Param tres de recherche a Dans le champ Terme de la zone Param tres de la cha ne saisissez la cha ne de recherche b S lectionnez l option Respecter la casse si n cessaire 5 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus Chapitre 12 Travailler avec les donn es
173. n num rique avanc e dans UFED Physical Analyzer pour acc der toutes les informations extraites y compris les informations effac es Chapitre 10 Effectuer des extractions 227 REMARQUE Vous ne pouvez pas acc der aux informations supprim es extraites si vous ouvrez l extraction dans UFED Logical Analyzer 8 Choisissez l une des options suivantes e Ouvrir dans UFED Physical Analyzer charge le fichier d extraction dans UFED Physical Analyzer e Ouvrir l emplacement du fichier ouvre le dossier qui contient les fichiers d extraction e Revenir au d but revient l cran des m thodes d extraction e Terminer ferme l extraction d appareil iOS 10 2 Extraction du GPS ou des appareils de stockage de masse Extraire et enregistrer des donn es depuis un GPS Garmin Mio et TomTom ou un appareil de stockage de masse REMARQUE Seuls les utilisateurs administrateurs peuvent lire les donn es d appareils GPS Si vous n tes pas un administrateur fermez UFED Physical Analyzer cliquez avec le bouton droit de la souris sur l ic ne UFED Physical Analyzer sur votre bureau et s lectionnez Ex cuter en tant qu administrateur 1 Connectez le GPS o l appareil de stockage de masse votre PC 2 S lectionnez Extraire gt Extraire GPS Appareil de stockage de masse o cliquez sur celebrite 228 delivering mobile expertise E Dump device from USB E Physical Dive 1 Total size 0 96 GB Chapitre 10
174. n rapport 189 5 Dans Projet s lectionnez le ou les projets que vous souhaitez inclure dans ce rapport Seuls les projets d j ouverts dans UFED Physical Analyzer peuvent tre s lectionn s pour cr er un rapport a General File name Report Save to CAUsers ponathank Documents My Reports Report sub directory 2014 07 27 17 23 44 Project Phone GS5M _60 1 6 0 2 FieSystern 22 04 14 15 43 20 Phones Format Case Information Case number CD 2012 aa Smith v Smith Evidence number Notes 6 Dans le champ Format choisissez le format souhait pour le rapport Il est possible de s lectionner plusieurs formats Dans ce cas un rapport est cr pour chaque format 190 a General File name Report Save to IC Users Richard Documents bty Reports Eire Report sub directory 12013 11 12 15 03 09 Project iPhone 4 GSM 4 3 2 4 3 3 File System Gump 26 05 11 11 34 31 2 Format Word report POF Report XML Report El Word report Case Inlonmation Excel workbook ts O Open Document spreadsheet ods na HONA C Excel 97 2003 xls Case name O HTML Report El POF Report Evidence number OD UFED Report Package Examiner name bd XML Report Department _ Close Location Motes Frein New Cancel Lidar nina 7 Pour les champs Informations sur le cas vous pouvez fournir les informations suivantes Num ro de cas Nom du cas Num ro de preuve Nom examina
175. ne A7272 Desire Z HTC Google Nexus One M860 Ascend Huawei Ascend Y300 Android S2100 Kyocera CDMA 2300 Torino CommonCents LX 290 LG CDMA VS 740 Ally Lumia 520 Nokia Lumia 920 Razzle TXT8030VW Verizon Wireless Pantech Renue P6030 SGH i337 Galaxy S4 Samsung GSM SGH i437 Galaxy Express Sanyo CDMA SCP 2700 Juno T Mobile Touch Pro 2 celebrite delivering mobile expertise Chapitre 3 Mise en route 65 ZTE GSM Z221 Pour consulter la liste jour des appareils qui prennent en charge les extractions JTAG reportez vous l application UFED Phone Detective Mobile ou rendez vous sur le site http www cellebrite com mobile forensics support ufed supported devices Une fois que vous disposez de la m moire physique acquise par le biais de cette m thode vous pouvez la charger dans UFED Physical Analyzer pour la d coder Lorsque vous chargez la chaine JTAG UFED concern e vous recevez toutes les donn es comme lors d une extraction classique La principale diff rence entre une extraction JTAG et une extraction UFED r side dans l emplacement des spares a l int rieur de l extraction Spares est le terme technique qui d signe les m tadonn es de blocs l int rieur de l extraction Elles peuvent se trouver diff rents endroits dans l extraction Dans les extractions classiques elles se trouvent la fin de chaque bloc Dans les extractions JTAG elles se trouvent la fin de l extraction Pour d co
176. ne cl USB une carte m moire SD ou directement sur votre PC e L application UFED Physical Analyzer offre une vision en profondeur de la m moire de l appareil a l aide de m thodes avanc es de d codage d analyse et de cr ation de rapports UFED Physical Analyzer peut d coder tous les types d extractions cr s par l unit UFED Touch o UFED Classic e L application Phone Detective permet aux investigateurs d identifier rapidement un t l phone mobile en fonction de ses attributs physiques sans avoir besoin d allumer l appareil et de risquer son verrouillage UFED fonctionne en deux tapes e Extraction extraction physique de syst me de fichiers num rique de mot de passe de carte SIM l aide de l unit UFED Touch ou UFED celebrite 12 delivering mobile expertise e Le d codage l analyse et la g n ration de rapports sont effectu s l aide de UFED Physical Analyzer 1 2 Extraction physique Au cours d une extraction physique UFED utilise des m thodes d extraction avanc es pour cr er un fichier d extraction hexad cimal unique pour chaque puce de m moire flash ou plage d adressage utilis par l appareil mobile Contrairement aux processus d extraction num rique la m thode d extraction physique contourne le syst me d exploitation de l appareil et extrait les donn es directement de la m moire flash interne de l appareil La m moire de l appareil est captur e sous forme de fichiers d extraction hex
177. ne family Palos x E Decodes the proprietary file system of the Samsung Agere phone family RangeName Plugin x a REMARQUE Pour revenir la biblioth que de composants et continuer ajouter des plug ins et des cha nes cliquez sur Ajouter une chaine un plug in celebrite 324 delivering mobile expertise 7 Lorsque vous avez termin cliquez sur Enregistrer ou sur Enregistrer sous pour enregistrer la cha ne modifi e comme nouvelle cha ne 8 Si vous avez cliqu sur Enregistrer sous saisissez un nom pour la nouvelle cha ne puis cliquez sur Enregistrer REMARQUE Les modifications apport es aux cha nes verrouill es pr d finies en usine ne peuvent tre enregistr es que comme nouvelle cha ne 14 1 3 G rer les cha nes d appareils 14 1 3 1 Associer des appareils une cha ne Vous pouvez associer des appareils des cha nes que vous avez cr es ou modifier les cha nes d appareils et les enregistrer comme copie 1 Double cliquez sur la cha ne laquelle vous souhaitez associer un appareil 2 Cliquez sur Modifier les appareils Chapitre 14 D codage avanc 325 ka Devices For Chain Devices For Chain Attach Device Cancel 3 Dans la fen tre Appareils pour la cha ne cliquez sur Associer l appareil celebrite 326 delivering mobile expertise Select Device Select Device 4 Dans la fen tre S lectionner l appareil s lectionnez l appareil que
178. ne with no filecyvctem 3 Cliquez sur Nouvelle chaine en haut de la fen tre puis saisissez un nom pour la chaine 4 Dans le champ Description saisissez une courte description de la chaine facultatif Chapitre 14 D codage avanc 321 5 Dans la biblioth que de composants s lectionnez une cat gorie de composants e Plug ins des plug ins sp cifiques e Cha nes cha ne pr d finie sp cifique e Appareils cha ne complete d un plug in sp cifique REMARQUE Les Appareils et les Cha nes sont ajout s la cha ne comme composant de celle ci 6 Pour ajouter un composant la liste de votre cha ne cliquez sur le c t du composant 7 Pour supprimer un composant de la liste de la cha ne cliquez sur le droite du composant puis sur Oui pour confirmer 8 Pour modifier les param tres d un plug in ou d une cha ne s lectionnez le la dans la liste des composants de la cha ne sur la gauche et d finissez les options qui s affichent REMARQUE Pour revenir la biblioth que de composants et continuer ajouter des plug ins et des cha nes cliquez sur Ajouter une chaine un plug in 9 Lorsque vous avez termin cliquez sur Enregistrer La nouvelle cha ne est ajout e votre liste Mes cha nes 14 1 2 Modifier une cha ne existante 1 Modifiez les cha nes que vous avez cr es 2 Dans la liste Mes cha nes du Gestionnaire de cha nes double cliquez sur la cha ne que vous sou
179. nologie ou cochez la case Tout s lectionner vue miniature Trier les colonnes Vous pouvez trier chaque colonne par ordre alphab tique ou chronologique e Cliquez sur l en t te de la colonne pour modifier l ordre de tri R organiser les colonnes Vous pouvez modifier l ordre des colonnes votre convenance Votre pr f rence sera conserv e pour la dur e de la session e Faites glisser chaque colonne jusqu l emplacement souhait Afficher ou masquer les colonnes e Cliquez avec le bouton droit de la souris sur l en t te de la colonne et s lectionnez le nom de la colonne dans la liste Afficher des informations suppl mentaires Pour les onglets de donn es qui contiennent des informations sous forme de texte le panneau de droite est ouvert par d faut et affiche les informations relatives l l ment s lectionn Chapitre 4 S orienter dans l espace de travail 99 e Pour ouvrir ou fermer le panneau de droite cliquez sur Lil Exporter des donn es 1 Pour exporter des donn es vers un onglet sp cifique cliquez sur le format souhait dans la barre d outils Excel HTML DI PDF in XML i KML donn es de positionnement uniquement ou EML donn es d e mail uniquement La fen tre de dialogue Exporter s affiche File name Report Save to C Users jonathank Documents My Reports Report sub directory iPhone4G 2014 10 28 10 54 20 C Include translations 2 Utilisez une des m thodes sui
180. nom du fabricant dans la section Appareil actuel pour afficher les cha nes attribu es aux appareils du m me fabricant e Dans la section Cha nes de la liste S lectionnez Mes cha nes pour choisir dans la liste de cha nes personnalis es que vous avez cr e S lectionnez Toutes les cha nes pour choisir dans la liste de toutes les cha nes pr d finies de l appareil Utilisez le champ Filtre rapide pour filtrer les l ments de la liste affich e 3 S lectionnez la cha ne souhait e puis cliquez sur S lectionner pour revenir l cran Personnalisation avanc e La cha ne par d faut est remplac e par la cha ne s lectionn e Pour modifier la cha ne actuelle 1 Cliquez sur Modifier celebrite 52 delivering mobile expertise La bo te de dialogue Structure de la cha ne s ouvre et affiche la cha ne fi Android DD AndroidDD For certain types of Android using the MD from the dump Chapitre 3 Mise en route 2 Pour ajouter un composant a la cha ne a Cliquez sur Ajouter une cha ne un plug in b Dans la Biblioth que de composants s lectionnez un des l ments suivants Quick Filter 5 AgereCalllogs Reads call logs from the Samsung Agere family of phones jh AgerePhoneBook o AgereReader gt AgereSMS gt Android Databases AndroidMD Parse the metadata for Android dumps gt AndroidUnlockPassword Decrypts the numeric lock password for Android d
181. ns plug ins Data Files Additional Report Fields la Report Defaults Add Plugins Remove Plugins Filter Enabled Name Author Version Description Analytics Cellebrite 2 0 Generates the Analytics section information ContactsCrossReference Cellebrite 2 0 Cross references the phone numbers in a device s contacts with the numbers in SM DataFilesHandler Cellebrite 2 0 Tags data files according to extensions and file signatures Save Configuration Chapitre 15 Param tres 371 1 Pour ajouter un plug in a la liste cliquez sur Ajouter des plug ins et s lectionnez un plug in dans la liste 2 Pour supprimer un plug in de la liste des plug ins qui s ex cutent automatiquement lorsque vous ouvrez un projet d cochez la case dans la colonne Activ 3 Pour supprimer un plug in de la liste s lectionnez le et cliquez sur Supprimer des plug ins 4 Pour filtrer la liste de plug ins utilisez le champ Filtrer REMARQUE Les param tres s appliquent a tous les projets ouverts apr s la modification dans votre session actuelle Pour enregistrer votre configuration des param tres et l utiliser lors des sessions suivantes consultez la section Enregistrer les param tres page 371 15 8 Enregistrer les param tres Enregistrez vos param tres pour les r utiliser ult rieurement ou pour les partager avec un autre utilisateur 1 Dans la fen tre Param tres cliquez sur Enregistrer la configuration 2 Dans la fen tre
182. nversation Pour acc der a la vue Conversation et l utiliser 1 Dans un tableau de donn es relatives aux communications s lectionnez l un des enregistrements 2 Cliquez sur fa Un onglet Conversation s ouvre affichant les l ments correspondants sous forme de conversation entre l exp diteur et le destinataire de l l ment s lectionn celebrite 130 delivering mobile expertise P 8 A wa 8 Enter text to filter F4 ICI TTS oF Po gnome here PERUSE SU Select Deselect all 20 messages D Friend 12 27 2012 1 52 46 PM UTC 0 Let s check F Mor Konevky 12 27 2012 1 52 23 PM UTC 0 Done Mw Mor Konevky 12 27 2012 1 51 50 PM UTC 0 Yummie Friend 12 27 2012 1 51 34 PM UTC 0 12 27 2012 1 48 53 PM UTC 0 Chapitre 5 Localisation et analyse des informations 131 CU Pour traduire ou supprimer le texte traduit cliquez sur et s lectionnez Tout traduire ou Supprimer toutes les traductions Pour imprimer la conversation cliquez sur 4 Pour afficher un aper u avant impression cliquez sur Lis Pour exporter la conversation cliquez sur le format souhait dans la barre d outils de l onglet Conversation Excel a HTML PDF fe XML E ou Word W Pour modifier l ordre de la conversation cliquez sur et s lectionnez Message le plus ancien en premier ou Message le plus r cent en premier Pour filtrer les messages saisissez le texte dans la zone d
183. orensics et int gr dans UFED Physical Analyzer par Cellebrite tente d extraire les mots de passe de d verrouillage des extractions Android Ce plug in se trouve dans la liste des plug ins standard celebrite 342 delivering mobile expertise Chapitre 15 Param tres 343 Chapitre 15 Param tres La fen tre Param tres permet d acc der aux options de configuration fonctionnelles et comportementales utilis es pour ajuster et contr ler les fonctionnalit s et l utilisation de l application Les param tres de la fen tre Param tres s appliquent a tous les projets ouverts dans UFED Physical Analyzer REMARQUE Les modifications des param tres sont perdues lorsque vous fermez UFED Physical Analyzer Pour enregistrer la configuration des param tres consultez la section Enregistrer les param tres page 371 e Pour acc der la fen tre Param tres proc dez de l une des fa ons suivantes e S lectionnez Outils gt Param tres e Cliquez sur W La fen tre Param tres s affiche celebrite 344 delivering mobile expertise 15 1 Param tres g n raux Les param tres g n raux de l application peuvent tre d finis dans l onglet Param tres g n raux Localization ro ehi ne Translation Language Show translation by default PE E Always shift timestamps to this time zone UTC 02 00 Jerusalem x Data Files Daylight Saving Time Dump Save deleted files Add DEL extensio
184. other applications before Click Next to continue or Cancel to exit Setup celebrite delivaring mobile expertise 3 Cliquez sur Suivant celebrite delivering mobile expertise i Setup UFED Physical Analyzer Please read the following important information before continuing Please read the following License Agreement You must accept the terms of this IMPORTANT PLEASE READ THIS END USER LICENSE AGREEMENT CAREFULLY OADING INSTALLING OR USING CELLEBRITE SUPPLIED SOFTWARE ONSTITUTES ACCEPTANCE OF THIS AGREEMENT BRITE 15 WILLING TO LICENSE THE SOFTWARE TO YOU ONLY IF YOU ACCEPT ALL OF THE TERMS CONTAINED IN THIS AGREEMENT THE EULA ANY ADDITIONAL TERMS IN AN AGREEMENT SIGNED BY BUYER AS DEFINED BELOW AND CELLEBRITE AND ANY CLICK ACCEPT AGREEMENT AS APPLICABLE TO EXTENT OF ANY CONFLICT AMONG THIS AGREEMENT ANY ADDITIONAL ER og gst cpr on een ANY CLICK ACCEPT AGREEMENT ANY TERMS ON A PURCHASE ORDER AND CELLEBRITE S TER S AND CONDITIONS OF SALE THE ORDER OF PRECEDENCE SHALL BE A gt I accept the agreement I do not accept the agreement oss en cone 4 S lectionnez J accepte l accord puis cliquez sur Suivant Chapitre 2 Installation et activation 23 i Setup UFED Physical Analyzer Where should UFED Physical Analyzer be installed Setup will install UFED Physical Analyzer into the following folder To continue dick Next If you would like to select
185. ouris sur l l ment d arborescence Reconstitution gt Images puis s lectionnez Vider 2 Dans la fen tre S lectionner dossier acc dez au dossier souhait puis cliquez sur S lectionner dossier celebrite 244 delivering mobile expertise 11 3 V rifier les valeurs de hachage Une valeur de hachage est une repr sentation unique et compacte d un l ment de donn es qui peut tre utilis e pour prot ger l int grit des donn es car il est statistiquement improbable de trouver deux entr es distinctes poss dant la m me valeur de hachage La comparaison des valeurs de hachage de r f rence g n r es au cours du processus d extraction pour chaque extraction binaire avec les valeurs de hachage calcul es vous permet de v rifier l int grit des extractions binaires que vous recevez Pour v rifier les valeurs de hachage 1 Dans l onglet R sum d extraction du projet s lectionnez une des options suivantes e Siles informations de hachage sont disponibles pour le projet cliquez sur V rifier e Siles informations de hachage ne sont pas disponibles pour le projet cliquez sur Calculer les valeurs de hachage Les informations de hachage sont calcul es ou v rifi es Si aucune donn e de r f rence n est disponible un message Les valeurs de hachage ont t calcul es pour ce projet mais aucune donn e de r f rence n est disponible s affiche dans la section Informations de hachage de l image de l ongl
186. ouverts 121 Rechercher des informations dans un onglet de donn es 117 Rechercher des num ros SIM ICCID 247 264 Rechercher des num ros SMS 247 269 Rechercher des octets 247 253 Rechercher des sch mas 248 287 Index Rechercher les images reconstitu es 236 Rechercher les malware 86 173 378 Reconstituer des images 82 235 378 R cup ration des adresses 153 R f rences 375 S S lectionner des langues 156 S lectionner une cha ne diff rente 50 61 62 S orienter dans l espace de travail 40 73 Sp cifier un appareil diff rent 47 61 62 Supprimer un champ de rapport 355 Supprimer un signet 303 Supprimer un signet d entit 146 Supprimer un type de fichier de donn es 348 396 Supprimer une cha ne 326 Supprimer une liste de surveillance 140 T Traduction de donn es d cod es 155 Travailler avec l analyse de projet 169 Travailler avec les donn es hexad cimales 123 243 Travailler avec les images reconstitu es 239 Travailler avec les listes de surveillance 84 130 378 Travailler avec les signets 109 245 300 Travailler avec TomTom 231 379 Travailler dans la zone Arborescence de projet 87 Travailler dans les onglets de donn es 95 celebrite delivering mobile expertise Travailler dans l onglet Mises en vidence 109 112 245 Travailler dans l onglet Valeurs 109 110 245 U Utiliser le filtre avanc 120
187. par s par des espaces 6 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix celebrite 288 delivering mobile expertise c Pour d finir les couleurs du Texte et de l Arri re plan cliquez sur la palette s lectionnez la couleur souhait e puis cliquez sur OK Les couleurs choisies ici sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 7 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un
188. port t cr pour le projet il est accessible dans la section Rapports de l arborescence de projet Double cliquez sur le rapport de votre choix pour l ouvrir avec l application correspondante install e sur le poste de travail Cliquez avec le bouton droit de la souris sur un rapport g n r pour ouvrir le fichier du rapport ou s lectionnez Ouvrir le dossier pour parcourir les fichiers et dossiers du rapport celebrite 198 delivering mobile expertise Chapitre 10 Effectuer des extractions 199 Chapitre 10 Effectuer des extractions Dans UFED Physical Analyzer utilisez l une des m thodes suivantes pour effectuer des extractions d appareils 1 Pour les appareils iOS l extraction num rique avanc e l extraction physique l extraction de syst me de fichiers ou la r cup ration de mot de passe de l appareil s effectuent au moyen de l application iOS Device Extraction 2 Pour le GPS ou le stockage de masse l extraction s effectue via UFED Physical Analyzer 10 1 Extraction d appareils iOS Pour effectuer une extraction physique ou une extraction num rique avanc e d un appareil iPhone iPod ou iPad utilisez iOS Device Extraction 10 1 1 Conditions pr alables Pour effectuer une extraction depuis un appareil iOS il vous faut e UFED Physical Analyzer install sur un PC celebrite 200 delivering mobile expertise e Un c ble UFED n 110 un c ble A UFED avec embout T 110 ou un c ble USB a 30 broches App
189. ppareil sp cifique s lectionnez une des options suivantes dans la section Appareils de la liste e Tous les appareils pour afficher une liste de tous les appareils pr d finis e Le nom d un fabricant pour afficher une liste des appareils pr d finis du fabricant s lectionn Double cliquez sur un appareil pour afficher sa fen tre Cha nes La fen tre Cha nes de l appareil affiche au moins une cha ne qui lui est attribu e 14 1 1 Construire une chaine 1 Dans la fen tre Gestionnaire de cha nes cliquez sur Nouvelle cha ne 2 Cliquez sur Nouvelle cha ne celebrite 320 delivering mobile expertise L cran Nouvelle cha ne s affiche i AgereCalllogs Reads call logs from the Samsung Agere family of phones s AgerePhoneBook Decodes contacts from the Samsung Agere family of phones S AgereReader Decodes the proprietary file system of the Samsung Agere phone family S AgereSMS Decodes SMS from the Samsung Agere family of phones si Analytics Generates the Analytics section information s Android Apps Japanese Decodes Japanese apps for Android devices Android Databases Decodes user data and 3rd party application databases for Android devices s Android Databases Logical Decodes user data and 3rd party application databases for Android devices Logical extraction S Android Databases Unallocated Carving carves and narcec colite nanec from unallocated area meant for use only in dum
190. pr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 8 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 9 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 10 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel 8 HTML 2 PDF 8 ou XML E 12 1 2 Rechercher des octets Recherchez des octets pour trouver des occurrences sp cifiques dans les donn es hexad cimales Cette option est particuli rement utile lorsque vous connaissez l en t te d identification d un type de fichier ou d une information que vous recherchez Par exemple les premiers octets hexad cimaux d une image au format JPEG sont FF D8 FF Ainsi en recherchant FF D8 FF les r sultats fournissent l emplacement de tous les en t tes d images au format JPEG possibles dans les donn es hexad cimales celebrite 258 delivering mobile expertise 1 Lorsque les donn es hexad cimales sont affich es cliquez sur Rechercher pour ouvrir la fen tre 2 Dans l onglet Rechercher s lectionnez Octets dans la liste de types de donn es x Find Find Re
191. r afficher les donn es d cod es faites d filer les encodages jusqu celui que vous souhaitez puis cliquez sur amp pour agrandir l affichage Certaines options d encodage telles que le 16 bits poss dent des types de sous encodage 4 D veloppez o r duisez les types d encodage en cliquant sur TE ou cellebrite 114 delivering mobile expertise 4 2 3 7 2 Travailler dans l onglet Mises en vidence L onglet Mises en vidence contient une liste des segments de contenu mis en vidence dans les donn es hexad cimales affich es Chaque segment repr sente l emplacement des donn es analys es dans les donn es hexad cimales L onglet Mises en vidence vous permet de localiser des types de donn es analys es sp cifiques dans les donn es hexad cimales Le nombre de r sultats mis en vidence appara t entre parenth ses c t du nom de l onglet 1 Pour acc der l onglet Mises en vidence cliquez sur l onglet Mises en vidence en bas d un onglet Vue hexad cimale __ Application Usage 17 x Welcome x Extraction Summary x _ Images 556 x Wa ERE gt Se 8 PD Hex View 0243F30C 0243F321 0243F336 0243F34B 0243F360 0243F375 appActi vationCount com apple mobileslideshow Phot 08 appBackgr oundActiveTime com ap 0243F38A 0243F39F 0243F3B4 0243F3C9 Highlights 6 results aaam Offset Length Value Source 1 0x243F36E 0333
192. r cette tape de l installation jB Setup UFED Physical Analyz Heer Ue Completing the UFED Physical Analyzer Setup Wizard To complete the installation of UFED Physical Analyzer Setup must restart your computer Would you like to restart now No I will restart the computer later cellebrite mobile data secured Chapitre 2 Installation et activation 27 10 S lectionnez Red marrer maintenant puis cliquez sur Terminer Votre ordinateur red marre et UFED Physical Analyzer est install 2 1 3 Activer UFED Physical Analyzer Pour activer UFED Physical Analyzer utilisez une des m thodes suivantes e Utiliser une cl de licence dongle e Utiliser une licence logicielle e Utiliser une cl r seau dongle REMARQUE Consultez votre kit UFED pour v rifier quelle m thode vous devez utiliser 2 1 3 1 Notification de nouvelle version Cellebrite vous informe lorsqu une nouvelle version de votre logiciel est disponible Si vous tes connect Internet vous recevrez cette notification lorsque la nouvelle version est disponible Si vous n tes pas connect Internet cette notification s affiche tous les 3 mois celebrite delivering mobile expertise 2 1 3 2 Utiliser une cl de licence dongle Utilisez le dongle UFED fourni dans votre kit UFED Le dongle contient les licences de toutes les applications achet es Pour utiliser UFED Physical Analyzer avec un dongle Cl de li
193. r le nom et la description du signet e Pourimprimer ou exporter uniquement la liste de signets d entit s cliquez sur le format souhait dans la barre d outils de l onglet Signets d entit s Excel a8 HTML a PDF ou XML tel Chapitre 5 Localisation et analyse des informations 147 5 9 1 Cr er un nouveau signet d entit Vous pouvez ajouter des signets d entit s aux l ments de la vue Tableau 1 S lectionnez l l ment auquel vous voulez ajouter un signet 2 Cliquez sur d La bo te de dialogue Ajouter modifier un signet s affiche E Add Edit Bookmark Name Description Type Call Log Created 22 Jul 12 4 04 02 PM 3 Saisissez un nom et une description pour le nouveau signet d entit puis cliquez sur OK celebrite 1 48 delivering mobile expertise Un signet d entit point vers l l ment s lectionn est ajout la liste de signets d entit s du projet L enregistrement d l ment marqu par un signet est indiqu par une bleue 5 9 2 Modifier un signet d entit 1 Choisissez une des options suivantes e Un enregistrement de signet d entit dans la liste des Signets d entit s de l arborescence du projet e Un l ment marqu par un signet indiqu par w 2 Cliquez sur dans la barre d outils de la vue Tableau La bo te de dialogue Ajouter modifier un signet s affiche 3 Modifiez le nom ou la description puis cliquez sur OK 5 9 3 Supprimer un signet d ent
194. r le volume de ces communications Les v nements de communication sont r pertori s par volume et par type Les v nements de communication suivants sont pris en charge e T l phones r pertorie les appels sortants entrants et manqu s et les SMS et MMS envoy s et re us ainsi que les brouillons e E mails r pertorie les e mails envoy s re us les brouillons et les e mails de statut inconnu e WhatsApp r pertorie les messages envoy s re us et les brouillons 174 celebrite delivering mobile expertise e Skype r pertorie les appels SMS et les messages instantan s e BlackBerry Messenger r pertorie les messages instantan s L analyse du projet s ex cute automatiquement lorsque vous ouvrez un fichier d extraction Pour afficher l analyse de projet 1 Cliquez sur El c t de l l ment d arborescence Analyse du projet pour afficher les r sultats de l analyse dans l l ment d arborescence Analyse du projet 2 Double cliquez sur l l ment d arborescence Analyse du projet pour ouvrir un onglet qui affiche les cing activit s les plus importantes par contact 3 Pour afficher une vue d ensemble comparative de tous les v nements de communication double cliquez sur l l ment d arborescence Analyse de l activit La vue est tri e par ordre croissant en fonction du nombre total d v nements Welcome x Evagion Summary desi Anaic GX Phones 84 x j 3
195. r trier les l ments en fonction du champ de tri s lectionn et de l ordre de tri croissant ou d croissant d fini par l utilisateur dans chaque tableau d affichage de donn es Chapitre 15 Param tres 367 Calculer le hachage SHA 2 256 bits et Calculer le hachage MD5 128 bits s lectionnez les cl s de hachage MD5 et SHA256 calcul es ajouter chaque l ment des fichiers de donn es dans le rapport g n r D sactivez ces options pour raccourcir la dur e du processus de cr ation du rapport pour les projets de taille importante Inclure les traductions s lectionnez cette option pour inclure le texte traduit dans le rapport D sactiver la cat gorisation des mod les s lectionnez cette option pour d sactiver la s paration et g n rer un rapport dans lequel chaque l ment de donn es est g n r comme une section unique sans s paration en sous cat gories Par d faut le rapport cr est organis en cat gories et chaque cat gorie du groupe d l ments de donn es est g n r e comme section s par e du rapport Par exemple lorsque vous g n rez un rapport avec des SMS cochez cette case pour g n rer les SMS sous forme de liste unique o d cochez la pour cr er une liste distincte pour chaque cat gorie de SMS re us envoy s brouillons etc En t te du logo saisissez et personnalisez le format du texte qui s affiche dans l en t te du rapport avant le logo Logo cliquez sur S lec
196. re 15 Param tres 343 15 1 Param tres g N raUX ts 344 15 2 Fichiers de AONN ES un 347 15 2 1 M thodes de filtrage des fichiers de O al a See RE RES AE HZ 348 15 2 2 G rer les param tres des fichiers de CONC e 349 15 3 Param tres de la visionneuse hexad cimale353 15 4 Param tres des mod les 355 15 5 Champs de rapport suppl mentaires 200 15 5 1 Ajouter un champ de rapport 357 15 5 2 Modifier un champ de rapport 359 15 5 3 Supprimer un champ de rapport 359 15 6 Param tres par d faut du rapport s 359 15 7 Param tres de plug in post cha nNe 370 15 8 Enregistrer les param tres 371 WT tS Dies 372 Contenu 15 10 D finir les param tres du projet 372 15 10 1 D finir un fuseau horaire unifi pour le DIO i i cicci 372 15 10 2 D finir les informations du dossier 376 Chapitre 16 R f rences csccccessseees 379 IR Turane e 379 VC en 330 16 2 1 Afficher la fen tre Trace 380 OS VERS 382 FO MORTE OR N 384 ERE 384 IR ei 385 TOA M RRaRDOR 385 16 8 MENU Aide eee 386 celebrite delivering mobile expertise Chapitre 1 Introduction 11 Chapitre 1 Introduction 1 1 Presentation UFED est divis en trois composants e L unit UFED Touch ou UFED permet l extraction num rique de mot de passe de SIM de syst me de fichiers et physique d appareils mobiles L extraction peut ensuite tre enregistr e sur u
197. rmations d extraction sur l onglet Accueil 1 Utilisez une des m thodes suivantes e Dans l onglet R sum d extraction du projet cliquez sur Param tres du projet e Cliquez sur amp Chapitre 15 Param tres 377 2 Cliquez sur Informations du dossier Add New Restore default settings Required DefaultValue General Settings Case number Yes String B Case name Yes String Case Information Evidence number Yes String Notes Yes String 3 Cliquez sur Ajouter Certains champs d informations du dossier sont remplis par d faut 4 D finissez les param tres des champs d information par d fauts a Dans la colonne Nom saisissez les informations correspondantes par exemple le num ro de dossier le nom ou des remarques b S lectionnez Obligatoire si ce champ doit tre rempli celebrite 378 delivering mobile expertise c Dans la liste Type s lectionnez une des options suivantes Cha ne pour les champs de saisie de texte Liste pour une liste d options sp cifi es d Dans le champ Valeur par d faut d finissez le contenu par d faut Pour le type Cha ne saisissez la cha ne par d faut Pour une cha ne de plusieurs lignes cliquez sur P saisissez la cha ne par d faut dans l diteur d option puis cliquez sur OK Pour le type Liste cliquez sur P saisissez les l ments de la liste un par ligne puis cliquez sur OK 5 Pour ajouter des champs d information suppl mentaires
198. rs csv qui ont t enregistr es ou cr es par UFED Physical Analyzer 138 celebrite delivering mobile expertise Vous pouvez galement importer un fichier CSV qui contient une liste de mots cl s que vous pouvez ensuite utiliser comme mots cl s de liste de surveillance Cette option permet d importer les mots cl s sans formatage et recherche tous les types de donn es par d faut 1 Dans la barre d outils principale cliquez sur L diteur de liste de surveillance s affiche 2 Cliquez sur et s lectionnez Importer 3 Acc dez votre liste de surveillance s lectionnez le fichier CSV puis cliquez sur Ouvrir Chapitre 5 Localisation et analyse des informations 139 La liste de surveillance s affiche dans l diteur de liste de surveillance En voici un exemple Keywords Enter text to filter a Entry Value Match case Whole word Color ACID HEAD E EM X ANGEL DUST oO M x BAG E X BALLOON E EM x BRICK E Ex X BROWNIES E E EM x CANDY E oO E x CANDYMAN E E EE x COKE m o M x COOKER E o M x CUT m o E x celebrite 1 40 delivering mobile expertise 5 8 4 Exporter une liste de surveillance Exportez des listes de surveillance pour enregistrer une liste comme fichier csv afin de la r utiliser ult rieurement ou de la partager avec d autres personnes 1 Dans l diteur de liste de surveillance s lectionnez la liste que vous souhaitez exporter 2 Cliquez sur Chapitr
199. rs de donn es 345 Ajouter un vidage binaire 55 61 63 Index Ajouter un vidage de syst me de fichiers 56 61 63 Analyse de donn es 14 Arborescence de projet 74 93 143 Associer des appareils une cha ne 320 Avis juridiques 3 C capture d cran 309 Capture d image 309 Champs de rapport suppl mentaires 187 352 Charger des param tres 367 Charger une session de projet 70 Cl de licence dongle 28 Cl r seau 33 390 Commencer avec un nouveau projet 59 61 Commencer par la s lection de l appareil 59 Conditions pr alables 195 Configuration requise 18 Construire une cha ne 315 Cr ation d un rapport Assistant de cr ation de rapports 183 Cr er un nouveau signet d entit 144 Cr er une liste de surveillance 130 141 142 D D codage avanc 49 313 D coder des donn es brutes 303 D finir la cha ne d appareils par d faut 323 D finir les informations du dossier 187 371 celebrite delivering mobile expertise D finir les param tres du projet 87 367 379 D finir un fuseau horaire unifi pour le projet 367 D monstration de Link Analysis 40 D placer UFED Physical Analyzer vers un autre PC a l aide d une licence logicielle 35 D sactivation des licences de la version 2 35 D sactivation des licences de la version 5 36 Dissocier des appareils d une cha ne 325 E Effectuer des extractions 19
200. rypted in UFED Physical Analyzer The passcode can be recovered automatically if you don t know the passcode E Physical Extraction Extract a physical image of the device s storage memory to your computer EN File System Extraction Extract all files from the device to your computer e Passcode recovery Recover the passcode so you can unlock and use the device Extraction and Encryption FAQ Turn off the device and exit 9 Choisissez la m thode d extraction souhait e e Pour l extraction physique Partition de donn es utilisateur Partition du syst me ou les deux e Pour l extraction d un syst me de fichiers Partition de donn es utilisateur ou les deux Chapitre 10 Effectuer des extractions 209 Choisissez l emplacement o vous souhaitez enregistrer les donn es extraites Vous pouvez les enregistrer localement sur l ordinateur ou sur un dispositif de stockage amovible Siew Connect gt Prepare gt Extract data Choose an extraction method O User data partition contains photos email text messages contacts settings etc System partition contains only operating system files User and system data partitions Where would you like to save the extraction vd My documents My UFED Extractions O Desktop Browse 10 Cliquez sur Suivant pour continuer REMARQUE Si l appareil est verrouill par un mot de passe consultez la section Effectuer une extraction physique d appareils cr
201. s e Image de l appareil image miniature de l appareil tir e des ressources de l application lorsqu elle est disponible Lorsqu aucune image n est disponible une image g n rique est utilis e Chapitre 4 S orienter dans l espace de travail 93 Nom du fichier nom du fichier ouvert sans l extension Chemin du fichier chemin syst me vers le fichier Mod le de l appareil fabricant et mod le de l appareil identifi ou BINARY si le fichier ouvert est une extension binaire Nom du dossier si un nom de dossier a t attribu au rapport celui ci s affiche ici Le nom peut tre d fini dans les param tres du projet Date et heure date et heure de la derni re ouverture du fichier Lien de navigation lien direct vers le fichier dans le syst me Supprimer l ment r cent cliquez ici pour supprimer l l ment de l onglet Accueil Vous pouvez proc der de la fa on suivante Cliquez sur un l ment encadr pour ouvrir les fichiers d coder Cliquez sur Parcourir pour acc der directement au fichier associ dans le syst me de fichiers Fermez l onglet Accueil Pour l ouvrir nouveau allez dans Vue gt Afficher Accueil celebrite 94 delivering mobile expertise 4 2 2 Onglet R sum d extraction L onglet R sum d extraction s affiche automatiquement lorsque vous ouvrez une nouvelle extraction pour analyse e Pour rouvrir l onglet lorsqu il est ferm double cliquez sur l l ment d
202. s cliquez sur La bo te de dialogue Ajouter un signet s affiche 306 celebrite delivering mobile expertise Dans le champ Nom saisissez le nom du signet Dans le champ Description saisissez la description du signet Si vous n avez s lectionn aucune zone dans les donn es hexad cimales proc dez de la fa on suivante dans le champ Emplacement a S lectionnez l unit souhait e pour l adresse D cimale ou Hexad cimale dans la liste Base b Dans le champ Adresse saisissez l adresse du point de d part d calage des donn es auxquelles vous souhaitez ajouter un signet c Dans le champ Longueur saisissez la longueur des donn es auxquelles vous souhaitez ajouter un signet Dans le champ Couleurs d finissez la couleur de l arri re plan et du texte pour le signet Cliquez sur OK Le nouveau signet est enregistr et affich dans l onglet Signets de la vue hexad cimale Le segment marqu est surlign avec les couleurs choisies Les d tails du signet s affichent dans la fen tre des r sultats Chapitre 12 Travailler avec les donn es hexad cimales 307 Chaque signet affiche les informations suivantes e D calage d calage d adresse du paragraphe du signet dans les donn es hexad cimales e Longueur longueur du segment de donn es auquel est attribu un signet e Description nom du signet 7 Cliquez sur un signet dans la liste des signets pour l afficher dans la vue Hexad
203. s diff rents formats des fichiers images par les extensions Ig jpeg dit png o bmp 15 2 2 G rer les param tres des fichiers de donn es Ajoutez de nouveaux types de fichiers de donn es et modifiez et supprimez les types de fichiers de donn es existants 350 celebrite delivering mobile expertise 15 2 2 1 Ajouter un type de fichiers de donn es 1 Dans les param tres Fichiers de donn es cliquez sur Une nouvelle ligne est ajout e la liste S lectionnez Actif pour afficher le type de donn es ajout dans l l ment d arborescence Type de donn es Cliquez sur la fen tre Description de la nouvelle ligne et saisissez une description pour le type de fichiers Le cas ch ant dans la fen tre Extensions saisissez les extensions de fichier couramment utilis es par votre type de fichier de donn es au format xxx et s par es par des points virgules Le cas ch ant dans la fen tre Filtre signature cliquez sur et choisissez une des options suivantes Chapitre 15 Param tres 351 ky Data Signature Dialog Use Name Header Footer W JPG Files xFFxD8 xFFixD9 PNG Files x89PNG BMP Files BM GIF Files GIF8 e Cliquez sur pour ajouter filtre signature qui identifie votre type de fichiers de donn es x e Cliquez sur pour supprimer un filtre signature e Cliquez sur pour modifier un filtre signature existant 6 Le cas ch ant dans la fen tre Baliser com
204. s en vidence Pour s lectionner toutes les entit s dans toutes les vues par d faut e S lectionnez Cocher toutes les entit s par d faut Les entit s s lectionn es seront incluses dans les rapports g n r s Chapitre 15 Param tres 347 Pour d terminer le nombre de chiffres requis pour qu un num ro de t l phone soit unique e Dans la zone Analyse s lectionnez le nombre de chiffres souhait s dans le champ Nombre de chiffres pour qu un num ro de t l phone soit unique 15 2 Fichiers de donn es Active Description Extensions Signature filter STR 5 jpg jpeg gif png bmp 4 signatures peste ene 2 I N NN CC Additional Report Fields la Report Defaults A e N e ox J sve coniwaton Load conouato Post chain Pluains celebrite 348 delivering mobile expertise Les param tres des Fichiers de donn es d terminent les diff rents groupes de fichiers et de balises dans les l ments d arborescence Fichiers de donn es et Balises et les types de fichiers filtr s dans chaque groupe Chaque enregistrement de fichier de donn es contient les param tres suivants e Actif indique si le groupe de fichiers de donn es doit tre affich coch ou masqu d coch dans l arborescence de projet e Description nom descriptif pour le type de fichiers de donn es utilis comme nom de groupe dans l l ment d ar
205. s instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela 260 e celebrite delivering mobile expertise S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci 6 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl mentaires doivent tre incluses Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherche
206. s le champ Choisir le num ro de s rie s lectionnez le num ro de s rie UFED affich sur l unit UFED Touch ou sur l cran Activation de la licence UFED Touch Serial Number Please select serial number v 8 R cup rez ensuite l ID ordinateur ne fermez pas la page MyCellebrite lors de cette tape e Lancez l application La fen tre Licence de produit Cellebrite s affiche e Cliquez sur Copier pour copier l ID ordinateur affich l cran celebrite delivering mobile expertise Software license details Load license file Deactivate software license Computer ID Dares Help g Sales sales cellebriteusa com 9 Sur MyCellebrite collez l ID ordinateur copi Computer ID 10 Cliquez sur T l charger maintenant pour t l charger la cl de licence de votre application sur votre PC La cl de licence est galement envoy e votre adresse e mail enregistr e sur MyCellebrite 11 Dans l application cliquez sur Charger le fichier de licence dans la fen tre Licence de produit Cellebrite 12 S lectionnez le fichier License et cliquez sur Ouvrir Un message s affiche pour vous indiquer que la licence logicielle a bien t mise jour Computer ID LIBRE Tree RES re Copy Your software license has been successfully updated Help g Sales sales cellebriteusa com 13 Cliquez sur Fermer F licitations Votre application est maintenant pr te
207. s suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 16 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 17 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 18 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel 8 HTML 2 PDF 8 ou XML E Chapitre 12 Travailler avec les donn es hexad cimales 285 12 1 7 Rechercher des cha nes de texte de SMS Cette m thode de recherche vous permet de rechercher les cha nes de texte SMS 7 bits PDU dans les donn es hexad cimales 1 Lorsque les donn es hexad cimales sont affich es cliquez sur pour ouvrir la fen tre Rechercher 2 S lectionnez l onglet SMS 7 bits PDU celebrite 286 delivering mobile expertise Find SMS 7ot PDU Pattem Code Colors Text Background Find all instances Show results comments slower Unicode V
208. sg 0 20 30 i 33 0000000 0000000 00 OOOO TE 13 i 5 36 i 3 3 OOOOIG000 11564265565 Donno n 3 I DOUGDOOAB DOCDO0BD DooDoORe DOODOOET Coe ne y H T 7 2 Of uns SUSE EDO a wus LEDET L i AA 00000126 DOG001 38 DOG00150 DOG0G7ES 0000TA CEDE pae e e i Oddi aA4 GoSRG189 oO0001cE OOOD01E3 ooMO1FS Hoo0G2 0b OODO2 22 COST COCO 4c SY Values REI Bookmarks 4 Highlights Chapitre 12 Travailler avec les donn es hexad cimales 249 Les onglets d informations sur l analyse sont situ s sous l onglet Vue hexad cimale Ils affichent les types d informations suivants en lien direct avec les donn es hexad cimales affich es e Valeurs un grand nombre d interpr tations des valeurs telles que 8 16 32 et 64 bits divers encodages de cha ne les formats de date et d heure etc calcul s au fur et mesure pour les donn es actuelles contenues dans la vue hexad cimale Consultez la section Travailler dans l onglet Valeurs page 112 e Signets une liste des signets ajout s aux donn es hexad cimales affich es Consultez la section Travailler avec les signets page 304 e Mises en vidence une liste des segments de contenu mis en vidence dans les donn es hexad cimales affich es Le nombre de r sultats mis en vidence appara t entre parenth ses c t du nom de l onglet Consultez la section Travailler dans l onglet Mises en vidence page 114 e Recherc
209. sont conserv es pour la dur e de la session Pour modifier les couleurs par d faut d finissez les dans la fen tre Param tres Pour plus d informations consultez la section Param tres de la visionneuse hexad cimale page 353 Conseil Pour distinguer facilement les r sultats donn s pour chaque recherche effectu e d finissez des couleurs de texte et d arri re plan diff rentes pour chaque recherche d Utilisez une des m thodes suivantes S lectionnez Rechercher toutes les instances pour afficher tous les r sultats de la recherche la fin du processus D cochez Rechercher toutes les instances pour afficher les l ments trouv s un par un au cours de la recherche vous pouvez galement appuyer sur F3 pour cela e S lectionnez Afficher les commentaires des r sultats pour afficher ceux ci Chapitre 12 Travailler avec les donn es hexad cimales 295 8 Dans la zone Donn es suppl mentaires am liorez vos capacit s de recherche en ajoutant un nombre pr d fini de caract res avant et ou apr s la valeur recherch e Cela peut permettre de localiser des r sultats sp cifiques ou m me de limiter les r sultats des entit s sp cifiques de la valeur recherch e a D S lectionnez Montrer avant pour afficher les donn es qui se trouvent juste avant ce que vous recherchez Dans le champ D calage saisissez le d calage avec le d but du r sultat de recherche partir duquel les donn es suppl menta
210. ste de formats de date et de plug ins pouvant tre utilis s pour rechercher des dates 3 S lectionnez le ou les formats de date et les plug ins que vous souhaitez utiliser pour la recherche en cours celebrite 264 delivering mobile expertise REMARQUE Les plug ins adapt s varient selon l encodage des donn es le type d appareil analys etc Si vous s lectionnez un plug in qui n est pas adapt vos r sultats de recherche risquent de contenir de faux r sultats Par exemple vous pouvez s lectionner BlackBerry si vous analysez un appareil BlackBerry Si vous n analysez pas un appareil BlackBerry et que vous s lectionnez BlackBerry les r sultats obtenus risquent d tre incorrects L cran Param tres de recherche s affiche 4 Dans les champs Date min et Date max cliquez sur ET pour s lectionner une date sur le calendrier Conseil Choisissez une p riode courte pour limiter le nombre de r sultats obtenus Conseil Lorsque vous recherchez une date pr cise remplissez les champs Date min et Date max de fa on d finir une p riode d au moins 24 heures 5 Dans la zone Options choisissez les options de recherche souhait es a Dans la liste Direction de recherche s lectionnez la direction de recherche b Dans la liste Fen tre de r sultats de recherche s lectionnez Nouveaux Remplacer actuels ou Ajouter aux r sultats actuels au choix c Pour d finir les couleurs du Texte et de l Arri re pla
211. sur Mode recuperation 204 Connect the device in recovery mode Press and hold the Home Connect the cable while still button holding the Home button Keep holding the home button even after this image appears celebrite delivering mobile expertise Chapitre 10 Effectuer des extractions 205 Le processus passe automatiquement l tape suivante a iOS Physical 4 0 uccesstully entered Recovery Mode Connect gt Prepare gt Extract data You can release the Home button now Device Info Device model iPhone4GSM R2 iOS version 7 0 3 7 0 6 Serial number DNPK85L5DPMW ECID 000003F05F10130F Board n90bap iBoot firmware version iBoot 1940 3 5 Chip ID 8930 Apr s d tection d un appareil en Mode r cup ration iOS Device Extraction affiche des informations sur l appareil telles que le num ro de s rie la version mat rielle la version iOS etc 5 Si vous avez besoin de ces informations cliquez sur Copier les copier sur le presse papier REMARQUE Lorsque plusieurs versions sont affich es la version de l appareil peut tre n importe laquelle Par exemple si la version indique 4 0 4 0 2 la version r elle peut tre 4 0 4 0 1 ou 4 0 2 206 celebrite delivering mobile expertise 6 Cliquez sur Suivant pour continuer 7 Suivez les instructions qui s affichent pour configurer l appareil en mode DFU mise niveau des micrologiciels de l appareil epare the devi
212. sur c Une liste des listes de surveillance s affiche 2 S lectionnez la ou les listes de surveillance que vous souhaitez ex cuter sur le projet en cours REMARQUE Une coche indique que la liste de surveillance est active pour le projet 3 Cliquez sur Appliquer sur le projet mis en vidence dans l arborescence de projet LI REMARQUE Lorsque vous cliquez sur amp dans la barre d outils vous ne pouvez ex cuter les listes de surveillance que sur le dernier projet sur lequel vous avez cliqu dans l arborescence de projet UFED Physical Analyzer recherche les mots cl s dans les projets s lectionn s Une fois la recherche termin e les r sultats de la liste de surveillance s affichent dans l l ment d arborescence Listes de surveillance Chapitre 5 Localisation et analyse des informations 145 Si la liste de surveillance est attribu e a des types d informations sp cifiques voir Cr er une liste de surveillance page 132 seules les correspondances pour ces types s affichent dans les r sultats 5 8 7 Localiser une liste de surveillance 1 Utilisez une des m thodes suivantes 4 e Dans la barre d outils cliquez sur e Dans le menu Outils s lectionnez Editeur de liste de surveillance L diteur de liste de surveillance s affiche 2 Dans la case Saisir le texte filtrer saisissez le nom complet ou partiel de la liste de surveillance puis cliquez sur amp 3 La liste des listes de surveillan
213. t de l arborescence Fichiers de donn es Description L l ment d arborescence Fichiers de donn es trie les donn es extraites en formats de fichier communs o connus utilis s par les appareils et ordinateurs images vid os fichiers audio fichiers texte ou documents Dans l arborescence de projet les informations affich es sont tri es selon les cat gories suivantes Images Fichiers reconnus comme des fichiers image Vid os Fichiers reconnus comme des fichiers vid o Audio Fichiers reconnus comme des fichiers audio Texte Fichiers reconnus comme des fichiers texte Bases de donn es Structures de donn es reconnues comme des bases de donn es Configurations Fichiers de configuration de l appareil tels que les fichiers plist iOS 84 El ment de l arborescence Reconstitution celebrite delivering mobile expertise Description e Applications Fichiers reconnus comme des fichiers d application fichiers apk jar dex 50 exe etc e Documents Fichiers reconnus comme des fichiers documents fichiers doc docx odf xisx ppt etc Les l ments supprim s sont indiqu s par une croix rouge 38 Vous pouvez cr er des groupes de fichiers de donn es suppl mentaires Pour plus d informations consultez la section G rer les param tres des fichiers de donn es page 349 L l ment d arborescence Reconstitution vous permet d effectuer une recherche dans l extract
214. tc Chapitre 4 S orienter dans l espace de travail 81 l ment de Description l arborescence Les types d informations suivants peuvent s afficher dans les Donn es analys es Informations personnelles calendrier contacts notes journal d appels dictionnaires utilisateur comptes utilisateur l ments de messagerie SMS MMS e mails messages instantan s chat 82 El ment de l arborescence celebrite delivering mobile expertise Description e l ments de navigateur Web signets historique cookies e Informations GPS localisations y compris de fichiers vid o m tadonn es et bases de donn es SQLite trajets correctifs Pour en savoir plus sur les g olocalisations consultez la section propos des donn es de localisation page 149 e Informations de l appareil appairages Bluetooth r seaux sans fil donn es SIM utilisation de l application Wi Fi localisations cellulaires Le nombre entre parenth ses indique le nombre d l ments que contient chaque cat gorie En s lectionnant une cat gorie de donn es analys es vous l ajoutez automatiquement la liste des mises en vidence de l image binaire et ou de la plage m moire affich e laquelle elle appartient situ e en bas de l onglet Vue hexad cimale Cela met galement en vidence ses portions de plage de donn es dans les donn es affich es Chapitre 4 S orienter dans l espace de travail 83 l men
215. teur Service Lieu celebrite delivering mobile expertise Chapitre 9 G n rer un rapport 191 REMARQUE Param tres par d faut pour ces champs Consultez la section D finir les informations du dossier page 376 Consultez les sections Champs de rapport suppl mentaires page 356 et Param tres par d faut du rapport page 359 pour obtenir des param tres par d faut suppl mentaires En outre les 10 derni res valeurs saisies dans ces champs sont galement disponibles dans la liste d roulante 8 Votre formulaire doit alors ressembler l exemple ci dessous General Report Dataset Reson iPhone4GSM_6 0 1 6 0 2 CAUsersyonathank Documents My Reports brome iPhone 4 2014 07 27 17 23 44 iPhone4GSM_6 0 1 6 0 2 FileSystem_22 04 14 15 43 20 iPhone 4 Word report PDF Report XML Report Security Layout Default sorting CD_2012 Word report Smith v Smith case 1001 PDF Report 1001 01 14 This is a report with all the mobile evidencd 9 Dans l cran suivant s lectionnez les donn es inclure dans le rapport 192 General iPhon dG5h4_6 0 1 6 Report Dataset iPhone4GSM _6 0 1 6 0 2 FileSystem_22 04 14 15 43 20 7 Select Deselect Al Lt Extracthon 7 Chats 7 7 Emails 9 13 Contacts 8 8 J SMS Messages 04 4 Device Into 43 43 lt himene 11 E Examiner la Entity Bookmarks 2 4 Calculate SHMA 256 bit hash Catculate MDS LES bat hash Include translations
216. texte qui s affiche dans l en t te du rapport avant le logo e Logo cliquez sur S lectionner un fichier image pour ajouter l image du logo l en t te du rapport Les formats compatibles sont BMP JPG GIF et PNG e Pied de page du logo saisissez et personnalisez le format du texte qui s affiche dans le pied de page du rapport apr s le logo e Afficher les totaux pour les l ments exclus du rapport ajoute une colonne Total au rapport qui affiche le nombre total d l ments exclus du rapport e Afficher le statut complet des l ments supprim s inclut le statut Intact Supprim o Inconnu des l ments supprim s dans le rapport g n r Lorsque cette option n est pas s lectionn e le statut des l ments supprim s est simplement Oui et reste vide pour les autres statuts e Nombre de lignes de l aper u d e mail d finit le nombre maximum de lignes affich dans le rapport pour chaque e mail e Afficher le corps entier de l e mail affiche la totalit du corps du message e Nombre de messages par conversation instantan e d finit le nombre maximum de lignes affich dans le rapport pour chaque conversation instantan e e Afficher tous les messages des conversations instantan es affiche dans le rapport la totalit des messages des conversations instantan es 5 Pour les rapports au format package UFED d finissez les options suivantes e Dossier par d faut saisissez le chemin du doss
217. tilisez une des m thodes suivantes e Dans le menu Fichier s lectionnez Fermer e Cliquez avec le bouton droit de la souris sur le nom du projet et s lectionnez Fermer 3 8 Fermer UFED Physical Analyzer e Dans le menu Fichier s lectionnez Quitter Chapitre 3 Mise en route 73 3 9 Raccourcis clavier Ctr O Ctr W Ctrl P Ctrl Maj O Ctri l Ctrl T Espace Ctrl R Ctrl Tab Ctrl D but Ctrl Fin Ctrl B Ctri J Ctrl U Ctrl D Ouvrir un fichier Fermer un projet Ouvrir les param tres du projet Ouvrir avanc Ouvrir l assistant iOS Ouvrir les param tres Cocher ou d cocher les cases Ouvrir l assistant de cr ation de rapports Passer d un onglet ouvert un autre Placer le curseur au d but d un tableau Placer le curseur la fin d un tableau Ajouter un signet d entit Extraire GPS ou appareil de stockage de masse Ouvrir l application de t l chargement UFED pour se connecter a UFED S lectionner un dossier pour le vidage du systeme de fichiers 74 celebrite delivering mobile expertise Chapitre 4 S orienter dans l espace de travail 75 Chapitre 4 S orienter dans l espace de travail L espace de travail se compose de deux zones principales l arborescence de projet et la zone d affichage des donn es permettant de simplifier votre travail 1 Physical Anatyzer n File View Tools Python Plug ins Report Help ae E 91 BEB 8 Welcome X Extraction Summary X E G Phone
218. tion physique ou Extraction de syst me de fichiers Les tapes suivantes d crivent un processus d extraction physique partir de l tape 8 de la section Effectuer une extraction de donn es mais elles sont les m mes pour l extraction d un syst me de fichiers choose an extraction method Connect gt Prepare gt Extract data The device iPhone4GSM_R2 with iOS 7 0 3 7 0 6 is encrypted and protected with a simple passcode All data can be fully extracted and decrypted in UFED Physical Analyzer The passcode can be recovered automatically if you don t know the passcode M Physical Extraction Extract a physical image of the device s storage memory to your computer ap File System Extraction Extract all files from the device to your computer e Passcode recovery Recover the passcode so you can unlock and use the device Extraction and Encryption FAQ Turn off the device and exit 3 Cliquez sur Extraction physique Chapitre 10 Effectuer des extractions 213 Choisissez la partition que vous souhaitez extraire et l emplacement o vous souhaitez enregistrer l extraction puis cliquez sur Suivant Si vous ne connaissez pas le mot de passe cliquez sur R cup rer le mot de passe pour moi pour r cup rer le mot de passe avant l extraction Si vous connaissez le mot de passe saisissez le dans le champ de texte ci dessous Une coche confirme que le mot de passe saisi est correct Cliquez sur Continuer Le process
219. tionner un fichier image pour ajouter l image du logo l en t te du rapport Les formats compatibles sont BMP JPG GIF et PNG Pied de page du logo saisissez et personnalisez le format du texte qui s affiche dans le pied de page du rapport apr s le logo Afficher les totaux pour les l ments exclus du rapport ajoute une colonne Total au rapport qui affiche le nombre total d l ments exclus du rapport 368 celebrite delivering mobile expertise Afficher le statut complet des l ments supprim s inclut le statut Intact Supprim ou Inconnu des l ments supprim s dans le rapport g n r Lorsque cette option n est pas s lectionn e le statut des l ments supprim s est simplement Oui et reste vide pour les autres statuts Nombre de lignes de l aper u d e mail d finit le nombre maximum de lignes affich dans le rapport pour chaque e mail Le rapport inclut des liens vers les fichiers texte contenant la totalit des e mails Afficher le corps entier de l e mail s lectionnez cette option pour afficher la totalit du corps du message Nombre de messages par conversation instantan e d finit le nombre maximum de lignes affich dans le rapport pour chaque conversation instantan e Afficher tous les messages des conversations instantan es affiche dans le rapport la totalit des messages des conversations instantan es 7 Pour les rapports au format XML d finissez les options suivantes
220. tir duquel les donn es suppl mentaires doivent tre incluses Dans le champ Longueur saisissez la longueur des donn es suppl mentaires ajouter partir du point de d calage d fini Pour Montrer avant la Longueur ne peut pas tre sup rieure au D calage Dans le champ Afficher comme saisissez le type de donn es pour les donn es suppl mentaires afficher Hexad cimales ASCII Unicode ou 7 bits S lectionnez Contient et saisissez une cha ne qui doit tre contenue dans les donn es suppl mentaires du r sultat de recherche S lectionnez Montrer apr s pour afficher les donn es qui se trouvent juste apr s ce que vous recherchez et r p tez les tapes 2 5 Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s partir du d but des r sultats o partir de la fin des r sultats Chapitre 12 Travailler avec les donn es hexad cimales 301 Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche 7 Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine
221. ue Lors de la premi re ex cution d iOS Device Extraction ou lorsqu un nouveau pack correctif est disponible vous tes invit a t l charger le pack correctif de l appareil iOS Le pack correctif contient les fonctions les plus r centes qui permettent a iOS Device Extraction de fonctionner avec de nombreux appareils et versions iOS Selon la qualit de votre connexion Internet le t l chargement peut tre assez long Si votre ordinateur n est pas connect Internet utilisez un ordinateur connect pour t l charger le pack correctif le plus r cent de la fa on suivante a Rendez vous sur la page http www cellebrite com ios b Cliquez sur T l charger et enregistrez et copiez le fichier sur l ordinateur qui utilise iOS Device Extraction c Lorsque vous tes invit installer le pack correctif cliquez sur Installer partir du fichier puis acc dez l emplacement du fichier du pack correctif et cliquez sur OK 3 Suivez les instructions qui s affichent pour teindre l appareil iOS puis cliquez sur L appareil est teint Chapitre 10 Effectuer des extractions Fist tum the device off Connect gt Prepare gt Extract data Press and hold the Power Slide to power off button Back to start 203 Connect Adapter A with T 110 or Cable 110 to the computer and not to the device The device is off gt 4 Suivez les instructions qui s affichent pour activer l appareil iOS puis cliquez
222. upprimer le fichier definitions msd de cet ordinateur Chapitre 8 Rechercher les malware 183 9 Dans UFED Physical Analyzer s lectionnez Outils gt Scanner anti malware gt Mettre a jour la base de donn es de signature Update Malware Signature Database You must install the signature database before using the malware scanning for the first time Click Update from server to update it from the network Click Update from file if you already downloaded the database Idle 0 Update from server Update from file Close 10 Cliquez sur Mettre jour depuis le fichier celebrite 184 delivering mobile expertise aes 132 433 File s E P 0O00 ir Bi Organize amo VIEWS r i Bao Pa Date modified Type ka iPhone 4 GSM 4 3 2 4 3 3 File System Favorite Links E Documents Tye l Recent Places M Desktop More Folders Desktop Papus Public jE Computer ZI ACER C ca DATA D 2 File name ui UFED dump utd 11 Acc dez au fichier de base de donn es de d finitions des malware msd puis cliquez sur Ouvrir 12 Cliquez sur D marrer Chapitre 8 Rechercher les malware 185 La base de donn es est remplie EA Update Malware Signature Database Update finished 13 Cliquez sur Fermer Vous pouvez maintenant scanner le projet pour rechercher des malware celebrite 186 delivering mobile expertise
223. ur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes e N num ro de l instance e D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales e Longueur longueur de la cha ne en octets Chapitre 12 Travailler avec les donn es hexad cimales 273 Valeur la cha ne elle m me Source Plus Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat e Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 9 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 10 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 11 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel 8 HTML PDF 8 ou XML 24
224. ur lancer l extraction d appareil iOS Chapitre 10 Effectuer des extractions 217 2 Cliquez sur Extraction num rique avanc e iOS Device Data Extraction Wizard Choose an extraction type Advanced Logical extraction Physical mode 3 Suivez les instructions qui s affichent pour allumer l appareil iOS et le connecter a votre ordinateur puis cliquez sur Suivant 218 celebrite delivering mobile expertise E iOS Advanced Logic Connect the device Connect gt Prepare gt Extract data Make sure the device is on Connect the device to your computer Back to start REMARQUE Si l appareil connect n est pas reconnu d connectez le puis reconnectez le un port USB l arri re de l ordinateur Si l appareil iOS est verrouill l cran Appareil verrouill s affiche Si le fichier plist pour l appareil verrouill est disponible sur le PC du propri taire de l appareil alors ce fichier plist peut tre charg sur l cran Appareil verrouill Cliquez ensuite sur R essayer Si l appareil est verrouill et qu aucun fichier plist n est disponible cliquez sur Fermer Chapitre 10 Effectuer des extractions 219 REMARQUE Pour utiliser le fichier plist vous devez ex cuter l application UFED en tant qu administrateur e The iOS device is locked Connect gt Prepare gt Extract data The iOS device is locked To extract from this device you must either unlock the device or load th
225. us d extraction commence 10 1 2 2 2 Extraction de donn es d un appareil avec mot de passe complexe 1 Suivez les tapes 1 a 7 de la section Effectuer une extraction physique d appareils iOS non crypt s page 201 Lorsque l appareil est pr t pour l extraction tape 8 une option R cup ration du mot de passe suppl mentaire est ajout e aux deux options d extraction Extraction physique et Extraction de syst me de fichiers Utilisez l option Tester des mots de passe pour tester et v rifier autant de mots de passe que vous le souhaitez en temps r el Il est impossible pour iOS Device Extraction de r cup rer un mot de passe complexe celebrite 214 delivering mobile expertise UFED Physical Analyzer d crypte la plupart des donn es Cependant certains mots de passe et fichiers d e mails enregistr s ne peuvent pas tre d crypt s sans conna tre le mot de passe complexe Les tapes suivantes d crivent une extraction physique partir de l tape 8 de la section Effectuer une extraction de donn es mais elles sont les m mes pour l extraction d un syst me de fichiers 2 Cliquez sur Extraction physique 3 Choisissez la partition que vous souhaitez extraire et l emplacement o vous souhaitez enregistrer l extraction puis cliquez sur Suivant Chapitre 10 Effectuer des extractions 215 The passcode is required for the decryption Connect gt Prepare gt Extract data Use this option if you don t kno
226. vailler avec TomTom page 235 Acc de la fen tre Param tres de l application Consultez la section Param tres page 343 D finissez un fuseau horaire unifi et des informations de dossier pour chaque projet Consultez la section D finir les parametres du projet page 372 384 celebrite delivering mobile expertise 16 4 Menu Extraction Extraction d appareil iOS Extraire GPS Appareil de stockage de masse 16 5 Menu Python Shell Python Ex cuter le script Ex cuter le script d bogage activ Lance l extraction d appareil iOS pour effectuer des extractions d appareils iOS Consultez la section Extraction d appareils iOS page 199 Lit et enregistre les donn es d appareils GPS et de stockage de masse connect s au poste de travail par un c ble USB Consultez la section Lire des donn es depuis un appareil GPS ou de stockage de masse page 230 Ouvre la fen tre Shell Python qui permet d effectuer une analyse personnalis e en utilisant les commandes Python Consultez la section Utiliser le shell Python page 339 Pour en savoir plus sur l utilisation des commandes du shell Python pour l analyse personnalis e consultez le Guide d criture de script Python disponible dans le menu Aide Ex cute un script Python pr crit fichier py Vous permet d ex cuter un script Python pr crit fichier py en mode d bogage Chapitre 16 R f rences 16 6 Menu Plug ins Ajouter Suppr
227. vantes e Saisissez le chemin de l emplacement ou vous souhaitez sauvegarder le rapport e Cliquez sur ts et s lectionnez l emplacement souhait 3 Cochez la case Inclure les traductions pour inclure les donn es traduites 4 Cliquez sur OK celebrite 100 delivering mobile expertise Le rapport est cr et un message s affiche vous demandant si vous souhaitez l ouvrir avec un logiciel tiers 5 Cliquez sur Oui ou Non Le fichier s ouvre avec le logiciel tiers par d faut REMARQUE Lorsque vous exportez un rapport au format EML un fichier est cr pour chaque e mail 4 2 3 2 Vue texte Pour les fichiers de donn es compos s de texte affichez les donn es dans un fichier texte _ Text View C Hex View C Fielfo 2 id TaskID 157293 Project Bee SKU UTSTARCOM WWE Generic 557 ROM Ver 1 07 557 5 Customization Id 82287 RCMS Id 124 Chapitre 4 S orienter dans l espace de travail 101 4 2 3 3 Vue tableau pour les fichiers de donn es Pour les fichiers de donn es le tableau affiche les informations suivantes Indique si l l ment doit tre inclut coch ou exclu d coch dans le rapport g n r N Num ro de ligne fr Indique si l l ment est marqu par un signet FJ Indique si le fichier de donn es a t supprim ou si son tat est inconnu ou ic ne de document blanche Image Une miniature de l image ou une ic ne du type de fichier F
228. vec l architecture de plug ins Les options de recherche peuvent tre am lior es et d velopp es en ajoutant de nouveaux plug ins de recherche Pour en savoir plus sur les recherches cibl es consultez les sections suivantes Rechercher des cha nes page 252 Rechercher des octets page 257 Rechercher des dates page 262 Rechercher des num ros SIM ICCID page 268 Rechercher des num ros SMS page 273 celebrite 252 delivering mobile expertise e Rechercher des expressions r guli res GREP page 279 e Rechercher des cha nes de texte de SMS page 285 e Rechercher des sch mas page 291 e Rechercher des codes et des mots de passe page 297 12 1 1 Rechercher des chaines Recherchez des chaines pour localiser diff rents types de donn es dans les donn es hexad cimales par exemple messages textuels num ros de t l phone noms et toutes autres donn es de cha ne 1 Lorsque les donn es hexad cimales sont affich es cliquez sur E pour ouvrir la fen tre Rechercher 2 Dans l onglet Rechercher s lectionnez Cha nes dans la liste de types de donn es Chapitre 12 Travailler avec les donn es hexad cimales 253 Search parameters E String parameters ASCII Tem Case sensitive E String parameters Tem Case sensitive 3 S lectionnez le type d encodage du texte rechercher pour la cha ne donn e e ASCII e UNICODE principalement pour les caracteres no
229. vering mobile expertise 2 1 3 3 Utilisation de l application avec une cl logicielle Vous devez activer la licence lors du premier d marrage de l application Pour utiliser UFED Physical Analyzer avec une licence logicielle 1 Cliquez sur le lien suivant https my cellebrite com physicalanalyzer 2 Connectez vous votre compte MyCellebrite Si vous ne poss dez pas de compte cliquez sur Inscrivez vous maintenant cr ez un utilisateur puis retournez au lien vers l application UFED souhait e Vous tes alors dirig sur la fen tre d activation du produit 3 Cliquez sur T l charger l application et enregistrez le fichier sur le PC 4 Extrayez le fichier Zip cliquez sur le fichier d installation et installez le logiciel l aide de l assistant d installation Red marrez l ordinateur si cela vous est demand 5 R p tez l tape 1 pour acc der au lien vers l application Chapitre 2 Installation et activation 31 6 Dans la fen tre M thode d activation si vous avez achet UFED 4PC s lectionnez Code d activation ou si vous avez achet UFED Touch s lectionnez UFED Touch UFED Classic Activation Method Activation Code v Activation Method UFED Touch UFED Classic v 7 Selon le produit que vous avez achet continuez de la fa on suivante e UFED 4PC Dans le champ Code d activation entrez le code d activation fourni avec le kit UFED 4PC Code d activation Activation Code e UFED Touch Dan
230. vous souhaitez associer la cha ne Chapitre 14 D codage avanc 327 5 Cliquez sur S lectionner 6 R p tez les tapes 3 5 pour ajouter des appareils suppl mentaires 7 Lorsque vous avez termin d associer des appareils cliquez sur Enregistrer 14 1 3 2 D finir la cha ne d appareils par d faut 1 Dans la fen tre Gestionnaire de cha nes utilisez la liste des appareils pour localiser l appareil que vous souhaitez modifier 2 Double cliquez sur l appareil pour afficher sa fen tre Cha nes celebrite 328 delivering mobile expertise Apple Apple iPhone iPhone iPhoneCallLog GP iPhone databases QuicktimeMetadate iPhone device info 3 Si la liste de cha nes de l appareil contient plusieurs cha nes cliquez sur pour la d finir comme cha ne par d faut de l appareil 4 Cliquez sur Fermer pour fermer la fen tre Cha nes de l appareil Chapitre 14 D codage avanc 329 14 1 3 3 Dissocier des appareils d une cha ne 1 Double cliquez sur la cha ne de laquelle vous souhaitez dissocier un appareil 2 Cliquez sur Modifier les appareils dans l angle sup rieur droit de la fen tre de la cha ne ka Devices For Chain Devices For Chain Attach Device Cancel celebrite delivering mobile expertise 330 3 Cliquez sur le x droite de chaque appareil que vous souhaitez dissocier de la cha ne 4 Cliquez sur Fermer 5 Cliquez sur Annuler pour fermer la fen tre C
231. w the passcode Recover the passcode for me gt If you know the passcode enter it here to save time The passcode consist of four digits from 0 to 9 4 Utilisez une des m thodes suivantes e Si vous connaissez le mot de passe complexe saisissez le manuellement Si vous ne connaissez pas le code passe complexe sachez que certaines donn es ne seront pas d crypt es par UFED Physical Analyzer e Utilisez le champ de texte pour tester autant de mots de passe que vous le souhaitez sans bloquer l appareil Une coche appara t lorsque le mot de passe saisi est correct celebrite 21 6 delivering mobile expertise 5 Utilisez une des m thodes suivantes e Pour commencer l extraction avec le mot de passe complexe cliquez sur Continuer gt e Pour commencer l extraction sans le mot de passe complexe cliquez sur Continuer sans mot de passe Le processus d extraction commence 10 1 3 Effectuer une extraction num rique avanc e Effectuez une extraction num rique avanc e depuis UFED Physical Analyzer pour extraire davantage d informations qu avec l extraction num rique l aide de l unit UFED Vous pouvez effectuer une extraction num rique avanc e depuis les appareils suivants e iPhone 2G 3G 3GS 4 4s 5 5s 5 e iPad 1 2 3 4 mini e iPod Touch 1G 2G 3G 4G e iPod Nano 5G 10 1 3 1 Effectuer une extraction num rique avanc e 1 S lectionnez Extraire gt Extraction d appareils iOS ou cliquez sur E po
232. xad cimales 267 Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat Donn es suppl mentaires apr s si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste apr s le r sultat 8 Pour afficher une instance d un r sultat dans l onglet Vue hexad cimale cliquez sur la ligne souhait e dans l onglet R sultats de recherche 9 Pour rechercher des donn es sp cifiques et filtrer les r sultats de recherche utilisez le champ Rechercher dans l onglet R sultats de recherche 10 Pour exporter la liste des r sultats de recherche cliquez sur le format souhait dans la barre d outils de l onglet Recherche Excel HTML 2 PDF 16 ou XML 5 celebrite 268 delivering mobile expertise 12 1 4 Rechercher des num ros SIM ICCID Cette m t
233. y Mega 6 3 e S lectionnez l extraction requise et cliquez sur Associer Chapitre 14 D codage avanc 317 Chapitre 14 D codage avanc 14 1 G rer les cha nes Une cha ne est un ensemble de plug ins regroup s et utilis s pour traiter les donn es extraites d un appareil Chaque appareil de la liste des appareils pris en charge par l application dispose d une cha ne d analyse pr d finie Une cha ne peut aussi tre compos e d autres cha nes pr d finies inclues dans ses blocs de construction Utilisez le gestionnaire de cha nes pour e G rer et modifier des cha nes existantes e Cr er des cha nes e Affecter des cha nes des appareils Pour g rer les cha nes d application 1 Utilisez une des m thodes suivantes e Dans le menu Plug ins s lectionnez Gestionnaire de cha nes e Cliquez sur a celebrite 31 8 delivering mobile expertise L cran Gestionnaire de cha nes s affiche u Chain Manager Chain Manager Chains Devices Chapitre 14 D codage avanc 319 La liste de Cha nes sur la gauche vous permet de filtrer la liste de cha nes affich e Cliquez sur Mes cha nes pour afficher vos cha nes personnalis es Cliquez sur Toutes les cha nes pour afficher une liste de toutes les cha nes pr d finies Utilisez le Filtre rapide en haut gauche de la fen tre pour filtrer la liste de cha nes affich e Pour afficher les cha nes affect es a un a
234. ypt s page 210 celebrite 21 0 delivering mobile expertise 11 Attendez la fin du processus d extraction Sa dur e varie en fonction de la m thode d extraction du mod le de l appareil de la quantit de donn es sur l appareil de l ordinateur qui effectue l extraction et d autres param tres Les options suivantes sont propos es la fin du processus d extraction e Ouvrir dans UFED Physical Analyzer charge le fichier d extraction dans UFED Physical Analyzer e Ouvrir l emplacement du fichier ouvre le dossier qui contient les fichiers d extraction e Eteindre l appareil et quitter teint l appareil et le remet en mode normal e Retour aux options d extraction revient l cran des m thodes d extraction tape 8 12 Eteint l appareil et le remet en mode normal 10 1 2 2 Effectuer une extraction physique d appareils crypt s IOS Device Extraction peut extraire les donn es d appareils crypt s La quantit de donn es pouvant tre extraites d pend du type de mot de passe prot geant l appareil ll existe deux types de mots de passe e Mot de passe simple 4 chiffres entre 0 et 9 par ex 1234 8787 2580 etc e Mot de passe complexe n importe quelle combinaison de chiffres lettres et symboles par ex 93qP Mv iLoVeYoU etc Chapitre 10 Effectuer des extractions 211 Le processus de d cryptage a lieu dans UFED Physical Analyzer et non pas pendant l extraction physique d appareil i
235. z et r p tez les tapes 2 5 Chapitre 12 Travailler avec les donn es hexad cimales 261 g Pour l option Montrer apr s choisissez si le d calage et la longueur des donn es suppl mentaires sont calcul s A partir du d but des r sultats ou partir de la fin des r sultats Les donn es suppl mentaires sont consign es dans les champs Donn es suppl mentaires avant et Donn es suppl mentaires apr s des r sultats de recherche Cliquez sur Rechercher Si vous avez s lectionn Rechercher toutes les instances dans la zone Options les r sultats s affichent dans l onglet R sultats de recherche dans l onglet Informations sur l analyse dans l onglet Vue hexad cimale Si vous n avez pas s lectionn Rechercher toutes les instances dans la zone Options la prochaine instance trouv e est mise en vidence dans l onglet Vue hexad cimale L onglet R sultats de recherche inclut les informations suivantes N num ro de l instance D calage d calage d adresse du fichier de donn es dans les donn es hexad cimales Longueur longueur de la cha ne en octets Valeur la cha ne elle m me Source Plus celebrite 262 delivering mobile expertise e Donn es suppl mentaires avant si vous s lectionnez l option Donn es suppl mentaires dans la fen tre Rechercher les r sultats affichent les donn es situ es juste avant le r sultat e Donn es suppl mentaires apr s si vous s
236. z le et cliquez sur Extraire le plug in 5 Pour supprimer un plug in install s lectionnez le et cliquez sur D sinstaller REMARQUE Vous ne pouvez pas extraire ou d sinstaller un plug in int gr de l application Chapitre 14 D codage avanc 337 6 Pour afficher le statut d un plug in double cliquez sur celui ci La bo te de dialogue Statut du plug in affiche son statut qui peut tre Sign ou Non sign Un plug in sign est un plug in qui a t approuv et sign par Cellebrite 14 2 2 Ex cuter un plug in sp cifique 1 Ex cutez un plug in individuel sur votre projet 2 Dans le menu Plug ins s lectionnez Ex cuter un plug in 338 El Run Plug in Select a plugin to run from the list below Sb Android Databases T AndroidMD T Android UnlockPassword T Android UnlockPattem T AndroidUnlockPattem Carver ST ApplePartitionMap T BlackBemy EventLog T Blackberry Filesystem Tb Blackbemy FTL T BlackBemy IPO MMS Cr G 3 S lectionnez le plug in souhait dans la liste puis cliquez sur Ex cuter T Blackbemy Whatsapp T BlackBerylPD Jr BlackBerylPD Bookmarks T BlackBemylPDCalendar Lr cellebrite delivering mobile expertise Chapitre 14 D codage avanc 339 14 3 Utiliser le shell Python Le shell Python int gr vous permet d ex cuter un d codage et une analyse personnalis s en utilisant les commandes Python Pour ouvrir la fen tre Shell Python proc dez de

UFED Physical Analyzer

Contents

Download Pdf Manuals

Related Search

Related Contents