App Genie - A Smart Heuristic Engine to Surface Critical Application Data

App Genie – 주요 앱 데이터를 보여주는 스마트 도구

2020 년 3 월 12 일    | 작성자 : Or Begam-디코딩 연구 팀장

번역 : CK 블로거

Statista 에 따르면 2019 년 4 분기 현재 Android 사용자는 257 만 개의 앱을 다운로드 할 수 있으며 Apple 사용자는 iOS *에 184 만 개의 앱을 사용할 수 있습니다. 그리고 숫자는 증가하고 있습니다. 사용 가능한 앱 및 모바일 앱 다운로드 수를 고려할 때 디지털 포렌식 도구 ( UFED Physical Analyzer 포함 )가 모든 앱을 지원 하는 것은 사실상 불가능합니다 .

지원되지 않는 응용 프로그램을 다루는 방법

조사에서 지원되지 않는 응용 프로그램에 직면 한 경우, 디지털 포렌식 검사관은 의미 있는 증거를 추출하여보고 할 수 있는 몇 가지 옵션이 있지만 그 중 어느 것도 완벽하지는 않습니다.시간과 자원을 가진 시험관은 항상 자체 연구를 수행 한 다음 데이터를 해독하기 위해 물리 분석기 (PA)에서 실행할 수 있는 파이썬 스크립트 를 작성할 수 있습니다. 이것은 가장 포괄적 인 방법이지만 비용이 많이 듭니다.또 다른 옵션은 Virtual Analyzer 와 같은 솔루션을 사용하는 것입니다.이 솔루션은 시험관이 전혀 노력하지 않고도 애플리케이션 데이터에 시각적으로 매력적인 액세스를 제공 할 수 있습니다. 그러나 이 솔루션의 단점은 보고 옵션이 화면 캡처 또는 녹화로 제한된다는 것입니다.

App Genie는 자동 디코딩을 제공합니다

Parser를 연구하고 개발하는 데 귀중한 시간을 투자 하지 않고도 조사자에게 데이터에 대한 강력한 액세스, 강력한 보기, 검색 및 보고 기능을 제공하기 위해 App Genie 를 구축했습니다 .

Genie는 모든 응용 프로그램에서 데이터를 검색하고 강력한 휴리스틱 엔진을 사용하여 채팅, 대화 상대 목록, 사용자 계정, 위치 및 클라우드 토큰과 같은 아티팩트를 추출 할 수 있는 자동 디코딩 솔루션입니다.Genie는 플랫폼에 구애 받지 않으므로 Android 및 iOS 추출 모두에서 실행할 수 있으며 UFED Physical Analyzer의 새로운 "App Insights"보기에 통합되어 조사와 가장 관련이 있는 애플리케이션에 분석에 집중할 수 있습니다. App Insights보기에 표시된 범주는 조사관이 추출에서 추출 된 응용 프로그램과 App Genie 실행의 이점이 있는 응용 프로그램을 이해하는 데 도움이 됩니다. App Genie는 메신저나 소셜 미디어와 같은 통신 응용 프로그램을 조사하는 데 이상적입니다.이 응용 프로그램은 디코딩 할 수 있는 아티팩트 유형을 포함 할 가능성이 가장 높기 때문입니다.App Insights보기 외에도 도구 메뉴를 사용하거나 "설치된 응용 프로그램"테이블 보기에서 응용 프로그램을 마우스 오른쪽 버튼으로 클릭하여 Genie를 실행할 수 있습니다.

실시간으로 아티팩트 생성

Genie에 대해 이해해야 할 핵심 사항은 디코딩 된 아티팩트가 실시간으로 생성되며 애플리케이션에 대한 Cellebrite의 사전 지식에 의존하지 않는다는 것입니다. 전체 프로세스는 자동으로 이루어지며 결과는 App Genie가 애플리케이션 데이터에서 찾은 내용을 기반으로 합니다. 이는 연구원들이 간과 한 증거를 찾을 수 있음을 의미 합니다. 휴리스틱 솔루션과 마찬가지로 App Genie는 오 탐지에 대한 증거가 아닙니다. 즉, 자동 도구로 생성 된 아티팩트와 마찬가지로 App Genie의 결과를 맹목적으로 신뢰해서는 안됩니다.

이것이 우리가 UFED Physical Analyzer에서 프로그램의 UI와 Cellebrite가 작성한 파서가 해독 한 아티팩트 사이의 보고서를 생성하여 광범위한 연구 개발의 결과와 App Genie의 결과 인 실시간으로 생성되었습니다.App Genie 결과의 검증을 돕기 위해 Genie가 디코딩 한 아티팩트에는 소스 파일 정보 링크가 수반됩니다 . 이는 App Genie가 디코딩 한 모든 데이터를 원래 바이트로 추적 할 수 있음을 의미합니다.

이를 통해 App Genie는 모바일 애플리케이션의 수동 검사를 먼저 시작하려는 연구원에게 강력한 도구입니다.새로운 응용 프로그램 또는 새로운 버전의 응용 프로그램에 대한 연구를 시작할 때, 검사관은 먼저 App Genie를 사용하여 법 의학적 가치를 갖는 것 뿐만 아니라 응용 프로그램 데이터의 특정 영역에 대한 연구에 집중할 수 있는 인공물을 신속하게 노출 시킬 수 있습니다. Genie는 이미 관심 있는 항목을 포함하는 것으로 나타났습니다.