파이널 모바일
소개[편집]
FinalMobile은 모바일 포렌식 분야의 수사에서 수사관이 필요로 하는 중요한 도구이다. 로우 데이터의 수집 및 분석 기능을 제공하며, 논리적인 파일 수집 및 삭제된 컨텐츠도 확인할 수 있다.
사용법[편집]
파이널 모바일을 사용하기 전 디바이스를 직접 분석하기 위해 해당 디바이스의 드라이버를 설치해야 한다. 또한 USB동글을 연결한 상태에서 프로그램을 실행시켜야 한다. 파이널 모바일 실행화면은 아래와 같다. 파이널 모바일을 직접 디바이스로부터 이미징을 하거나 이미지 파일, 기존 작업파일(FMC)을 입력받아 데이터 분석을 한다.
Acquire new evidence를 선택하면 디바이스로부터 이미징 작업을 추가 설정화면이 출력된다. 수집과정은 아래 표와 같다.
| 해당 디바이스에 적합한 플러그인 설정을 한다. 도움말의 부록 부분에 플러그인에 대한 정보를 확인할 수 있다. | |
| 모델명과 이미지를 저장할 폴더를 지정한다. | |
| 자동으로 스마트폰의 연결상태와 모델명을 확인한다. | |
| 플래시 메모리 블록 크기와 덤프의 범위를 지정한다. | |
| 데이터 수집을 진행한다. | |
| 수집된 정보를 요약해서 보여준다. | |
| 분석이 완료되면 작업 로그를 보여준다. |
파이널모바일의 분석결과 화면은 다음과 같다. 각 수집한 결과에 해당하는 탭을 선택하거나 result pane에서 해당 항목을 선택하면 분석결과를 확인할 수 있다.
예를 들어 MMS를 선택했을 경우 와 같이 분석결과를 리스트화 하여 사용자에게 보여준다.
각 항목을 preview화면으로 드래그 할 경우 보기 쉽게 단일 내용을 확인할 수 있다.
선택한 항목을 마우스 오른쪽 클릭을 할 경우 추가적인 기능을 제공한다. 메뉴의 “Export to”를 선택할 경우 파일을 추출할 수 있다. “Scan Picture“ 기능을 선택하면 사진을 메모리에 복사한다. “Batch Parsing“을 선택하면 이 프로그램이 파싱할 수 없는 파일을 다른 프로그램을 사용해 파일을 파싱할 수 있다.
분석결과 화면 창에서 검색 기능을 제공한다. 사용법은 다음 아래 표와 같다.
| 분석결과 창 하단의 Hex Viewer pane에서 검색파일을 선택하고 검색버튼을 선택한다. | |
| 검색옵션을 이용해 검색 범위와 데이터형태를 결정한다. | |
| 검색어를 입력한다. | |
| 검색 결과를 확인한다. |
파이널 모바일 설치 폴더에 FinalParser라는 프로그램이 있다. 이 프로그램을 사용하면 raw 이미지에서 원하는 파일을 카빙할 수 있다, 사용방법은 아래 표와 같다.
| 프로그램을 실행한다. | |
| 화면 우측의 Variables창에서 패턴을 지정한다. | |
| 코드를 생성한다. | |
| 파싱버튼을 클릭한다. | |
| 결과를 확인한다. |
도구 기능[편집]
파이널 모바일 프로그램은 검색기능과 외부 프로그램 사용 기능, 파일 카빙 기능을 제공한다. 검색 기능을 사용해 검색할 포맷형태를 지정해 정확한 데이터 검색을 할 수 있다. 이 프로그램에서 지원하지 않는 파일 파싱을 원할 경우 외부 프로그램을 이용해 배치파일 형태로 작성할 경우 이 프로그램에서 바로 사용할 수 있다. 마지막으로 파일 카빙 기능을 이용해 데이터 포맷형태를 지정하여 원하는 파일을 카빙할 수 있다.
제한 사항[편집]
파이널 모바일은 많은 사람들이 사용하는 어플리케이션 분석을 지원하고 삭제된 내용을 복구하는 기능을 제공하지만 테스트 결과 대부분의 어플리케이션 삭제된 기록을 복구하지 못하였다. 또한 복구된 데이터의 경우 오탐이 다수 존재했다. 어플리케이션을 테스트한 결과 각 분석 결과에 대한 제한사항은 아래 표에서 확인할 수 있다.
| 어플리케이션 | 안드로이드 | 아이폰 |
|---|---|---|
| 문자Active | 미리보기를 사용할 경우 문자 깨짐 | 제공안함 |
| 메일 | 시간정보를 알 수 없음 | |
| 사진 | jpg, png, gif, bmp파일이 모두 하나의 창에 출력되어 가독성이 떨어짐 | |
| 동영상 | 문서파일과 함께 출력되어 가독성이 떨어짐 | |
| 인터넷 아티팩트 | url이 디코딩되어 있지 않음 | |
| chrome | 북마크만 출력 | |
| youtube | 일부분만 출력 | 제공안함 |
| 카카오톡 | 자바32비트를 필수로 설치해야한다. | |
| line | 메시지 사진 확인 불편 | |
| ndrive | 폴라리스 오피스로 열 경우 기록에 남지 않음 | |
| 네이버지도 | 다음지도에서 검색한 기록도 함께 출력 | |
| 멀티미디어 송수신 경로, 이름이 깨져서 출력 | ||
| 이름 깨짐 |
수사 활용 방안[편집]
파이널 모바일은 모바일 포렌식 분야의 수사에서 수사관이 필요로 하는 많은 기능을 제공한다. 현재 존재하는 스마트폰의 대부분의 로우 데이터 수집 기능과 대중화 된 어플리케이션의 사용 기록을 분석해 사용자에게 보기 쉽게 출력해주는 기능을 제공한다. 하지만 삭제된 기록 복구 시 오탐과 미탐이 굉장히 많았고 아이폰 분석의 경우 지원되지 않는 어플리케이션이 많았다. 하지만 파이널 모바일은 다양한 기종의 스마트폰과 대중화된 어플리케이션 분석을 지원하기 때문에 짧은 시간 동안 모바일 포렌식 수사 시 매우 유용하게 사용할 수 있다.
