KRYMINALISTYKA MOBILNA

Odzyskiwanie usuniętych danych w systemie Android

Odzyskiwanie usuniętych danych należy do najczęstszych zagadnień w kryminalistyce systemów Android. To, czy uda się odtworzyć pliki, wiadomości lub wpisy w bazach danych, zależy od technologii przechowywania danych, szyfrowania oraz działań podjętych po usunięciu.

Szyfrowanie oparte na plikach (FBE)
Usunięte rekordy danych SQLite
Wolna przestrzeń pamięci
TRIM
Odbieranie śmieci
Dzienniki i pliki WAL
Ekstrakcje logiczne, dotyczące systemu plików i fizyczne
Różnice zależne od producenta

INFORMACJE TECHNICZNE

Podstawy techniczne

Usunięcie pliku niekoniecznie oznacza, że jego zawartość zostanie natychmiast nadpisana. Nowoczesne urządzenia z systemem Android wykorzystują jednak różne mechanizmy bezpieczeństwa i przechowywania danych, które mają wpływ na możliwość odzyskania pliku.

Aspekty istotne z punktu widzenia medycyny sądowej:

  • •Szyfrowanie oparte na plikach (FBE)
  • •Usunięte rekordy danych SQLite
  • •Wolna przestrzeń pamięci
  • •TRIM
  • •Odbieranie śmieci
  • •Dzienniki i pliki WAL
  • •Ekstrakcje logiczne, dotyczące systemu plików i fizyczne
  • •Różnice zależne od producenta

Szanse na sukces różnią się znacznie w zależności od urządzenia i wersji systemu Android.

NASZE PODEJŚCIE

Jak przebiega badanie

Przejrzysty proces – od pierwszego zapytania aż po przekazanie ekspertyzy.

1
Po wykonaniu kryminalistycznej kopii zapasowej danych badane są wszystkie dostępne artefakty. Oprócz istniejących plików analizowane są również bazy danych SQLite, pliki dziennika i pliki WAL, a także inne techniczne źródła danych. Wyniki są oceniane wyłącznie na podstawie obiektywnych ustaleń technicznych i są w pełni dokumentowane.
2
LanCologne sporządza ekspertyzy prywatne, a także ekspertyzy dla przedsiębiorstw i adwokatów. Nasze ekspertyzy były już wykorzystywane w postępowaniach sądowych. W niektórych sprawach otrzymaliśmy bezpośrednie zlecenie sporządzenia ekspertyz informatyczno-kryminalistycznych. Na życzenie możemy przedstawić anonimowe lub zredagowane ekspertyzy referencyjne lub ich fragmenty.

TYPOWE PYTANIA

Kiedy ta analiza jest potrzebna?

  • ✔Czy można odtworzyć usunięte zdjęcia lub dokumenty?
  • ✔Czy usunięte wiadomości z Messengera są nadal dostępne?
  • ✔Jaką rolę odgrywa FBE?
  • ✔W jaki sposób funkcje TRIM i Garbage Collection wpływają na proces odzyskiwania danych?
  • ✔Jaką wartość informacyjną mają dane zrekonstruowane?

OGRANICZENIA I WNIOSKI

Co warto wiedzieć

Odzyskanie danych nie zawsze jest technicznie możliwe. Szyfrowanie, nadpisanie wolnych obszarów pamięci, procesy TRIM lub brakujące artefakty mogą spowodować trwałą utratę danych. Same w sobie brakujące dane nie stanowią dowodu na popełnienie określonego czynu.

Odtworzenie usuniętych danych wymaga dokładnej analizy technicznej. To, czy odzyskanie danych się powiedzie, zależy od konkretnych warunków panujących w danym urządzeniu oraz od dostępnych danych.

OPINIE KLIENTÓW

Co mówią nasi klienci

4,8 z 5 gwiazdek na Trustpilot · 54 recenzje

★★★★★

“Najwyższy poziom profesjonalizmu, szybka realizacja i doskonała komunikacja. To, co wydawało się niemożliwe, stało się możliwe. Tak właśnie wyobraża się sobie prawdziwą obsługę klienta – to ewenement w Niemczech!”

idalein

Zweryfikowana recenzja na Trustpilot

★★★★★

“Bardzo miła obsługa, świetna dostępność i komunikacja. Mój problem został całkowicie rozwiązany, udało się odzyskać utracone dane. Jestem bardzo zadowolony i oczywiście odczuwam ulgę!”

Layla Pankratz

Zweryfikowana recenzja na Trustpilot

★★★★★

“Mój problem został rozwiązany profesjonalnie i szybko, pracownicy zawsze byli przyjaźni, a nawet dzisiaj mogę się do nich zwrócić, jeśli mam jakieś pytania – jestem za to bardzo wdzięczny!”

mieszkanka Kolonii

Zweryfikowana recenzja na Trustpilot

Zapytaj już teraz – bezpłatna wstępna konsultacja

Chcieliby Państwo sprawdzić, czy usunięte dane na urządzeniu z systemem Android można jeszcze odtworzyć? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnej analizy informatyczno-kryminalistycznej oraz przejrzystej dokumentacji ekspertyzowej.

TEMATY POWIĄZANE

To też może Cię zainteresować

CZĘSTO ZADAWANE PYTANIA

Najczęściej zadawane pytania

Kliknij na pytanie, aby zobaczyć odpowiedź.

Czy usunięte pliki zawsze można odzyskać?
Nie. To zależy od technologii zapisu i stanu urządzenia.
Jaką rolę odgrywa funkcja TRIM?
Funkcja TRIM może przygotować skasowane obszary pamięci do późniejszego ponownego wykorzystania, utrudniając w ten sposób odzyskanie danych.
Czy usunięte wpisy SQLite mają znaczenie?
Tak. W zależności od stanu bazy danych mogą one nadawać się do analizy kryminalistycznej.
Czy szyfrowanie ma wpływ na proces odzyskiwania danych?
Tak. Nowoczesne metody szyfrowania mogą znacznie utrudnić odtworzenie danych.
Czy można sporządzić ekspertyzę w tej sprawie?
Tak. Wyniki są dokumentowane w sposób umożliwiający ich weryfikację i poddawane ocenie technicznej.