Что такое мобильная криминалистическая экспертиза?
Мобильная криминалистика, это подраздел цифровой форензики, занимающееся:
- извлечением данных со смартфонов и планшетов;
- анализом удалённых или зашифрованных файлов;
- восстановлением повреждённых или стёртых данных;
- подготовкой цифровых доказательств для суда.
Процесс делится на семь стадий, установленных международными стандартами:
- Представление объекта на экспертизу, оформление заявки и описание обстоятельств.
- Идентификация типа устройства и ОС — важно понять, какие методы применимы.
- Сохранение (имагинг) — побитовое копирование флеш-памяти.
- Извлечение данных — логический, физический или облачный анализ.
- Анализ и интерпретация, поиск следов преступления.
- Документирование и отчётность — оформление результатов.
- Предоставление в суд — передача материалов следователю.
Как извлекают данные с Android без root-доступа
Логический анализ (ADB backup, agent-based)
Используется Android Debug Bridge (ADB) или специальные агенты, которые устанавливаються на устройство. Это позволяет получить доступ к:
- контактам и журналу звонков;
- SMS, MMS, WhatsApp, Telegram;
- браузерной истории и закладкам;
- фото и видео из галереи.
Физический анализ (chip-off, ISP, JTAG)
Если устройство заблокировано или зашифровано, применяют:
- ISP (In-System Programming), чтение eMMC напрямую;
- JTAG — доступ к процессору через отладочные порты;
- Chip-off — полное извлечение микросхемы.
Облачный анализ
Даже если телефон уничтожен, данные могут храниться в:
- Google Drive & Photos;
- Samsung Cloud;
- Xiaomi Cloud;
- WhatsApp / Telegram Backup.
Топ-15 инструментов для мобильной криминалистики в 2026 году
Ниже приведены как платные, так и бесплатные решения, проверенные на практике.
| Название | Тип | ОС | Особенности | |
|---|---|---|---|---|
| Cellebrite UFED 4PC | Платный | Win | Физический + логический, поддержка 30 000+ моделей | |
| Oxygen Forensic Detective | Платный | Win | Облачный анализ, дешифрация WhatsApp | |
| Magnet AXIOM | Платный | Win/macOS | Анализ приложений и сетей | |
| Elcomsoft Mobile Forensic Bundle | Платный | Win | Дешифрация iOS & Android, облако | |
| MVT (Mobile Verification Toolkit) | Бесплатно | Linux/macOS | Открытый код, создан Amnesty Tech | |
| SIFT Workstation | Бесплатно | Linux | Полный DFIR-дистрибутив от SANS | |
| Autopsy | Бесплатно | Win/Linux | Графический интерфейс, плагины | |
| AFLogical OSE | Бесплатно | Android | Извлечение без root, open-source | |
| ADB Extractor | Бесплатно | Win/Linux | Работа через ADB | |
| ViaExtract Lite | Бесплатно | Win | Лёгкая версия ViaLab | |
| Belkasoft Evidence Center | Платный | Win | Анализ мессенджеров и баз данных | |
| XRY | Платный | Win | Шведский стандарт, поддержка ОС KaiOS | |
| MSAB Tablet | Платный | Win | Портативный набор для полевых работ | |
| Passware Kit Mobile | Платный | Win | Взлом паролей и шифрования | |
| HashCat Mobile | Бесплатно | Linux/Win | GPU-атака на PIN/пароль |
Классические ошибки новичков
- Использование root-утилит типа KingoRoot — оставляет следы в /system и ставит SuperSU, что может быть расценено как вмешательство.
- Включение устройства без Faraday-мешка — данные могут удалиться дистанционно (wipe).
- Нарушение цепочки хранения (chain of custody) — недопустимо передавать устройство без акта приёма-передачи.
- Отсутствие побитовой копии — работа с оригинальным носителем может повредить данные.
- Игнорирование облачных источников — мессенджеры могут хранить всё в Google Drive.
Бесплатный стек для старта
Если вы новичок, начните с этих инструментов:
- Ubuntu + SIFT Workstation — полный DFIR-дистрибутив.
- MVT — анализ вредоносных приложений и экспорт данных;
- ADB + AFLogical OSE — логическое извлечение без root.
- Autopsy — визуальный анализ файлов и баз данных.
- HashCat — подбор PIN/пароля по словарю.
Мобильная криминалистика — это не только дорогие комплексы. Правильные методики и бесплатные инструменты позволяют провести экспертизу даже в домашних условиях. Главное — соблюдать процесс, не использовать root-утилиты без необходимости и всегда создавать побитовую копию девайса.
Полезные ссылки:
- Mobile Verification Toolkit (MVT)
- SIFT Workstation (SANS)
- Autopsy Digital Forensics Platform