Laden von XRY-Images in Magnet AXIOM
Als Fortsetzung unserer Serie über die Analyse mobiler Images mit verschiedenen Tools wird sich dieser Blog auf die Verwendung von Images konzentrieren, die mit MSAB XRY erstellt wurden. Weitere Informationen über den Multi-Tool-Ansatz und andere Image-Formate, finden Sie hier in unserem Einführungsblog.
MSAB XRY erstellt sowohl physische als auch logische forensische Images in einem proprietären Format mit der Erweiterung .XRY. Es ist möglich, das physische RAW/BIN-Image aus dem XRY-Container und die logischen Dateien aus den logischen XRY-Images zu extrahieren, allerdings müssen Sie die Daten zunächst mit XRY vorbereiten. Dieses Verfahren wird mit XACT durchgeführt, einer Software, die zum Lieferumfang von XRY gehört. Sobald die RAW- oder logischen Dateien aus dem XRY-Container extrahiert sind, kann ein Ermittler das Image mit anderen kommerziellen Tools und Parsern wie AXIOM überprüfen.
Erstellen einer RAW/BIN-Datei aus einer .XRY Physical
1. In XACT öffnen Sie die Extraktion mit der Option, ein Projekt zu öffnen.
2. Wenn die Extraktion geladen ist, erweitern Sie den Projektbaum, bis Sie den Knoten Dateisystem sehen.
3. Right click in File system and select the option Export > Node Data…
4. Wählen Sie aus, wo Sie die Datei speichern möchten, und benennen Sie sie mit der Erweiterung .BIN
Erstellen eines Dateidump aus einer .XRY-Logikdatei
Die ersten beiden Schritte zur Erstellung eines Dateidump aus einer .XRY Logical sind die gleichen wie bei der Erstellung einer .RAW aus einer .XRY Physical. Nachfolgend finden Sie die Schritte drei und vier zum Extrahieren der logischen Dateien und Ordner aus einer .XRY-Datei:
3. Klicken Sie mit der rechten Maustaste im Dateisystem und wählen Sie die Option Exportieren > Alle Dateien exportieren…
4. Wählen Sie aus, wo Sie die Dateien speichern möchten.
Laden von XRY-Images in AXIOM
Sobald Sie die physischen BIN- oder logischen Dateien aus XRY in ein benutzerfreundlicheres Format exportiert haben, ist das Laden in das Tool Ihrer Wahl relativ einfach. Um dies in AXIOM zu tun, öffnen Sie AXIOM Process über das Fenster Evidence Sources,
- „Mobile“ auswählen,
- dann entweder “iOS” oder “Android” (je nach Art des untersuchten Geräts),
- „Beweise laden“,
- dann „Image“ wählen
Damit können Sie die von XRY erstellten Images in AXIOM laden. Wählen Sie dort Ihre Optionen und Artefakte aus und verarbeiten Sie das Images wie jedes andere.
Für weitere Details darüber, wie man andere Images in AXIOM lädt, lesen Sie die anderen Blogbeiträge aus der Reihe: Cellebrite & Oxygen.
