Mobile Forensik – So stellen Sie Benutzerdaten von Android UFS-Chips wieder her

Extrahieren physikalischer Daten von UFS-Chips mit UFi Box, EasyJTAG Plus und ICFriend

Erforderliche Hardware und Werkzeuge

Allgemeine Vorbereitung

Entlöten Sie den UFS-Chip

Entfernen Sie den UFS-Chip vorsichtig mit einer Heißluftpistole vom Zielgerät. Reinigen Sie die BGA-Pads des Chips mit Isopropylalkohol und Lötlitze.

Identifizieren des Chiptyps

Bestätigen Sie den Chiptyp (Samsung, Toshiba usw.), die Modellnummer und das BGA-Layout.

Verwenden der UFi-Box

Setzen Sie den UFS-Chip ein

Montieren Sie den Chip in den richtigen ICFriend UFS-Adapter. Schließen Sie den Adapter an die UFi-Box an und schalten Sie ihn ein.

Starten Sie die UFi-Software

Starten Sie die UFi eMMC/UFS ToolBox. Klicken Sie auf der Registerkarte UFS auf „Identifizieren“ , um den Chip zu erkennen und seine Herstellerdetails, Kapazität und Partitionen zu lesen.

Physischen Dump durchführen

Wählen Sie „Vollständigen Dump lesen“ oder „LUNs lesen“ . Speichern Sie den Binärdump auf der Festplatte und extrahieren Sie optional bestimmte Partitionen.

Bildschnitzerei

Verwenden Sie forensische Tools wie FTK Imager, Autopsy oder Scalpel, um den Dump zu analysieren und Bilder, Mediendateien und Datenbanken zu extrahieren.

Verwenden von EasyJTAG Plus

Setzen Sie den UFS-Chip ein

Verwenden Sie den kompatiblen ICFriend-Sockel und verbinden Sie ihn mit der UFS-Erweiterungskarte. Stecken Sie die Erweiterung in EasyJTAG.

Starten Sie das EasyJTAG UFS-Tool

Starten Sie die Software, wählen Sie den entsprechenden Chip aus oder nutzen Sie die automatische Erkennung. Klicken Sie auf Scannen oder UFS identifizieren .

Datenextraktion

Wählen Sie „Lesen nach LUN“ oder „Vollständiger Chip-Dump“ . Speichern Sie die Images lokal und sichern Sie optional die GP1–GP4-, RPMB- und BOOT-Partitionen.

Nachbearbeitung und Bildwiederherstellung

Öffnen Sie den Dump

Verwenden Sie Tools wie Magnet AXIOM, FTK Imager oder Autopsy, um .bin- oder Partitionsabbilder zu öffnen. Daten mit leading oder bulk_extractor extrahieren.

Integrität validieren

Überprüfen Sie MD5- oder SHA1-Hashes, um die Integrität des Dumps sicherzustellen.

Hinweise

  • Verwenden Sie beim Umgang mit UFS-Chips immer einen ESD-Schutz.
  • Überprüfen Sie die BGA-Ausrichtung vor dem Einsetzen in den Sockel noch einmal, um Schäden zu vermeiden.
  • UFi ist für Samsung UFS-Chips optimiert; EasyJTAG bietet umfassendere Chip-Unterstützung und Skriptoptionen.