Обновлено: 25.06.2026Oxygen Forensic Detective: что нужно знать перед скачиванием
Oxygen Forensic Detective - коммерческое ПО для криминалистического анализа мобильных устройств. Бесплатно доступна только устаревшая версия 9.3 на сторонних файлообменниках; актуальные версии распространяются исключительно по лицензии через официальный сайт Oxygen Forensics и не имеют бесплатной редакции.Что важно учитывать
- Пробная версия. Oxygen Forensics предоставляет демо-доступ по запросу - нужно заполнить форму на официальном сайте и получить временную лицензию. Это единственный легальный способ протестировать полный функционал.
- Возможности. Программа извлекает и анализирует контакты, сообщения, данные соцсетей, мессенджеров, геолокацию с устройств на iOS, Android, BlackBerry 10, Windows Phone 8. Поддерживает импорт образов и бэкапов, созданных другими форензик-инструментами (включая Cellebrite UFED, как показано в треде ниже).
- Альтернативы для практики. Для учебных целей существуют бесплатные инструменты: Autopsy (анализ образов дисков и дампов), ADB + открытые скрипты для Qualcomm EDL (извлечение данных), ALEAPP/iLEAPP (парсинг артефактов Android/iOS).
- Риски скачивания со сторонних сайтов. Версия 9.3, распространяемая на файлообменниках, сильно устарела, не поддерживает современные устройства и может содержать модификации - использовать в реальной экспертизе недопустимо, это ставит под сомнение доказательную базу.
Имеем на руках Xiaomi Redmi 5 plus на базе Qualcomm Snapdragon 625 msm8953.
Для извлечения данных на уровне физики была использована уязвимость процессора, для ее реализации смартфон необходимо перевести в режим EDL (Emergency Download Mode – EDL).
Снимаем крышку смартфона, находим необходимые тест-поинты. На данной модели они расположены здесь:
Замыкаем тест-поинты (пинцетом, скрепкой и т.п.), подключаем девайс к ПК. Устройство должно определиться как Qualcomm HS-USB QDLoader 9008 (для этого предварительно устанавливаем необходимый драйвер).
Запускаем Мобильный криминалист, создаем дело, выбираем Extract device data.
Выбираем Qualcomm EDL dump.
Читаем инструкцию, подтверждаем, нажимаем далее.
На этом этапе выбираем firehose файл, либо выбираем автоматическое подключение.
Начинается процесс извлечения.
После извлечения дампа памяти, программа переходит к этапу извлечения ключей шифрования, ибо без данных ключей, при анализе дампа, мы получим только не шифрованные разделы, пример ниже:
После извлечения дампа устройство переходит в обычный режим. Переподключаем устройство в EDL режиме. Читаем инструкцию, нажимаем далее.
Первые три операции проходят без нашего участия, после которых отключаем устройство - откидываем батарею, тем самым устройство выйдет из EDL режима.
Одновременно зажимаем кнопку запуска и подключаем девайс к ПК, держим кнопку запуска до появления лого андроида.
Ждем, получаем положительный результат.
Открываем полученный образ, начинается анализ.
По итогу проделанных операций получаем вот такой результат:
Так же аналогичная задача была со смартфоном Xiaomi Redmi note 4 на базе Qualcomm Snapdragon 625 MSM8953. Что интересно, данный аппарат ни в какую не отдавал ключи шифрования, по аналогичной схеме, проблема была на этапе запуска аппарата во время извлечения ключей, сам аппарат не запускался и сигналил красным цветом светодиода на стороне экрана.
Поэтому я использовал селебрейт.
Запускаем Touch 2
Переходим по менюшкам Мобильное устройство — обзор — Generic Decrypting Qualcomm EDL.
Далее аппарат был подключен описанным выше способом, после чего была произведена попытка извлечения, которая потерпела неудачу.
В итоге был найден способ правильного подключения смартфона к Touch 2, а именно - подключение аппарата кабелем, после чего ждем, пока появится лого зарядки на экране смартфона, экран должен погаснуть. Замыкаем тест-поинты и нажимаем кнопку питания на телефоне - смартфон переходит в EDL режим.
1- Switch OFF the device
2- Connect the device to UFED
3- Wait for the LCD display the battery Logo charging and then LCD switch OFF
4- Shortcut the Test Points and press Power ON to get [Continue]
После чего начинается процесс извлечения.
Далее полученный образ был проанализирован оксигеном, в результате чего был получен аналогичный результат.
Вложения
Последнее редактирование модератором:
