RECON LAB

Selon SUMURI, aucun outil forensique n’exploitait correctement les horodatages de macOS avant RECON LAB. Les attributs étendus d’Apple, que Windows ne sait pas afficher, portent pourtant des informations décisives pour une enquête.

RECON LAB s’appuie sur les bibliothèques natives de macOS : la prise en charge d’un nouveau système de fichiers ou d’un nouvel artefact y est immédiate. Les outils portés depuis Windows ou Linux passent, eux, par la rétro-ingénierie et des applications tierces, au risque de manquer des données, de les interpréter de travers et de traiter plus lentement.

L’analyse se mène en trois temps. L’analyse automatisée reconstitue des milliers d’artefacts ; quatre visionneuses avancées ouvrent les listes de propriétés, les bases SQLite, l’hexadécimal et la base de registre de Windows ; des centaines de fonctions facilitent enfin l’analyse manuelle.

Les fichiers s’ouvrent nativement, sans export préalable, par l’aperçu de macOS. Les applications, qui sont en réalité des paquets de milliers de fichiers, restent des paquets : elles n’encombrent pas l’affaire de pièces sans intérêt, comme le font les outils qui les déploient.

L’analyse de milliers d’artefacts provenant de Windows, de macOS, d’iOS, d’Android et de Google Takeout est automatisée, pour accélérer les enquêtes et résorber l’arriéré de dossiers.

Formats et sources acceptés

• Les images physiques aux formats .dd, .raw, .dmg, .sparsebundle, E01, EX01, LO1, SO1 et AFF4
• Les conteneurs APFS et les images logiques produits par RECON ITR
• Les sauvegardes Time Machine, les volumes montés et les images de disques optiques
• Les sauvegardes iOS d’iTunes, les extractions Cellebrite UFED non chiffrées au format .tar et .ufdr, les images GrayKey et les sauvegardes Android ADB
• Les données téléchargées depuis Google Takeout
• L’acquisition par le réseau, en mode partage de Mac

RECON LAB déchiffre nativement l’image d’un Mac protégé par FileVault, avec le mot de passe de session ou avec la clé de récupération créée à l’activation.

Les fichiers Project VIC produits par Griffeye Analyze DI s’importent comme jeux d’empreintes, étiquettes comprises, et une affaire se réexporte au même format pour être rechargée dans Analyze DI. Les versions 1.1, 1.2, 1.3 et 2.0 du format sont prises en charge.

RECON LAB reconnaît plusieurs centaines d’horodatages : ceux des systèmes de fichiers, ceux des métadonnées étendues d’Apple, et ceux que chaque application écrit pour son propre compte.

De là, deux vues chronologiques, textuelle et graphique, replacent les événements dans l’ordre, minute par minute et jusqu’à la seconde. La super-chronologie rassemble toute l’affaire ; la chronologie des artefacts s’attache à un type de trace.

Une même personne se sert dans la journée d’un ordinateur, d’un téléphone et d’une tablette, de plusieurs navigateurs et de plusieurs messageries, en changeant de lieu. Les résultats redéfinis rassemblent en une seule vue l’historique de localisation, les conversations et l’historique web, quels que soient l’appareil et l’application.

Un rapport se construit d’ordinaire par allers-retours (marquer, éditer, marquer, éditer), un procédé que SUMURI juge d’une rigidité décourageante.

RECON LAB comprend un éditeur de rapport intégré et complet, Story Board, qui laisse à l’examinateur la main sur le rapport et sur tout ce qu’il contient.

Tout s’y modifie, et Story Board range aussi les étiquettes et les signets par ordre chronologique : le rapport raconte « l’histoire » du début à la fin, dans le bon ordre.

Story Board accepte les pièces extérieures, filtre les enregistrements et permet de flouter une image avant diffusion. Le rapport global, lui, s’exporte en HTML (avancé, avec navigation, ou linéaire) ainsi qu’en PDF, en CSV et en XML.

Une affaire s’exporte enfin vers RECON CASE READER, qui permet de la relire sous Windows : soit une affaire rapide, aux artefacts et aux chemins prédéfinis, soit une affaire sur mesure, avec ses étiquettes et ses signets.

RECON LAB contient des visionneuses intégrées pour chaque type de données. Des visionneuses avancées, comme celle des bases SQLite, permettent en outre d’exécuter des requêtes SQL dans RECON LAB pour pousser l’analyse et le rapport.

Les visionneuses avancées

• Les listes de propriétés d’Apple, y compris au format binaire
• Les bases SQLite, interrogeables en SQL
• L’hexadécimal
• La base de registre de Windows
• Les journaux système

Chaque fichier s’inspecte par ailleurs dans ses propres volets : informations détaillées, reconnaissance optique de caractères, hexadécimal, texte, chaînes de caractères, métadonnées EXIF, métadonnées Apple et aperçu cartographique.

Les données brutes se convertissent en ASCII ou en Unicode à l’intérieur des visionneuses SQL et Plist, et la recherche par mot-clé porte sur chaque colonne, depuis l’écran de résultats comme depuis le détail d’un artefact.

RECON LAB a été conçu pour tirer parti de macOS : ce que le Mac sait monter, RECON LAB sait le traiter. Le système reconnaît nativement APFS, macOS étendu (HFS+), FAT et ExFAT de MS-DOS, et NTFS en lecture seule.

Au-delà, FUSE, libre et gratuit, permet de monter et de traiter à peu près n’importe quel système de fichiers. Son installation fait partie de la mise en route décrite par le fabricant.

Au-delà de son propre système de fichiers et de ses propres artefacts, macOS prend en charge quantité d’autres formats et les traces laissées par Windows, par Linux, par Unix et par bien d’autres systèmes. RECON LAB prend en charge macOS 27 depuis le jour de sa sortie.