Elcomsoft iOS Forensic Toolkit

Erhalten Sie den vollständigen physischen und logischen Zugriff auf Daten in iPhones, iPads und iPod Touch-Geräten. Erstellen Sie Images vom Dateisystem eines Geräts, extrahieren Sie geheime Daten (Passwörter, Verschlüsselungsschlüssel und geschützte Daten) und entschlüsseln Sie Images vom Dateisystem.

  • das vollständige Extrahieren von Dateisystemen und das Entschlüsseln von Schlüsselbunden ohne Jailbreak (iPhone 5s - iPhone 12, iOS 9.0 - 14.3)
  • Logische Erfassung extrahiert Sicherungen, Absturzprotokolle, Medien und freigegebene Dateien
  • Passcode-Entsperrung und physische Erfassung für ältere Geräte (iPhone 4, 5 und 5c)
  • Extrahiert und entschlüsselt geschützte Schlüsselbundelemente
  • Echtzeit-Dateisystem-Akquisition
  • Deaktiviert automatisch die Bildschirmsperre für eine reibungslose, ununterbrochene Erfassung

Unterstützt: alle Generationen von Apples iPhone, iPad ,iPad Pro und iPod Touch mit oder ohne Jailbreak; Apple Watch and Apple TV 4 and 4K; alle Versionen von iOS von 7 bis zu 14.X

Full version $ 1495
Jetzt kaufen

Neue Funktionen

checkm8-Extraktion für ausgewählte iPhone- und iPad-Modelle

iOS Forensic Toolkit 8.0 Beta für Mac bietet forensisch fundierte Extraktion von iPhone 5s, iPhone 6, 6 Plus, 6s, 6s Plus und iPhone SE (1.Gen) Geräten mit einem bekannten oder leeren Passcode für die Bildschirmsperre. Unsere Lösung basiert auf dem checkm8-Exploit, nicht auf dem checkra1n-Jailbreak. Das Patchen des Geräts erfolgt vollständig im RAM, die Datenpartition ist schreibgeschützt und das auf dem Gerät installierte Betriebssystem bleibt unberührt und wird während des Startvorgangs nicht verwendet.

Die neue Extraktionsmethode ist die bisher sauberste. Auf dem Gerät werden keine Protokolleinträge hinzugefügt, und es werden keinerlei Änderungen an einem Bereich des Gerätespeichers vorgenommen, weder im System noch in Datenpartitionen. Unser einzigartiges direktes Extraktionsverfahren bietet folgende Vorteile:

  • Unberührte System- und Datenpartitionen.
  • Null-Änderungsrichtlinie: 100% des Patches erfolgt im RAM.
  • Der Installationsprozess ist vollständig geführt und im Vergleich zum Jailbreaking wesentlich zuverlässiger.
  • Breite iOS-Kompatibilität. iOS 8.0 bis iOS 14.5.1 werden unterstützt.
  • Gesperrte und deaktivierte Geräte werden im BFU-Modus unterstützt, während der USB-eingeschränkte Modus vollständig umgangen werden kann.

Hinweise: Die checkm8-Funktionalität ist derzeit in Beta verfügbar. Für die exklusiv in der Mac-Edition des iOS Forensic Toolkit verfügbare Version ist ein MacOS-Computer erforderlich.

Forensischer Zugang zu iPhone-, iPad-, und iPod-Geräten mit Apple iOS-Betriebssystem

Führen Sie eine komplette forensische Erfassung der Nutzerdaten von iPhone-, iPad- und iPod-Geräten durch. Elcomsoft iOS Forensic Toolkit erlaubt, ein Image vom Dateisystem des Geräts zu erstellen, um geheime Daten zu extrahieren (Codesperren, Passwörter und Codeschlüssel) und über Lockdown-Datensätze auf gesperrte Geräte zugreifen.

Die folgenden Extraktionsmethoden werden unterstützt:

  • Erweiterte logische Erfassung (Sicherung, Mediendateien, Absturzprotokolle, freigegebene Dateien) (alle Geräte, alle Versionen von iOS)
  • Direkte agentenbasierte Extraktion (alle 64-Bit-Geräte, ausgewählte iOS-Versionen)
  • Direkte checkm8-Extraktion (derzeit in der Beta) (ausgewählte Geräte, alle Versionen von iOS außer 7.x)
  • Jailbreak-basierte Extraktion (alle Geräte und Versionen von iOS mit öffentlichen Jailbreaks)
  • Entsperren des Passcodes und echte physische Erfassung (ausgewählte 32-Bit-Geräte)

Siehe Kompatible Geräte und Plattformen für weitere Einzelheiten.

Vollständige Dateisystem-Extraktion und Entschlüsselung des Schlüsselbunds ohne Jailbreak

Für eine begrenzte Anzahl von iOS-Geräten ist eine jailbreakfreie Extraktionsmethode verfügbar, die auf dem direkten Zugriff auf das Dateisystem basiert. Mithilfe eines eigens entwickelten Extraktionswerkzeugs installiert diese Erfassungsmethode einen Extraktionsagenten auf dem Gerät, das erfasst wird. Der Agent kommuniziert mit dem Computer des Experten und bietet eine robuste Leistung und eine extrem hohe Extraktionsgeschwindigkeit von über 2.5 GB Daten pro Minute.

Besser noch: Die agentenbasierte Extraktion ist absolut sicher, da sie weder die Systempartition verändert noch das Dateisystem erneut bereitstellt, während das automatische Hashing der extrahierten Informationen im laufenden Betrieb durchgeführt wird. Die agentenbasierte Extraktion nimmt keine Änderungen an den Benutzerdaten vor und bietet eine forensisch fundierte Extraktion.

Sowohl das Dateisystem-Image als auch alle Schlüsselbunddatensätze werden extrahiert und entschlüsselt. Die neue agentenbasierte Extraktionsmethode liefert eine solide Leistung und führt zu einer forensisch einwandfreien Extraktion. Der Agent kann nach Abschluss der Extraktion mit einem einzigen Befehl vom Gerät entfernt werden.

Man kann entweder das gesamte Dateisystem extrahieren oder das Express-Extrahieren verwenden und nur die Dateien der Benutzerpartition abrufen. Das Express-Extrahieren von Daten trägt dazu bei, Zeit und Speicherplatz zu sparen, indem nur der Inhalt der Datenpartition abgerufen wird, während die Systempartition übergangen wird.

Die Agenten-basierte Methode erfordert ein Apple-Konto, das im Apple Developer-Programm registriert ist. Die macOS-Version hebt diese Einschränkung vollständig auf und erlaubt übliche IDs von Apple zum Laden der Extraktions-Binärdatei zu verwenden.

Das iOS Forensic Toolkit unterstützt die Extraktion aller Geräte mit Jailbreak, für die ein Jailbreak verfügbar ist. Die vollständige Dateisystemextraktion und Schlüsselbundentschlüsselung sind für Geräte mit Jailbreak verfügbar. Alle öffentlichen Jailbreaks werden unterstützt.

Entsperren und Imaging der älteren Geräte: iPhone 4, 5 und 5c

Mit dem Toolkit können verschlüsselte iPhone 4-, 5- und 5c-Geräte entsperrt werden, die mit einem unbekannten Bildschirm-Passwort geschützt sind. EIFT stellt die ursprüngliche 4-stellige oder 6-stellige PIN wieder her. Der DFU-Angriff arbeitet mit einer Geschwindigkeit von 13,6 Passcodes pro Sekunde. Das Entsperren eines mit 4-stelligen PINs geschützten iPhone 5 oder 5c dauert weniger als 12 Minuten. Das Wiederherstellen von 6-stelligen PINs dauert bis zu 21 Stunden. Aus diesem Grund haben wir einen intelligenten Angriff auf 6-stellige Passwörter entwickelt, bei dem zuerst die Liste der am häufigsten verwendeten Passwörter ausprobiert wird. Diese Liste enthält nur 2910 Einträge, und es dauert nur etwa 4 Minuten, um sie alle zu testen. Beispiele auf dieser Liste umfassen die weltweit beliebte Kombination 123456, wiederholte Ziffern, sowie die digitalen Passwörter, die bestimmte Kombinationen darstellen (z. B. 131313 oder 287287). Nach dieser Liste folgen die 6-stelligen PINs, die auf dem Geburtsdatum des Benutzers basieren. Nachdem das Programm all diese Kombinationen ausprobiert hat, was ungefähr 1,5 Stunden dauert, startet das Tool den vollständigen Brute-Force-Angriff. (Hinweis: Die Wiederherstellung von Passcodes wird auf dem iPhone 4 mit einer Geschwindigkeit von 6,6 Passcodes pro Sekunde ausgeführt.)

Für ältere iOS-Geräte, einschließlich iPhone 4, 5 und 5c, ist eine vollständige physische Erfassung verfügbar. Für alle unterstützten Modelle kann das Toolkit das bitgenaue Image der Benutzerpartition extrahieren und den Schlüsselbund entschlüsseln. Wenn auf dem Gerät iOS 4 bis 7 ausgeführt wird, kann das Imaging auch ohne Wiederherstellung des Passcodes durchgeführt werden, während bei Geräten mit iOS 8 bis 10 zuerst der Passcode wiederhergestellt werden muss. Für alle unterstützten Modelle kann das Toolkit die Benutzerpartition und den Schlüsselbund extrahieren und entschlüsseln.

Hinweise: Nur Mac Edition; iPhone 4S wird nicht unterstützt. Für iOS 4 bis 7 ist für die Geräte-Imaging keine Passcode-Wiederherstellung erforderlich. Für iOS 8 und 9 muss der Passcode vor dem Imaging wiederhergestellt werden (andernfalls ist eine begrenzte BFU-Erfassung verfügbar).

Erweiterter logischer Zugriff

iOS Forensic Toolkit unterstützt den logischen Zugriff, der im Vergleich zum physischen eine einfachere und sichere Zugriffsmethode darstellt. Die logische Erfassung erstellt eine standardmäßige iTunes-ähnliche Sicherung der auf dem Gerät gespeicherten Informationen, ruft Medien und freigegebene Dateien ab und extrahiert System-Crash-Logs Während durch die logische Methode weniger Informationen als durch die physische gewonnen werden, wird Experten empfohlen, ein logisches Backup des Geräts zu erstellen, bevor sie weitere invasive Erfassungstechniken anwenden.

Wir empfehlen immer, die logische Erfassung in Kombination mit physischer Erfassung zu verwenden, um alle möglichen Arten von Beweisen sicher zu erhalten.

Extrahieren Sie schnell Mediendateien wie Camera Roll, Bücher, Sprachaufnahmen und iTunes-Mediathek. Im Gegensatz zum Erstellen einer lokalen Sicherung, bei der es sich möglicherweise um eine langwierige Angelegenheit handeln kann, funktioniert die Medienextraktion auf allen unterstützten Geräten zügig. Das Auslesen von Daten aus gesperrten Geräten ist durch die Anwendung der Lockdown-Datei möglich.

iOS Forensic Toolkit bietet auch die Möglichkeit, auf Absturz- / Diagnoseprotokolle und gespeicherte Dateien vieler Apps zuzugreifen und kritische Daten auch ohne Jailbreak zu extrahieren. Extrahieren Sie Dokumente von Adobe Reader und Microsoft Office, der MiniKeePass-Passwortdatenbank und vielem mehr. Die Extraktion erfordert ein nicht gesperrtes Gerät oder einen nicht abgelaufenen Sperrdatensatz.

Der logische Zugriff ist für alle Geräte verfügbar, unabhängig davon, ob es sich um eine Hardware- oder Jailbreak-Version handelt. Allerdings muss das Gerät mindestens einmal nach dem Kaltstart entriegelt werden, andernfalls kann der Backup-Dienst nicht gestartet werden.

Experten müssen das Gerät mit Codesperre oder Touch ID entsperren oder eine nicht abgelaufene Lockdown-Datei vom Computer des Benutzers benutzen.

Wenn das Gerät konfiguriert ist, um passwortgeschützte Backups zu erzeugen, müssen Experten Elcomsoft Phone Breaker benutzen, um das Kennwort zu ermitteln und die Verschlüsselung zu entfernen. Elcomsoft Phone Breaker ist auch erforderlich, um Keychain-Daten zu lesen. Wenn kein Backup-Passwort gesetzt wurde, wird das Tool das System automatisch mit einem temporären Passwort ausstatten ("123"), um Elemente aus dem Schlüsselbund entschlüsseln zu können (das Passwort wird nach dem Zugriff zurückgesetzt).

Mit einem Datensatz zum Sperren (Pairing-Datensatz) können Informationen auch nach dem Ausschalten oder Neustart von gesperrten iOS-Geräten extrahiert werden. Die folgende Übersicht gilt für Geräte mit iOS 8 und neuer:

Grundlegende Geräte
informationen
Erweiterte Geräte
informationen
App-Liste Media iTunes-Stil-Backup
Gerät gesperrt, kein Sperrbericht Ja Nein Nein Nein Nein
Gerät wurde nach dem Neustart nicht entsperrt, Sperre ist vorhanden Ja Ja Nein Nein Nein
Gerät nach Neustart entsperrt, Sperre vorhanden Ja Ja Ja Ja Ja

Führen Sie eine physische und logische Erfassung von iPhone-, iPad- und iPod Touch-Geräten durch. Das Image Device File System, extrahiert Geräte-Inhalte (Passwörter, Schlüssel und geschützte Daten) und entschlüsselt das Dateisystem-Image.

Alle Funktionen und Vorteile

Unterstützte Geräte und Erfassungsmethoden

iOS Forensic Toolkit unterstützt den physischen Zugriff auf Jailbroken-Geräte vom iPhone 5s über iPhone 12, 12 Pro, iPhone 12 mini und iPhone 12 Pro Max. Logische Erfassung ist für Geräte ohne Jailbreak verfügbar.

Es gelten folgende Kompatibilitätsmuster:

  • Passcode entsperren: Stellt 4-stellige und 6-stellige Bildschirm-Passcodes über DFU-Exploit wieder her. Alle iOS-Versionen, iPhone 4, 5 und 5c-Geräte. Nur in der Mac Edition verfügbar.
  • ältere Geräte: Bitgenaue Imaging und Entschlüsselung von iPhone 4, 5 und 5c-Geräten. Nur in der Mac Edition verfügbar.
  • Agent (ohne Jailbreak): Vollständige Dateisystem-Extraktion und Schlüsselbund-Entschlüsselung für Geräte, auf denen eine beliebige Version von iOS 9 bis 14.3 ausgeführt wird. Die entsprechenden iPad-Modelle werden ebenfalls unterstützt. Eine Apple Developer-Registrierung ist erforderlich (Windows) / optional (macOS).
  • Mit Jailbreak: Physische Erfassung für Geräte mit Jailbreak, auf denen eine beliebige Version von iOS ausgeführt wird, für die ein Jailbreak verfügbar ist (iPhone 5s über iPhone 11 Pro Max, die meisten iPad-Modelle, Apple TV 4 & 4K)
  • Mit BootROM-basiertem Jailbreak : Teilweise Dateisystem- und Schlüsselbund-Erfassung für BFU, gesperrte und deaktivierte iPhone-Modelle von iPhone 5s bis iPhone X (über checkra1n-Jailbreak). Vollständiges Dateisystem und vollständige Schlüsselbunderfassung für entsperrte Geräte aus diesem Gerätebereich. iOS 14-Unterstützung: für iPhone 6s, iPhone 6s Plus und iPhone SE (erste Generation) sind vollständige Dateisystem- und Schlüsselbund-Extraktion verfügbar, einschließlich teilweiser BFU-Extraktion.
  • Kein Jailbreak verfügbar: Logische Erfassung, gemeinsame Dateien und Medienextraktion für Geräte, auf denen iOS-Versionen ohne Jailbreak ausgeführt werden. Das Gerät muss mit einem Passcode, einer Touch-ID oder einem Sperrdatensatz entsperrt werden
Apple Watch und Apple TV-Extraktion

Elcomsoft iOS Forensic Toolkit ist das einzige auf dem Markt erhältliche Tool von Drittanbietern, um Informationen von Apple Watch-Geräten zu extrahieren. Experten versuchen zwar, ein Backup des mit ihrer Apple Watch gepaarten iPhone des Benutzers im iTunes-Stil zu erstellen, ein lokales Backup ist jedoch möglicherweise nicht verfügbar, wenn das iPhone sicher gesperrt ist. Durch das direkte Extrahieren von Informationen aus der Apple Watch können Sie auf Informationen zugreifen, auch wenn das iPhone gesperrt oder nicht verfügbar ist. Experten können auf Absturzprotokolle und Mediendateien einschließlich EXIF- und Standortdaten zugreifen. Zum Anschließen der Apple Watch ist ein IBUS-Adapter erforderlich.

Apple TV-Geräte können eine lokale Kopie der gesamten iCloud Photo Library des Benutzers enthalten, wenn der Benutzer iCloud Photos in seinem iCloud-Konto aktiviert hat. Da Apple TV keinen Passcode-Schutz bietet, ist die Extraktion auch dann möglich, wenn das iPhone des Benutzers gesperrt ist und das iCloud-Kennwort nicht bekannt ist. Erfordert eine Kabelverbindung für Apple TV 4, eine drahtlose Verbindung über Xcode für Apple TV 4K.

Schlüsselbund-Extraktion

Elcomsoft iOS Forensic Toolkit kann Keychain-Elemente extrahieren, einschließlich solcher, die mit dem ThisDeviceOnly-Attribut geschützt sind, wodurch Ermittler Zugriff auf hochsensible Daten wie Login- / Passwortinformationen zu Websites und anderen Ressourcen (und in vielen Fällen zur Apple-ID) erhalten.

Das Gerät muss während des gesamten Schlüsselbundakquisitionsprozesses entsperrt bleiben. iOS Forensic Toolkit implementiert ein Tool zum Deaktivieren der automatischen Bildschirmsperre.

Eine teilweise Schlüsselbundextraktion ist für gesperrte und deaktivierte BFU-iPhone-Modelle von iPhone 5s bis iPhone X unabhängig von der iOS-Version möglich.

DFU / Wiederherstellungsmodus

Informationen zu gesperrten und deaktivierten Geräten erhalten Sie im DFU- oder Wiederherstellungsmodus. Wenn das Gerät nach 10 erfolglosen Entsperrversuchen gesperrt ist oder wenn der eingeschränkte USB-Modus aktiviert ist, können Sie es dennoch in den Wiederherstellungs- oder DFU-Modus schalten. Mit dem Elcomsoft iOS Forensic Toolkit können Sie dann wichtige Informationen über das Gerät extrahieren, einschließlich der Gerätemodell-ID, der ECID / UCID, der Seriennummer und in bestimmten Szenarien der IMEI-Nummer. Darüber hinaus gibt der Wiederherstellungsmodus Informationen zur Bootloader-Version zurück. Durch die Analyse der Bootloader-Version zeigt das Tool Informationen zur iOS-Version oder den Bereich der auf dem Gerät installierten Versionen von iOS an.

Tutorial

Kompatible Geräte und Plattformen

  • iPhone 4, 5 und 5c: Entsperrung über DFU (nur macOS Edition)
  • iPhone 4, 5 und 5c: physische Erfassung mit bitgenauer Geräteabbildung und Schlüsselbundentschlüsselung (nur MacOS Edition)
  • 64-Bit-Geräte mit Jailbreak: Extrahieren von Dateisystem, Entschlüsseln von Schlüsselbund
  • Teilweise Erfassung von Dateisystemen und Schlüsselbund für gesperrte und deaktivierte iPhone-Modelle von iPhone 5s bis iPhone X von BFU
  • Apple TV 4 (Kabelverbindung) und Apple TV 4K (drahtlose Verbindung über Xcode, nur Mac)
  • Apple Watch (alle Generationen); erfordert einen IBUS-Adapter eines Drittanbieters
  • Kein Jailbreak: agentenbasierte Extraktion für unterstützte Geräte; nur erweiterte logische Datenerfassung für alle anderen Geräte[1]

Logische Datenerfassung enthält:

  • Vollständige Informationen über dem Gerät
  • Sicherungskopie im iTunes-Format (enthält viele Schlüsselbundartikel)
  • Liste installierten Apps
  • Medien-Dateien (sogar dann, wenn das Backup mit dem Code gesperrt wurde)
  • Gemeinsame Dateien (sogar dann, wenn das Backup mit dem Code gesperrt wurde)

  1. Logische Erfassung funktioniert auch wenn das Gerät mit einem unbekannten Code gesperrt wurde, falls ein Sperrdatensatz verfügbar ist. 

Systemanforderungen

Windows

  • Windows 7/8/8.1/10

Apple macOS

  • macOS 10.13 High Sierra
  • macOS 10.14 Mojave
  • macOS 10.15 Catalina
  • macOS 11 Big Sur

Das iOS Forensic Toolkit für Windows erfordert eine Installation der letzten Version von iTunes. Es wird nicht garantiert, dass die macOS-Version auf einer virtuellen Maschine oder Hackintosh funktioniert. Bitte beachten Sie auch, dass einige spezifische Funktionen des Produkts (z. B. physische Datenerfassung für ältere 32-Bit-Geräte, Agenteninstallation mit Nicht-Entwicklerkonto, checkm8-Erfassung) nur in der macOS-Version verfügbar sind.

Versionshinweise

Elcomsoft iOS Forensic Toolkit v.7.03

8 September, 2021

  • added an ability to sign acquisition agent with app-specific password for developer accounts on macOS
  • partition image decryption (legacy devices) is now blazing fast on APFS
  • fixed iPhone 5c image decryption
  • fixed iPhone 5/5c keychain extraction with physical/checkm8 acquisition for some specific keychain versions
  • fixed keychain extraction for jailbroken legacy (32-bit) iPhone and iPad models
  • improved jailbreak detection
  • fixed output folders for some data if the Toolkit started from the console

Alle Programme können über die Systemsteuerung 'Programme und Funktionen' oder über das Programm 'Deinstallieren' im Startmenü deinstalliert werden. Es wird der Standard Windows Installer Service verwendet.

Systemanforderungen

Windows

  • Windows 7/8/8.1/10

Apple macOS

  • macOS 10.13 High Sierra
  • macOS 10.14 Mojave
  • macOS 10.15 Catalina
  • macOS 11 Big Sur

Das iOS Forensic Toolkit für Windows erfordert eine Installation der letzten Version von iTunes. Es wird nicht garantiert, dass die macOS-Version auf einer virtuellen Maschine oder Hackintosh funktioniert. Bitte beachten Sie auch, dass einige spezifische Funktionen des Produkts (z. B. physische Datenerfassung für ältere 32-Bit-Geräte, Agenteninstallation mit Nicht-Entwicklerkonto, checkm8-Erfassung) nur in der macOS-Version verfügbar sind.

Versionshinweise

Elcomsoft iOS Forensic Toolkit v.7.03

8 September, 2021

  • added an ability to sign acquisition agent with app-specific password for developer accounts on macOS
  • partition image decryption (legacy devices) is now blazing fast on APFS
  • fixed iPhone 5c image decryption
  • fixed iPhone 5/5c keychain extraction with physical/checkm8 acquisition for some specific keychain versions
  • fixed keychain extraction for jailbroken legacy (32-bit) iPhone and iPad models
  • improved jailbreak detection
  • fixed output folders for some data if the Toolkit started from the console

Alle Programme können über die Systemsteuerung 'Programme und Funktionen' oder über das Programm 'Deinstallieren' im Startmenü deinstalliert werden. Es wird der Standard Windows Installer Service verwendet.

Elcomsoft iOS Forensic Toolkit kaufen

Full version
$ 1495
Jetzt kaufen