Cellebrite UFED.

Cellebrite — израильская компания в области цифровой разведки, наиболее известная благодаря UFED (Universal Forensic Extraction Device) и аналитическому пакету Physical Analyzer / Inseyets. Её аппаратные и программные продукты позволяют правоохранительным органам, спецслужбам и корпоративным командам DFIR выполнять логическое, файловое и физическое извлечение данных с iOS- и Android-смартфонов, восстанавливать удалённые записи и разбирать сотни форматов приложений: чатов, звонков, геолокации, облачных артефактов. Cellebrite поддерживает рабочие процессы разблокировки паролей (Premium) и формирует пригодные для суда отчёты, обеспечивающие соблюдение цепочки хранения доказательств.

Как проходит извлечение

flowchart LR
  A[Изъятое устройство] --> B{Метод доступа}
  B -->|Логический| C[Резервная копия / запрос по API]
  B -->|Файловая система| D[Агент или эксплойт]
  B -->|Физический| E[Загрузчик / chip-off]
  C --> F[Извлечение UFED]
  D --> F
  E --> F
  F --> G[Декодирование в Physical Analyzer]
  G --> H[Карвинг удалённых записей]
  G --> I[Разбор БД приложений]
  H --> J[Отчёт для суда]
  I --> J

Эти инструменты вызывали пристальное внимание. В апреле 2021 года Моксей Марлинспайк из Signal опубликовал материал "Exploiting vulnerabilities in Cellebrite", показав, что в UFED и Physical Analyzer имелись уязвимости произвольного выполнения кода: специально сформированный файл, помещённый на сканируемое устройство, мог выполнить код на Windows-машине эксперта, потенциально искажая как прошлые, так и будущие доказательства. Он отметил, что пакет включал сборку FFmpeg образца 2012 года с десятками неисправленных уязвимостей и поставлял подписанные Apple DLL без лицензии. Cellebrite также критиковали за продажи авторитарным режимам. В качестве защиты эксперты выполняют извлечение на изолированных, проверенных рабочих станциях, вычисляют хеш образов перед анализом и документируют версии инструментов, чтобы сохранить допустимость доказательств.