Cellebrite UFED.

Cellebrite 是一家以色列数字情报公司,因 UFED (Universal Forensic Extraction Device) 与分析套件 Physical Analyzer / Inseyets 而闻名。其硬件与软件使执法机构、情报部门以及企业 DFIR 团队能够对 iOS 与 Android 手机执行逻辑、文件系统与物理级提取,恢复已删除的记录,并解析数百种应用程序格式,包括聊天、通话、定位与云端工件。Cellebrite 支持密码解锁工作流 (Premium),并生成符合证据保管链要求、可直接提交法庭的报告。

提取流程如何运作

flowchart LR
  A[查获的设备] --> B{访问方式}
  B -->|逻辑| C[备份 / API 拉取]
  B -->|文件系统| D[代理程序或漏洞利用]
  B -->|物理| E[Bootloader / 芯片拆解]
  C --> F[UFED 提取]
  D --> F
  E --> F
  F --> G[Physical Analyzer 解码]
  G --> H[已删除记录雕刻]
  G --> I[应用数据库解析]
  H --> J[可提交法庭的报告]
  I --> J

这些工具曾受到审视。2021 年 4 月,Signal 的 Moxie Marlinspike 发表了 "Exploiting vulnerabilities in Cellebrite",指出 UFED 与 Physical Analyzer 存在任意代码执行缺陷:一个特制文件只要放置在被扫描的设备上,便可在检查人员的 Windows 机器上运行代码,从而有可能污染过去与未来的证据。他指出该套件捆绑了一个 2012 年版的 FFmpeg 构建,其中携带了数十个未修补的漏洞,并且在没有授权许可的情况下分发了由 Apple 签名的 DLL。Cellebrite 还因向威权政权销售产品而受到批评。作为防御措施,检查人员在隔离且经过验证的工作站上执行提取,在分析前对镜像进行哈希校验,并记录工具版本以维护证据的可采性。