Analisis forense a whatsapp (cracking msgstore.db.crypt)

Los mensajes, contactos y configuraciones de Whatsapp se guardan en un archivo con formato de SQlLite. Anteriormente estos archivos estaban sin cifrar, esto hasta un tiempo atrás que con una actualización se cifraron estos archivos, Esto para evitar que cuando se te pierda o te roben el celular no puedan tener acceso a tus conversaciones.

Pero siempre hay como o el porqué buscarle para ver información (la que necesitamos) existen dos casos en donde podemos acceder a estas bases de datos:

Caso IOS: En este caso el archivo esta en el directorio:

"(ID de App)/Documents/ChatStorage.sqlite"

CASO ANDROID: En este caso el archivo está en :

/com.whatsapp/databases/msgstore.db.crypt 
 

y existe otros archivos "backup" que se guardan en la tarjeta de memoria externa

DESCIFRADO
Estas bases de datos en SQLite estan cifradas en AES-192-ECB  que a mi parecer si es un cifrado muy bueno, lo maló/bueno  es que el cifrado a los archivos siempre lo hacen con una misma llave:

"346a23652a46392b4d73257c67317e352e3372482177652c"
en donde no incluye ningún factor único del celular, por lo que podemos acceder a los mensajes de cualquier celular de la misma forma en pocos segundos xDD

Para descifrar estos archivos necesitamos OpenSSL , en mi caso lo tengo ya instalado en mi Distro linux, tan solo especificando el archivo de entrada "-in"  y el de salida "-out" podemos hacerlo con el siguiente comando:

openssl enc -d  -aes-192-ecb -in msgstore.db.crypt -out msgstore.db.sqlite -K 346a23652a46392b4d73257c67317e352e3372482177652c
Una vez descifrado este archivo , podemos acceder mediante SQLite, en mi caso desde el shell de linux:

#apt-get install sqlite3              --> instalamos SQLite3

#sqlite3 msgstore.db.sqlite      --> Accedemos a la base de datos

sqlite> .databases          --> vemos las bases de datos
sqlite> .tables                 --> vemos las tablas
chat_list  messages        
sqlite> select * from messages;  --> vemos los mensajes guardados


Y pues de esta forma podemos ver los mensajes de whatsapp aún y cuando se hayan borrado en la interfaz gráfica del celular.

Los creadores de Xtract (Fabio Sangiacomo and Martina Weidner) encontraron esto en Diciembre del 2011, sacaron su herramienta y un excelente documento explicando como la obtuvieron:

h**p://forum.xda-developers.com/showthread.php?p=24569917

h**ps://code.google.com/p/hotoloti/downloads/list
Aqui el documento con excelente explicación:

h**ps://www.os3.nl/_media/2011-2012/students/ssn_project_report.pdf
Espero les sirva este post como información importante que algún día pueden llegar a utilizar xDD

UPDATE:

Nota:  al parecer los blackberry no se puede con este procedimiento, ya que no tiene el mismo código de cifrado. Les pongo un mensaje si encuentro como resolver esto.