텔레그램 메시지 수집
최근 모바일 기기 데이터를 수집할 때 텔레그램 데이터를 획득하지 못 하는 경우가 많아지고 있습니다.
최신 모델 휴대폰일 수록 풀 파일 시스템 이미징이 지원되지 않기 때문입니다.
사용자가 텔레그램 메신저를 사용할 경우, 풀 파일 시스템 이미징을 하지 않으면 메시지 내역을 획득하지 못 하는 경우가 많습니다.
이러한 경우 다른 방안이 필요한데, 네 가지 방법에 대해 알아보겠습니다.
1. 대화방 촬영을 통한 메시지 수집
비효율적이고 불편한 방법입니다.
말 그대로 사용자 단말기에서 텔레그램 어플을 열고, 채팅방을 띄운 뒤 스크롤하면서 일일이 카메라로 촬영하는 방식입니다.
사용자의 추가 협조를 기대하기 어려운 경우 눈물을 머금고 사용해야 하는 방법입니다.
2. PC 텔레그램 프로그램을 통한 메시지 수집
아주 다행스럽게도 PC 텔레그램 프로그램에서 채팅방 대화 내역을 내보내기 할 수 있는 기능이 존재합니다.
텔레그램 Mac OS 버전에는 대화내역 내보내기가 가능한 버전과 불가능한 버전이 따로 있으니 유의하시기 바랍니다.
PC 텔레그램을 실행하면 데이터를 동기화하기 위해 QR 코드 인증 절차를 거치게 됩니다.
모바일에서 텔레그램 앱을 실행 후, 설정 -> 기기 -> 데스크탑 기기 연결 메뉴를 가면 QR 코드를 촬영할 수 있는 화면이 나옵니다.
QR 코드를 인식했을 때, 2차 비밀번호가 설정되어 있으면 PC에 위와 같은 화면이 출력됩니다.
이 때, 계정 소유자의 2차 비밀번호 제공 협조를 받아 로그인해야 합니다.
PC에서 텔레그램 로그인에 성공할 경우 모바일 어플에 확인 메시지가 전송됩니다.
이 때, 연결한 새 기기의 정보가 포함되어 있습니다.
PC 텔레그램에서 설정 -> 고급 -> 텔레그램 데이터 내보내기 기능을 통해 모든 채팅방의 대화내역을 일괄적으로 내보낼 수 있습니다.
또는 각 채팅방 별로 우측 상단의 점3개 버튼을 눌러 채팅방 별로 대화내역을 내보낼 수 있습니다.
여기서 한 가지 문제가 발생합니다.
기존에 연결되어 있지 않은 새 기기에서 텔레그램 접속을 시도할 경우 보안 문제로 인해 24시간이 지나야만 대화내역 내보내기가 가능합니다.
먼저 모바일 앱에 전송된 메시지에서 허용을 눌러줍니다.
그리고 24시간 뒤에 PC에서 다시 대화내역 내보내기를 시도할 경우 정상적으로 기능이 동작됩니다.
하지만 이와 같은 경우, 한정된 수집 시간 내에 진행하기 어려우며 최소 하루의 시간이 더 소모된다는 단점이 있습니다.
또한 수집 대상이 여러 명일 경우 여러 대의 PC에서 각 계정 별로 로그인하고 위 과정을 진행해야 합니다.
(대화내역 내보내기 시도 후 재 로그인을 할 경우 다시 24시간을 기다려야 하기 때문)
하루를 기다려서 데이터를 수집하면 위와 같은 파일을 획득할 수 있습니다.
chats 폴더에는 채팅방 별로 폴더가 다시 구분되어 있습니다.
채팅방에 이미지가 포함되어 있을 경우 채팅방 폴더 내의 photos 폴더에 이미지가 저장됩니다.
최상위 폴더의 export_results.html 파일을 열면 위와 같은 화면을 볼 수 있습니다.
해당 파일은 html 형식으로 링크를 통해 내부 파일들에 접근할 수 있도록 되어 있습니다.
chats를 누르면 위와 같이 텔레그램 메신저를 사용하는 것과 같이 채팅방 목록이 열리고, 채팅방을 누르면 안의 대화내역을 확인할 수 있는 구조입니다.
연락처 데이터까지 내보내기 했을 경우 contacts 항목에서 데이터를 확인할 수 있습니다.
PC 프로그램을 통해 수집하는 경우 사용자의 2차 비밀번호를 알아야하고, 하루를 기다려야 한다는 단점이 존재하지만 출력물의 형태가 굉장히 좋다는 장점이 있습니다.
3. 웹 텔레그램을 통한 메시지 수집
텔레그램 웹 버전을 이용해서 메시지를 수집하는 방법입니다.
PC 프로그램과 동일하게 QR 코드 인증과 2차 비밀번호를 요구합니다.
대화방에 들어가서 인쇄(Ctrl+p, 우클릭 > 인쇄)를 하면 대화내역 및 사진을 PDF 파일로 가져올 수 있습니다.
종종 위와 같이 내역이 안 나올 수 있는데, 브라우저를 변경해서 재시도하거나 다른 기기에서 재시도하면 되는 경우를 확인했습니다.
장점으로 PC 로그인만 협조 받으면 비교적 빠른 시간 내에 데이터를 확보할 수 있습니다.
단점으로는 PDF이다 보니 사진, 동영상, 첨부 파일 등에 대한 식별 및 확보가 어렵습니다.
대화내역을 확인하는 데에는 문제가 없을 것 같습니다.
4. 풀 파일 시스템을 지원하는 모바일 기기를 통한 메시지 수집
마지막 방법은 풀 파일 시스템 이미징을 지원하는 모바일 기기가 필요합니다.
풀 파일 시스템 이미징 방식으로 획득하면 텔레그램 메시지 획득이 가능하기 때문에, 해당 이미징 방법이 지원되는 모바일 기기를 구하고, 협조를 받아 해당 모바일 기기에서 대상자의 텔레그램 계정으로 로그인하고 이미징하는 방식입니다.
장점으로는 원래 의도했던대로 텔레그램 데이터 수집이 가능하고, 단점으로 모바일 기기가 추가로 필요하다는 점, 채팅 내역 위주의 확인이 가능하다는 점이 있습니다.
한 가지 짚고 넘어가야 할 점으로는 대상자의 텔레그램 계정으로 로그인했을 때, 채팅방에서 스크롤을 올려서 과거의 메시지를 모두 로드하고나서 이미징을 해야 과거 메시지 데이터까지 획득된다는 이야기가 있으니 참고하시기 바랍니다.
'DFIR > Mobile Forensics' 카테고리의 다른 글
| 카카오톡 복호화 (KakaoTalk.db decrypt) (27) | 2021.10.29 |
|---|