Gdipfontcachev1 dat что это за файл

Обновлено: 15.01.2025

gdipfontcachev1.dat является опасным троянским вирусом, который тайно атакует ваш компьютер и создает серьезную угрозу для безопасности компьютера, а также для вашей конфиденциальности. После успешного вторжения он вносит в фоновые виды вредоносных действий и сеет хаос на машине. Изначально он вносит критические изменения в параметры системы по умолчанию путем введения порочных кодов в редакторах реестра. При этом он автоматически активируется при каждом запуске компьютера. Однако эта деятельность приводит к неэффективному функционированию системы. Компьютер начинает работать очень странно и грубо. Многие приложения и драйверы, включая командную строку, диспетчер задач, MS Office и другие установленные приложения, прекращают работу.

gdipfontcachev1.dat следит за вашими действиями в Интернете, например, с какими страницами вы посещаете, какие ссылки вы открываете, какие поисковые запросы используются и т. д. Он собирает важные сведения, относящиеся к вашим предпочтениям, и направляет их разработчикам для рекламной кампании. После этого на экране компьютера будут выбрасываться бесконечные раздражающие рекламные объявления в течение дня, который резко разрушает ваши веб-сеансы. Эти рекламные материалы работают по механизму оплаты за щелчок и получают прибыль для разработчиков при выборе. Однако щелчок на них может быть очень рискованным, поскольку они связаны с неприятными доменами и ведут к очень вредоносным веб-страницам после их касания.

Полный метод для gdipfontcachev1.dat с зараженных компьютеров

Метод а: Удаление вредоносных угроз с помощью ручной руководство gdipfontcachev1.dat (Технические только для пользователей)

Метод б: Устранение подозрительных угрозы автоматического gdipfontcachev1.dat решение (для как технических & нетехнических пользователей)

Метод а: как вручную удалить gdipfontcachev1.dat с Windows PC

Прежде всего перезагрузите компьютер в безопасном режиме. Убедитесь, что вы постоянно нажмите клавишу F8 при загрузке системы и выберите пункт «Безопасный режим». Таким образом, ваш компьютер будет работать только необходимые запуска служб и исключает все ненужные тяжелый процесс.

Нажмите сочетание клавиш Ctrl + Alt + Delete вообще, чтобы открыть диспетчер задач. Найдите процесс, связанный с gdipfontcachev1.dat и закончить свою задачу, нажав на опцию «Завершить задачу».

Откройте «Run» вариант и введите команду regedit для открытия редактора реестра. Ищите поврежденные и вредоносные записи и удалить каждый из них тщательно.

Откройте панель управления и нажмите на Добавить/удалить программу. Поиск подозрительных программ, которые имеет отношения с gdipfontcachev1.dat и удаленным их мгновенно.

Поиск и сканировать все файлы и папки, связанные с gdipfontcachev1.dat и мгновенно удалить их по одному

Исключить gdipfontcachev1.dat из всех версий Windows

Для Windows XP:

На сначала нажмите кнопку Пуск и затем перейдите к меню и выберите Панель управления

Следующий выберите Установка и удаление программ

Затем найти связанные файлы и нажмите Удалить кнопку

Для Windows 7/Vista

На сначала нажмите кнопку Пуск и выберите Панель управления

Затем выберите программы и компоненты, а затем выберите удалить параметр программы

Поиск зараженных предметов, связанных с этой угрозой, гадкие

Наконец, нажмите на удалить кнопку

Для Windows 8/8.1

Сначала щелкните правой кнопкой мыши на левом углу рабочего экрана

Далее выберите для параметра панели управления

Нажмите на удалить параметр программы в разделе программы и компоненты

Узнайте все инфекционные предметы, связанные с этой угрозой

Наконец, нажмите на кнопку Удалить

Метод б: Как удалить gdipfontcachev1.dat автоматически с помощью инструмента gdipfontcachev1.dat

Автоматический инструмент gdipfontcachev1.datgdipfontcachev1.dat доказал свое наследие и преданность для обеспечения реального времени защиты от заражения тяжелой вредоносным программным обеспечением. Обнаружения шпионских программ, сканирование, удаление и др.все сделано очень согласованно, и следовательно, это первый выбор мире пользователей. Это всегда один шаг впереди угроз вредоносных программ, поскольку он получает регулярные обновления, касающиеся программы сканирования и алгоритмов. С помощью этого инструмента оптимизации хлопот бесплатно премиум система может легко получить безопасности со всеми последних вредоносных программ и инфекции.

Одна из лучших особенностей gdipfontcachev1.dat средство gdipfontcachev1.dat является обеспечение защиты от интернет-хакеров с защитой DNS что означает, что неполадка не незаконного доступа по IP-адресу веб-сайта. Общей безопасности и брандмауэр становится совершенно нетронутыми и мгновенно блокирует вредоносные веб-сайты, угрозы и фишинг атак домена и так далее.Источник атаки вредоносных программ полностью заблокирован, и он гарантирует, что такие угрозы не могут атаковать отмеченные ПК в будущем. Она обеспечивает надежную защиту всех опасных вредоносных программ, руткитов, троянских и так далее.

Руководство пользователя для gdipfontcachev1.dat’Warning: Hyper-V Manager’ с инструментом автоматического gdipfontcachev1.dat

Шаг 1: Загрузите и установите автоматический инструмент в вашем ПК Windows. Начните процесс сканирования, нажав на опцию «Сканировать компьютер». Этот один клик будет сканировать весь жесткий диск и обнаружить все файлы и записи, относящиеся к gdipfontcachev1.dat.

Шаг 2: Custom Scan: это специальная функция, которая используется, если вы хотите сканировать определенной части компьютера, такие как сканирование руткитов, файлы браузера, системной памяти и особый раздел жесткого диска и так далее. Это как быстрое сканирование, которое экономит время и является столь же эффективным, как полное сканирование.

Шаг 3: Защита системы: Эта функция является все в одной безопасности функции для управления процессом, управления Active X, раздел реестра и так далее. Он блокирует все виды вредоносных записей и обеспечивает полную гарантию от нежелательного изменения внутренних параметров.

Шаг 4: Help Desk: Эта функция может прийти активно, когда вы все еще не удовлетворены производительность вашего ПК даже после завершения сканирования. Здесь пользователь может соединиться с удаленной технической службы для заказной помощи в решении конкретных проблем. Системы и пользовательские исправления системы являются ее мощной защиты механизма.

Шаг 5: Сеть караул: это специальная функция для плавного сетевого подключения и защиты от нежелательного изменения и несанкционированного доступа. Он будет защищать параметры DNS и размещение файлов.

Шаг 6: Проверка времени планировщика: Эта функция, как настроить планировщик, который позволяет пользователю сканировать их системы в заданное время, на основе ежедневной, еженедельной или ежемесячной основе.

Как защитить компьютер от атак gdipfontcachev1.dat в будущем

Для того, чтобы избежать инфекции gdipfontcachev1.dat, это очень важно для практики безопасного просмотра. Было замечено, что в большинстве случаев, эти виды паразитов управляет их записи через Интернет. Она эксплуатирует уязвимости и пытается привлечь дополнительных вредоносных программ инфекции от фона. Так что по-прежнему осторожны, пока компьютер подключен с Интернетом и практике некоторые из метода простой профилактики как указано ниже.

Остерегайтесь неизвестные подозрительные ссылки и избегать нажатия на них.
Не загружайте неизвестных прибыльный freeware, потому что они, как правило, содержат скрытые коды с ними.
Не получить манипулировать с невероятными предложениями, торговые преимущества, Лаки схем или победитель мошенничества и др.
Не загружайте подозрительные плагины и дополнения, которые утверждает, предоставляют дополнительные возможности бесплатно, но на самом деле загружает пакеты вредоносного программного обеспечения.
Отключите все дополнительные программы, которые используются очень меньше, таких как Active X, подозрительные файлы cookie и расширение и др.
Удалить временные файлы, записи реестра неизвестных, печенье и др. на регулярные промежутки времени.

Удалите gdipfontcachev1.dat, сразу же после того, как он получает обнаружили, как это не только ограничивает производительность системы, но и компромиссы с безопасностью данных и приводит к личной кражи личных данных.

Решение C: шаги для пользователей, которые сталкиваются с проблемами gdipfontcachev1.dat в Mac OS

В случае, если ваш Mac OS был инфицирован с gdipfontcachev1.dat, и вы ищете для мгновенного решения затем MacKeeper является одним из мощных приложений вы можете выбрать. Он способен дать вам простое и быстрое решение для лечения проблем, связанных с этой инфекционной программами.Используя инструмент, вы можете сделать ваш Mac PC быстрый, чистый и безопасный от всех видов вредоносных угроз.Он имеет построить большую репутацию среди пользователей в очень короткий промежуток времени из-за его быстрого и эффективного gdipfontcachev1.dat процедуры. Ниже приведены шаги, вы должны следовать, чтобы установить MacKeeper и удалить gdipfontcachev1.dat на Mac OS:

Шаг 1: Сначала вам необходимо скачать и установить MacKeeper ресурсном по данной ссылке

Шаг 3: Если параметр найти & Fix не решает все ваши вопросы, вы можете воспользоваться Geek по требованию чтобы получить помощь от технического эксперта.

MacKeeper является передовой инструмент, который поставляется вместе с 16 другими приложениями. Вы можете установить несколько других необходимых инструментов, которые будут улучшить всю работу Mac и помогает вам несколькими способами. Ниже приведены некоторые большие функции поставляется в комплекте с ним:

Восстановление файлов: С помощью этой функции, вы можете восстановить ваши важные файлы, которые были ошибочно удалены из корзины.

Файлы Finder: Вы можете легко собрать потерянные или неправильно файлы в Mac, используя эту функцию MacKeeper

Обеспеченность интернета: Эта функция помогает ваш Mac от всех видов вредоносных программ, таких как рекламное по, троянов, руткитов, бэкдор ПК, червей и других. Он также защищает Mach от схем фишинга, кражи личных данных и несколько других Интернет мошенничества.

Анти-Вор: Если ваш Mac получает украден, вы можете отслеживать его местоположение и может также сделать снимок вор с функцией iSight

Использование места на диске: это поможет вам увидеть размер файлов и папок на жестком диске и держит вас в курсе файлов, принимая огромный жесткий диск ресурса.

Разработка Office 2007 компанией Microsoft послужила толчком для создания последней версии файла GDIPFONTCACHEV1.DAT. Он также известен как файл Game Data (расширение DAT), который классифицируется как файл Библиотека динамической компоновки (Game Data).

Выпуск GDIPFONTCACHEV1.DAT для Windows состоялся 11/08/2006 в Windows Vista. Последней версией файла для Office 2007 является v2007, выпущенная 01/30/2007. Файл GDIPFONTCACHEV1.DAT включен в Office 2007, Office 2003 и Windows Vista.

В этой статье приведены подробные сведения о GDIPFONTCACHEV1.DAT, руководство по устранению неполадок с файлом DAT и список версий, доступных для бесплатной загрузки.

Совместимость с Windows 10, 8, 7, Vista, XP и 2000

Средняя оценка пользователей

Сведения о разработчике и ПО
Программа:	Office 2007
Разработчик:	Microsoft
Программное обеспечение:	Office
Версия ПО:	2007

Сведения о файле
Размер файла (байты):	48600
Дата первоначального файла:	04/24/2017
Дата последнего файла:	05/10/2017

Информация о файле	Описание
Размер файла:	47 kB
Дата и время изменения файла:	2017:05:10 21:10:56+00:00
Дата и время изменения индексного дескриптора файлов:	2018:05:23 20:22:36+00:00
Ошибка:	Unknown file type

✻ Фрагменты данных файлов предоставлены участником Exiftool (Phil Harvey) и распространяются под лицензией Perl Artistic.

Ошибки библиотеки динамической компоновки GDIPFONTCACHEV1.DAT

Файл GDIPFONTCACHEV1.DAT считается разновидностью DLL-файла. DLL-файлы, такие как GDIPFONTCACHEV1.DAT, по сути являются справочником, хранящим информацию и инструкции для исполняемых файлов (EXE-файлов), например wisptis.exe. Данные файлы были созданы для того, чтобы различные программы (например, Office) имели общий доступ к файлу GDIPFONTCACHEV1.DAT для более эффективного распределения памяти, что в свою очередь способствует повышению быстродействия компьютера.

Нарушение прав доступа по адресу — GDIPFONTCACHEV1.DAT.
Не удается найти GDIPFONTCACHEV1.DAT.
Не удается найти C:\Users\Bill\AppData\Local\GDIPFONTCACHEV1.DAT.
Не удается зарегистрировать GDIPFONTCACHEV1.DAT.
Не удается запустить Office. Отсутствует требуемый компонент: GDIPFONTCACHEV1.DAT. Повторите установку Office.
Не удалось загрузить GDIPFONTCACHEV1.DAT.
Не удалось запустить приложение, потому что не найден GDIPFONTCACHEV1.DAT.
Файл GDIPFONTCACHEV1.DAT отсутствует или поврежден.
Не удалось запустить это приложение, потому что не найден GDIPFONTCACHEV1.DAT. Попробуйте переустановить программу, чтобы устранить эту проблему.

Файл GDIPFONTCACHEV1.DAT может отсутствовать из-за случайного удаления, быть удаленным другой программой как общий файл (общий с Office) или быть удаленным в результате заражения вредоносным программным обеспечением. Кроме того, повреждение файла GDIPFONTCACHEV1.DAT может быть вызвано отключением питания при загрузке Office, сбоем системы при загрузке GDIPFONTCACHEV1.DAT, наличием плохих секторов на запоминающем устройстве (обычно это основной жесткий диск) или, как нередко бывает, заражением вредоносным программным обеспечением. Таким образом, крайне важно, чтобы антивирус постоянно поддерживался в актуальном состоянии и регулярно проводил сканирование системы.

Шаг 1. Восстановите компьютер до последней точки восстановления, «моментального снимка» или образа резервной копии, которые предшествуют появлению ошибки.

Чтобы начать восстановление системы (Windows XP, Vista, 7, 8 и 10):

Если на этапе 1 не удается устранить ошибку GDIPFONTCACHEV1.DAT, перейдите к шагу 2 ниже.

Шаг 2. Если вы недавно установили приложение Office (или схожее программное обеспечение), удалите его, затем попробуйте переустановить Office.

Чтобы удалить программное обеспечение Office, выполните следующие инструкции (Windows XP, Vista, 7, 8 и 10):

После полного удаления приложения следует перезагрузить ПК и заново установить Office.

Если на этапе 2 также не удается устранить ошибку GDIPFONTCACHEV1.DAT, перейдите к шагу 3 ниже.

Шаг 3. Выполните обновление Windows.

Если ни один из предыдущих трех шагов по устранению неполадок не разрешил проблему, можно попробовать более агрессивный подход (примечание: не рекомендуется пользователям ПК начального уровня), загрузив и заменив соответствующую версию файла GDIPFONTCACHEV1.DAT. Мы храним полную базу данных файлов GDIPFONTCACHEV1.DAT со 100%-ной гарантией отсутствия вредоносного программного обеспечения для любой применимой версии Office . Чтобы загрузить и правильно заменить файл, выполните следующие действия:

Windows Vista: C:\Windows\System32\config\systemprofile\AppData\Local\
Windows Vista: C:\Users\Bill\AppData\Local\
Windows XP: C:\Documents and Settings\Bill\Local Settings\Application Data\

Если этот последний шаг оказался безрезультативным и ошибка по-прежнему не устранена, единственно возможным вариантом остается выполнение чистой установки Windows Vista.

СОВЕТ ОТ СПЕЦИАЛИСТА: Мы должны подчеркнуть, что переустановка Windows является достаточно длительной и сложной задачей для решения проблем, связанных с GDIPFONTCACHEV1.DAT. Во избежание потери данных следует убедиться, что перед началом процесса вы создали резервные копии всех важных документов, изображений, установщиков программного обеспечения и других персональных данных. Если вы в настоящее время не создаете резервных копий своих данных, вам необходимо сделать это немедленно.

Файл был разработан Microsoft для использования с программным обеспечением Office. Здесь вы найдете подробную информацию о файле и инструкции, как действовать в случае ошибок, связанных с GDIPFONTCACHEV1.DAT на вашем устройстве. Вы также можете скачать файл GDIPFONTCACHEV1.DAT, совместимый с устройствами Windows Vista, Windows Vista, Windows XP, которые (скорее всего) позволят решить проблему.

Совместим с: Windows Vista, Windows Vista, Windows XP

Исправьте ошибки GDIPFONTCACHEV1.DAT

Информация о файле

Основная информация
Имя файла	GDIPFONTCACHEV1.DAT
Расширение файла	DAT
Тип	Dynamic Link Library
Описание	Game Data

Программного обеспечения
программа	Office 2007
Программного обеспечения	Office
автор	Microsoft
Версия программного обеспечения	2007

подробности
Размер файла	48600
Самый старый файл	2017-04-24
Последний файл	2017-05-10

Наиболее распространенные проблемы с файлом GDIPFONTCACHEV1.DAT

GDIPFONTCACHEV1.DAT поврежден
GDIPFONTCACHEV1.DAT не может быть расположен
Ошибка выполнения - GDIPFONTCACHEV1.DAT
Ошибка файла GDIPFONTCACHEV1.DAT
Файл GDIPFONTCACHEV1.DAT не может быть загружен. Модуль не найден
невозможно зарегистрировать файл GDIPFONTCACHEV1.DAT
Файл GDIPFONTCACHEV1.DAT не может быть загружен
Файл GDIPFONTCACHEV1.DAT не существует

GDIPFONTCACHEV1.DAT

Не удалось запустить приложение, так как отсутствует файл GDIPFONTCACHEV1.DAT. Переустановите приложение, чтобы решить проблему.

Проблемы, связанные с GDIPFONTCACHEV1.DAT, могут решаться различными способами. Некоторые методы предназначены только для опытных пользователей. Если вы не уверены в своих силах, мы советуем обратиться к специалисту. К исправлению ошибок в файле GDIPFONTCACHEV1.DAT следует подходить с особой осторожностью, поскольку любые ошибки могут привести к нестабильной или некорректно работающей системе. Если у вас есть необходимые навыки, пожалуйста, продолжайте.

Помните, прежде чем предпринимать какие-либо действия, связанные с системными файлами, сделайте резервную копию ваших данных!

Шаг 1.. Сканирование компьютера на наличие вредоносных программ.

Файлы Windows обычно подвергаются атаке со стороны вредоносного программного обеспечения, которое не позволяет им работать должным образом. Первым шагом в решении проблем с файлом GDIPFONTCACHEV1.DAT или любыми другими системными файлами Windows должно быть сканирование системы на наличие вредоносных программ с использованием антивирусного инструмента.

Если по какой-либо причине в вашей системе еще не установлено антивирусное программное обеспечение, вы должны сделать это немедленно. Незащищенная система не только является источником ошибок в файлах, но, что более важно, делает вашу систему уязвимой для многих опасностей. Если вы не знаете, какой антивирусный инструмент выбрать, обратитесь к этой статье Википедии - сравнение антивирусного программного обеспечения.

Шаг 2.. Обновите систему и драйверы.

Установка соответствующих исправлений и обновлений Microsoft Windows может решить ваши проблемы, связанные с файлом GDIPFONTCACHEV1.DAT. Используйте специальный инструмент Windows для выполнения обновления.

Откройте меню «Пуск» в Windows.
Введите «Центр обновления Windows» в поле поиска.
Выберите подходящую программу (название может отличаться в зависимости от версии вашей системы)
Проверьте, обновлена ли ваша система. Если в списке есть непримененные обновления, немедленно установите их.
После завершения обновления перезагрузите компьютер, чтобы завершить процесс.

Помимо обновления системы рекомендуется установить последние версии драйверов устройств, так как драйверы могут влиять на правильную работу GDIPFONTCACHEV1.DAT или других системных файлов. Для этого перейдите на веб-сайт производителя вашего компьютера или устройства, где вы найдете информацию о последних обновлениях драйверов.

Шаг 3.. Используйте средство проверки системных файлов (SFC).

Проверка системных файлов - это инструмент Microsoft Windows. Как следует из названия, инструмент используется для идентификации и адресации ошибок, связанных с системным файлом, в том числе связанных с файлом GDIPFONTCACHEV1.DAT. После обнаружения ошибки, связанной с файлом %fileextension%, программа пытается автоматически заменить файл GDIPFONTCACHEV1.DAT на исправно работающую версию. Чтобы использовать инструмент:

Откройте меню «Пуск» в Windows.
Введите "cmd" в поле поиска
Найдите результат «Командная строка» - пока не запускайте его:
Нажмите правую кнопку мыши и выберите «Запуск от имени администратора»
Введите "sfc / scannow" в командной строке, чтобы запустить программу, и следуйте инструкциям.

Шаг 4. Восстановление системы Windows.

Другой подход заключается в восстановлении системы до предыдущего состояния до того, как произошла ошибка файла GDIPFONTCACHEV1.DAT. Чтобы восстановить вашу систему, следуйте инструкциям ниже

Если все вышеупомянутые методы завершились неудачно и проблема с файлом GDIPFONTCACHEV1.DAT не была решена, перейдите к следующему шагу. Помните, что следующие шаги предназначены только для опытных пользователей

Загрузите и замените файл GDIPFONTCACHEV1.DAT

Перейдите в папку, в которой должен находиться файл, и вставьте загруженный файл. Ниже приведен список путей к каталогу файлов GDIPFONTCACHEV1.DAT.

Windows Vista: C:\Windows\System32\config\systemprofile\AppData\Local\
Windows Vista: C:\Windows\System32\config\systemprofile\AppData\Local\
Windows XP: C:\Documents and Settings\Bill\Local Settings\Application Data\

Если действия не помогли решить проблему с файлом GDIPFONTCACHEV1.DAT, обратитесь к профессионалу. Существует вероятность того, что ошибка (и) может быть связана с устройством и, следовательно, должна быть устранена на аппаратном уровне. Может потребоваться новая установка операционной системы - неправильный процесс установки системы может привести к потере данных.

Хотите узнать, какие типы криминалистических артефактов WhatsApp существуют в различных операционных системах и где именно они могут быть обнаружены — тогда вам сюда. Этой статьей специалист Лаборатории компьютерной криминалистики Group-IB Игорь Михайлов открывает серию публикаций о криминалистическом исследовании WhatsApp и о том, какие сведения можно получить при анализе устройства.

Сразу отметим, что в разных операционных системах хранятся различные типы артефактов WhatsApp, и если из одного устройства исследователь может извлечь определенные типы данных WhatsApp, это совсем не означает, что подобные типы данных можно извлечь из другого устройства. Например, если изымается системный блок под управлением ОС Windows, то на его дисках, вероятно, не будут обнаружены чаты WhatsApp (исключение составляют резервные копии iOS-устройств, которые могут быть обнаружены на этих же накопителях). При изъятии ноутбуков и мобильных устройств будут свои особенности. Поговорим об этом поподробнее.

Артефакты WhatsApp в Android-устройстве

Для того, чтобы извлечь артефакты WhatsApp из устройства под управлением ОС Android, исследователь должен иметь права суперпользователя (‘root’) на исследуемом устройстве или иметь возможность иным способом извлечь физический дамп памяти устройства, или его файловую систему (например, используя программные уязвимости конкретного мобильного устройства).

Файлы приложения располагаются в памяти телефона в разделе, в котором сохраняются данные пользователя. Как правило, этот раздел носит имя ‘userdata’. Подкаталоги и файлы программы располагаются по пути: ‘/data/data/com.whatsapp/’.

Основными файлами, которые содержат криминалистические артефакты WhatsApp в ОС Android являются базы данных ‘wa.db’ и ‘msgstore.db’.

В базе данных ‘wa.db’ содержится полный список контактов пользователя WhatsApp, включая номер телефона, отображаемое имя, временные метки и любую другую информацию, указанную при регистрации в WhatsApp. Файл ‘wa.db’ располагается по пути: ‘/data/data/com.whatsapp/databases/’ и имеет следующую структуру:

Наиболее интересными таблицами в базе данных ‘wa.db’ для исследователя являются:

Внешний вид таблицы:

Наиболее интересными таблицами в файле ‘msgstore.db’ для исследователя являются:

Внешний вид таблицы:

Данный список полей не является исчерпывающим. Для разных версий WhatsApp часть полей могут присутствовать или отсутствовать. Дополнительно могут присутствовать поля ‘media_enc_hash’, ‘edit_version’, ‘payment_transaction_id’ и т.д.

Внешний вид таблицы:

Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/’. Содержит полученные аудиофайлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Audio/Sent/’. Содержит отправленные аудиофайлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Images/’. Содержит полученные графические файлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Images/Sent/’. Содержит отправленные графические файлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Video/’. Содержит полученные видеофайлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Video/Sent/’. Содержит отправленные видеофайлы.
Каталог ‘/data/media/0/WhatsApp/Media/WhatsApp Profile Photos/’. Содержит графические файлы, ассоциированные с владельцем аккаунта WhatsApp.
Для экономии места в памяти Android-смартфона часть данных WhatsApp может храниться на SD-карте. На SD-карте, в корневом каталоге, расположен каталог ‘WhatsApp’, где могут быть найдены следующие артефакты этой программы:

Файлы, находящиеся в подкаталоге ‘Databases’:

Особенности хранения данных в некоторых моделях мобильных устройств

В некоторых моделях мобильных устройств под управлением ОС Android возможно хранение артефактов WhatsApp в ином месте. Это обусловлено изменением пространства хранения данных приложений системным программным обеспечением мобильного устройства. Так, например, в мобильных устройствах Xiaomi есть функция создания второго рабочего пространства («SecondSpace»). При активации данной функции происходит изменение месторасположения данных. Так, если в обычном мобильном устройстве под управлением ОС Android данные пользователя хранятся в каталоге ‘/data/user/0/’ (что является ссылкой на привычные ‘/data/data/’), то во втором рабочем пространстве данные приложений хранятся в каталоге ‘/data/user/10/’. То есть, на примере месторасположения файла ‘wa.db’:

в обычном смартфоне под управлением ОС Android: /data/user/0/com.whatsapp/databases/wa.db’ (что эквивалентно ‘/data/data/com.whatsapp/databases/wa.db’);
во втором рабочем пространстве смартфона Xiaomi: ‘/data/user/10/com.whatsapp/databases/wa.db’.

Артефакты WhatsApp в iOS-устройстве

Структура ‘ChatStorage.sqlite’:

Наиболее информативными в базе данных ‘ChatStorage.sqlite’ являются таблицы ‘ZWAMESSAGE’ и ‘ZWAMEDIAITEM’.

Внешний вид таблицы ‘ZWAMESSAGE’:

Внешний вид таблицы ‘ZWAMEDIAITEM’:

Другими интересными таблицами базы данных ‘ChatStorage.sqlite’ являются:

Также нужно обращать внимание на следующие каталоги:

Артефакты WhatsApp в Windows

‘C:\Program Files (x86)\WhatsApp\’
‘C:\Users\%User profile%\ AppData\Local\WhatsApp\’
‘C:\Users\%User profile%\ AppData\Local\VirtualStore\ Program Files (x86)\WhatsApp\’

В каталоге ‘C:\Users\%User profile%\ AppData\Roaming\WhatsApp\’ находится несколько подкаталогов:

Файл ‘main-process.log’ содержит информацию о работе программы WhatsApp.

Подкаталог ‘databases’ содержит файл ‘Databases.db’, но этот файл не содержит никакой информации о чатах или контактах.

Наиболее интересными с криминалистической точки зрения являются файлы, находящиеся в каталоге ‘Cache’. В основном это файлы с именами ‘f_*******’ (где * — число от 0 до 9), содержащие зашифрованные мультимедиа-файлы и документы, но среди них встречаются и незашифрованные файлы. Особый интерес представляют файлы ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’, находящиеся в этом же подкаталоге. Файлы ‘data_0’, ‘data_1’, ‘data_3’ содержат внешние ссылки на передаваемые зашифрованные мультимедиа-файлы и документы.

Также файл ‘data_3’ может содержать графические файлы.

Файл ‘data_2’ содержит аватары контактов (могут быть восстановлены поиском по заголовкам файлов).

Аватары, содержащиеся в файле ‘data_2’:

Таким образом, в памяти компьютера нельзя найти сами чаты, но можно найти:

мультимедиа-файлы;
документы, передававшиеся с помощью WhatsApp;
информацию о контактах владельца аккаунта.

Артефакты WhatsApp в MacOS

В MacOS можно найти типы артефактов WhatsApp, подобные тем, которые имеются в ОС Windows.

Файлы программы находятся каталогах:

‘C:\Applications\WhatsApp.app\’
‘C:\Applications\._WhatsApp.app\’
‘C:\Users\%User profile%\Library\Preferences\’
‘C:\Users\%User profile%\Library\Logs\WhatsApp\’
‘C:\Users\%User profile%\Library\Saved Application State\WhatsApp.savedState\’
‘C:\Users\%User profile%\Library\Application Scripts\’
‘C:\Users\%User profile%\Library\Application Support\CloudDocs\’
‘C:\Users\%User profile%\Library\Application Support\WhatsApp.ShipIt\’
‘C:\Users\%User profile%\Library\Containers\com.rockysandstudio.app-for-whatsapp\’
‘C:\Users\%User profile%\ Library\ Mobile Documents\ <текстовая переменная> WhatsApp\ Accounts’
В этом каталоге находятся подкаталоги, имена которых представляют собой номера телефонов, ассоциированных с владельцем аккаунта WhatsApp.
‘C:\Users\%User profile%\Library\Caches\WhatsApp.ShipIt\’
В этом каталоге содержится информация об инсталляции программы.
‘C:\Users\%User profile%\Pictures\Медиатека iPhoto.photolibrary\Masters\’, ‘C:\Users\%User profile%\Pictures\Медиатека iPhoto.photolibrary\Thumbnails\’
В этих каталогах содержатся служебные файлы программы и, в том числе, фотографии и миниатюры контактов WhatsApp.
‘C:\Users\%User profile%\Library\Caches\WhatsApp\’
В этом каталоге находятся несколько SQLite-баз, которые используются для кэширования данных.
‘C:\Users\%User profile%\Library\Application Support\WhatsApp\’
В этом каталоге находится несколько подкаталогов:

В каталоге ‘C:\Users\%User profile%\Library\Application Support\WhatsApp\Cache\’ находятся файлы ‘data_0’, ‘data_1’, ‘data_2’, ‘data_3’ и файлы с именами ‘f_*******’ (где * — число от 0 до 9). Информация о том, какие сведения содержат эти файлы, описана в разделе «Артефакты WhatsApp в Windows».

В каталоге ‘C:\Users\%User profile%\Library\Application Support\WhatsApp\IndexedDB\’ могут содержаться мультимедийные файлы (файлы не имеют расширений).

Forensic analysis of WhatsApp Messenger on Android smartphones, by Cosimo Anglano, 2014.
Whatsapp Forensics: Eksplorasi sistem berkas dan basis data pada aplikasi Android dan iOS by Ahmad Pratama, 2014.

В следующих статьях этой серии:

Статья, в которой будет приведена информация о том, каким образом происходит генерация ключа шифрования WhatsApp, и даны практические примеры, показывающие, как произвести расшифровку зашифрованных баз этого приложения. Извлечение данных WhatsApp из облачных хранилищ Статья, в которой мы расскажем, какие данные WhatsApp хранятся в облаках, и опишем методы извлечения этих данных из облачных хранилищ. Извлечение данных WhatsApp: практические примеры Статья, в которой будет пошагово описано, какими программами и как произвести извлечение данных WhatsApp из различных устройств.

В Group-IB знают о киберпреступности всё, но рассказывают самое интересное.

Компания Group-IB — один из ведущих разработчиков решений для детектирования и предотвращения кибератак, выявления мошенничества и защиты интеллектуальной собственности в сети со штаб-квартирой в Сингапуре.

Читайте также: