Erro de parsing dos chats do whatsapp

[afonsohca]

Bom dia,

Eu fiz a indexação de uma pasta de arquivos adquiridos pelo cellebrite de um celular (arquivos UFDR), porém os chats não estão aparecendo. Não tem a categoria CHATS.

No arquivo IPED-SearchApp.txt identifiquei a seguinte mensagem de erro:

2023-02-24 11:05:10 [ERROR] [parsers.whatsapp.WhatsAppParser] SHA-256 is disabled. WhatsAppParser needs it to link attachments to chats!

Olhei na wiki e não encontrei a provável solução para este problema. Grato se puder me ajudar!

[wladimirleite]

SHA-256 is used to link files sent/received through WhatsApp to files present in the case.
You just need to enable it in HashTaskConfig.txt, in the profile you are using.

But that is not related to chats not being displayed.
Opening the UFDR with CellebriteReader, are the chats being displayed there?

[wladimirleite]

I see.
Well, I am not sure what can be the problem. Two things that I would try:

• Look at the processing log, and see if there are errors related to the WhatsApp parser.
• Change in ParsingTaskConfig.txt the option "phoneParsersToUse" to external (or all), process the UFDR again, and see if that makes the chats visible.

[afonsohca]

Nos logs, não há nenhum aviso de erro de processamento do whatsapp. Alterei o valor da opção "phoneParsersToUse" para "all" e vou reprocessar e fazer o teste.

Veremos o que vai dar.

[lfcnassif]

On Cellebrite software, have you exported to UFDR report all database files? IPED needs the original WhatsApp database (msgstore.db in Android or ChatStorage.sqlite in iOS) to decode it and extract the chats/messages.

[afonsohca]

No software Cellebrite, você exportou para o relatório UFDR todos os arquivos de banco de dados? O IPED precisa do banco de dados original do WhatsApp (msgstore.db no Android ou ChatStorage.sqlite no iOS) para decodificá-lo e extrair os bate-papos / mensagens.

Sim, esse diretório está no arquivo que eu processei. Veja:

[lfcnassif]

IPED needs the msgstore.db original file, not a folder with the same name. Please check into the IPED case if that file exists. If yes, please send the full processing log.

[afonsohca]

Boa tarde,

Deixando aqui a solução.

Eu estava utilizando o IPEDIAR para processar a evidência que já havia sido processada pelo Cellebrite anteriormente.

Porém, no momento em que eu apontava a pasta de origem, eu fazia a indicação do diretório em que o arquivo UFDR estava.

Fiz diferente. Dessa vez processei valendo-se da linha de comando no cmd e ao invés de apontar a pasta de origem o diretório todo, apontei diretamente o arquivo UFDR e deu certo!!!

[lfcnassif]

Eu estava utilizando o IPEDIAR

So maybe it would have been better asking the authors of that tool, it is not supported by us, we don't know what changes it does in IPED configurations, how it calls IPED and if it changes or not the results after processing.

Fiz diferente. Dessa vez processei valendo-se da linha de comando no cmd e ao invés de apontar a pasta de origem o diretório todo, apontei diretamente o arquivo UFDR e deu certo!!!

Thanks for sharing your solution. But see there is a public notice about this published months ago:
#1272

We recommend all users of IPED to read all release notes and public announcements.