Onderzoek mobiele apparaten

Gewiste Whatsapp, sms, call-logs, GPS, TomTom

Bel direct:
088 - 12 11 11 1

Whatsapp berichten terughalen van een Blackberry

Bij een onderzoek naar gegevens op een Blackberry naar Whatsapp berichten, troffen wij op een MicroSD kaartje in de telefoon een "MessageStore.db" aan.

De MessageStore.db stond in de map .\databases\WhatsApp\
De messageStore.db betreft een SQlite database.

Nadat de database is ingelezen in een SQlite browser, kun je via de tab "browse data" naar de tabel "messages" navigeren.

whatsapp sqlite 

Naast de tekst in de kolom Data, staat een kolom Timestamp.
De datum en tijd in deze kolom staat in Unix: Millisecond value

 

Data Timestamp
Some example text messagetext :) 1302442261665


De datum en tijd in de kolom Timestamp is te converteren middels DCode: 

blackberry timestamp 

Echter honderden of duizenden datums en tijden converteren met Dcode is niet praktisch.
Vanuit de Sqlite database browser kun je de kolommen exporteren naar Excel.
Vervolgens kun met de formule: 

=(CEL/86400000) + 25569 waarbij CEL staat voor de Cel waarin de te converteren waarde staat. Bijvoorbeeld L2(Kolom L, rij 2) 


De cel moet vervolgens de format "datum" krijgen.
De formule is opgebouwd uit:

Cel

Hier komt de datum en tijd waarde uit de whatsapp "Timestamp" kolom

86400000

86400000 milliseconden = 24 uur

25569

het verschil tussen de Excetijd 0 en de unixtijd 0 (01-01-1901 en 01-01-1970)