移动设备应用取证新方法：Argus系统动态分析与Aardwolf数据库共享平台

针对移动应用取证中商业工具支持有限、本地化应用分析困难及研究成果共享不足等问题，荷兰法医研究所团队开发了基于文件系统元数据监测的动态分析工具Argus，结合Aardwolf参考数据库实现高效痕迹识别与跨机构协作。该系统通过实验模式（Experiment mode）与分析模式（Analyse mode）双阶段操作，成功验证了WhatsApp和Calculator Hide等应用的痕迹定位能力，为数字取证领域提供了标准化研究框架。

　　

随着智能手机深度融入日常生活，移动应用产生的数字痕迹成为法医调查的关键证据源。然而当前面临三重挑战：商业取证工具仅覆盖全球流行应用，无法适配区域性应用；传统全盘哈希比对方法因设备存储容量激增（已达1TB）效率低下；分散的研究成果缺乏共享机制，导致重复实验。荷兰法医研究所团队在《Forensic Science International: Digital Investigation》发表研究，提出集成化解决方案Argus-Aardwolf体系。

研究采用Python开发的Argus工具，通过实验模式（监控文件系统元数据变化）与分析模式（集成SQLite Browser、Meld等差异比对工具）的双阶段架构，实现对iOS/Android设备及模拟器的动态监测。关键创新在于：1）利用时间戳驱动的快照（Snapshot）技术定位新建/修改/删除文件；2）通过Aardwolf数据库实现实验数据标准化存储与共享，支持LEA（执法机构）和高校协作。

研究结果部分：

1. Argus工作流验证
   通过WhatsApp实验证实工具能100%复现文献记载的痕迹路径（如ChatStorage.sqlite存储通讯记录），并发现新版应用将屏蔽联系人数据迁移至ZWABLACKLISTITEM表。Calculator Hide测试中，Argus不仅验证了隐私文件存储路径（如/data/media/0/.privacy safe/），还首次发现崩溃日志文件（userlog）包含函数参数等解码线索。

2. 系统性能边界
   局限性分析表明：多应用并发运行时无法区分痕迹来源；临时文件若在实验窗口期内完成创建-删除周期则无法捕获；依赖越狱/root环境导致重启实验中断风险。

结论指出，Argus通过模块化设计（未来可扩展网络/RAM分析）和Aardwolf的版本比对功能，为应对快速迭代的移动生态提供了可持续解决方案。该体系将传统数周级的应用分析缩短至数小时，其开源特性（工具与数据库均免费开放）有望推动全球取证协作范式变革。