Nadat een iPhone door ons was uitgelezen werd een onderzoek ingesteld naar Whatsapp berichten.
Hoewel Whatsapp niet meer op de betreffende iPhone was geïnstalleerd, werden er wel SQlite databases aangetroffen waaruit bleek dat Whatsapp veelvuldig was gebruikt.
De databases werden gevonden in:
/private/var/mobile/Library/SafeHarbor/net.whatsapp.WhatsApp/Container/Documents
- ChatStorage.copy.sqlite
- ChatStorage.sqlite
- ChatStorage~.sqlite
Ook stonden hier een aantal bestanden welke kennelijk als bijlage waren meegestuurd met een bericht.
Deze bijlagen waren gezien het formaat van de afbeeldingen thumbnails van grotere afbeeldingen.
De drie verschillende chatstorage.sqlite databases bevatten inkomende en uitgaande Whatsapp berichten.
Middels de sqlitebrowser kan de sqlite database worden ingelezen.
http://sqlitebrowser.sourceforge.net/
Nadat de database is ingelezen, kun je via de tab “browse data” naar de tabel ZWAMESSAGE navigeren.
Naast de tekst in de kolom Ztext, staat een kolom ZMESSAGEDATE.
De datum en tijd in deze kolom staat in Mac: Absolute time.
| ZMESSAGEDATE | Converted date and time | ZTEXT | ZTOJID |
| 317080738 | 18-01-11 9:58 PM | Some example text messagetext 🙂 | 316123456789@s.whatsap |
De datum en tijd in de kolom ZMESSAGEDATE is te converteren middels DCode:
Echter honderden of duizenden datums en tijden converteren met Dcode is niet praktisch.
Vanuit de Sqlite database browser kun je de kolommen exporteren naar Excel.
Vervolgens kun met de formule:
=(CEL+3187468800)/86400 waarbij CEL staat voor de Cel waarin de te converteren waarde staat. Bijvoorbeeld L2 (Kolom L, rij 2)
De cel moet vervolgens als format als datum krijgen.
De formule is opgebouwd uit:
| Cel | Hier komt de datum en tijd waarde uit de whatsapp ZMESSAGEDATE kolom |
| 3187468800 | Waarde om te converteren naar een waarde waar excel mee kan werken. (Excel gaat uit van 01-01-1901 terwijl de Mac tijd start op 01-01-2001.) |
| 86400 | 86400 = 24 uur in seconden |
Whatsapp nog geìnstalleerd op een iPhone
Op een andere iPhone, waarop whatsapp nog “normaal” geïnstalleerd was, werden de chatstorage databases op een andere locatie gevonden.
De sqlite databases stonden in dit geval in:
/private/var/mobile/Applications/B94DBD5B-AB71-4858-8A18-E74C76C0F966/Documents/
Bij een eenmalige test bleken een aantal zojuist gewiste whatsapp berichten wel terug gevonden te worden in de ChatStorage.copy.sqlite, terwijl deze niet meer aanwezig waren in de ChatStorage.sqlite.
Onbekend is hoe lang de “gewiste” whatsapp berichten in de copy aanwezig blijven.
Whatsapp iPHone