安卓模拟器是能在电脑上模拟安卓操作系统, 并能安装、使用、卸载安卓应用的工具类软件, 起着连接PC和手机平台的桥梁作用, 它使用户在电脑上也能体验操作安卓系统的全过程。第一款安卓模拟器是诞生于2011年的BlueStacks(中文名蓝叠), 目前流行的安卓模拟器有“ 夜神模拟器” “ 网易MuMu” “ 叶子猪模拟器” 和“ 海马模拟器” 等^[2]。近年来随着手机游戏的推动, 安卓模拟器也快速崛起。最近侦办的多起电信诈骗案件中, 办案民警在现场发现大量涉案电脑和手机, 每台涉案电脑上都运行着数个微信账号, 后经查证嫌疑人使用了一款名为“ 夜神模拟器” 的软件。安卓模拟器广泛用于电信网络诈骗等各种犯罪主要因为具备了以下特性：

一是针对手机系统的犯罪处于频发状态, 是电信网络诈骗等非接触式犯罪的主要犯罪形式。2016年中国境内活跃的智能手机达23.3亿部, 操作系统主要是Android、iOS、Symbian和WindowsPhone, 其中Android系统智能手机19.3亿部, 占所有智能手机数量的83.02%^[3]。安卓手机的最高市场占有率, 以及安卓模拟器能够模拟安卓系统内各种手机应用, 使得犯罪分子利用安卓模拟器能够获得较高的回报。

二是安卓模拟器模拟系统具有多开性和高效性, 能够满足违法犯罪人员的犯罪需求。电信网络诈骗前期, 犯罪嫌疑人“ 撒网式” 地寻找作案目标, 作案工具使用和时间安排都追求最大限度的饱和状态。模拟器的多开性, 较单一地直接使用手机, 能够最大限度发挥人员和设备效能, 成倍扩大被侵犯对象, 提高诈骗成功率。此外, 计算机内安装模拟器运行安卓系统, 能够获得手机无法比拟的流畅和快速, 加速诈骗实施进程。

三是模拟器能够模拟地理位置信息, 具有犯罪的欺诈和隐藏性。计算机系统安装运行“ 夜神模拟器” 后, 可以在该应用内运行微信、QQ以及游戏等各种安卓应用程序, 并且一台计算机能够运行多个安卓系统。案件中, 嫌疑人利用计算机模拟运行微信账号后, 能够随意设置虚拟地理位置并添加附近好友, 附近好友搜到的也是嫌疑人设置的虚拟地理位置, 而嫌疑人真实地理位置完全隐藏。嫌疑人利用该应用实施跨区域、精准化的诈骗, 更容易取得受害人的信任, 进而骗取钱财。

四是“ 逍遥安卓模拟器” 除了模拟地理位置信息外, 还能够模拟出想要的任意手机型号, 然后在QQ空间显示使用者想给别人看到的手机型号^[4]。模拟器这一特性, 使得犯罪人员随意变换身份, 适应部分被侵犯群体的特殊心理需求, 降低心理防备, 快速拉近距离, 提高诈骗成功率。

通过在计算机端安装安卓模拟器来运行手机应用程序的方式, 有别于常规在计算机端直接运行应用或者在手机上运行应用, 这给取证带来了一定的难度, 现有取证设备和软件均不能对模拟器内运行的各种手机应用直接进行数据提取。经过试验发现, 每添加一个安卓模拟器, 在安装目录下就会生成一个扩展名为.vmdk或者.vdi的文件。下面将以对夜神安卓模拟器的微信数据的提取为例进行取证流程的介绍：

2.3 加载虚拟磁盘文件

使用分析软件（如：SafeAnalyzer）加载导出的该块硬盘里的所有虚拟磁盘文件（.vmdk）, 如图1所示。

图1

Fig.1

	Figure Option ViewDownloadNew Window
	图1 加载虚拟磁盘文件Fig.1 Having the virtual disk file extracted from Android simulator be loaded into analyzing software

2.4 导出微信数据包

每个虚拟磁盘文件里都存放了该安卓模拟器里各种应用的数据文件, 加载完虚拟磁盘文件, 在每个虚拟磁盘文件下可以找到每个安卓模拟器运行时所产生的微信数据, 路径为nox-disk2.vmdk \nox-disk2.vmdk_03\data\com.tencent.mm（导出的时候勾选生成目录, 方便后续使用手机取证软件进行解析）。导出后的文件目录如图2所示, 每个文件夹下都含有一个夜神模拟器运行所产生的微信数据文件夹com.tencent.mm。

图2

Fig.2

	Figure Option ViewDownloadNew Window
	图2 导出微信数据包Fig.2 Exporting WeChat data packets

2.5 解析微信数据

使用手机取证软件（如：手机取证黄蜂）进行应用程序文件解析, 选择整个Files文件夹（可以同时对该硬盘里所有的微信数据进行解析, 方便后续生成取证报告）, 对微信数据进行提取。选择需要获取的数据, 如图3所示。解析完成就可以得到所需要的微信数据了。

图3

Fig.3

	Figure Option ViewDownloadNew Window
	图3 解析后微信数据Fig.3 WeChat data parsed

2.6 其他的应用程序如QQ等, 也参照上述方式进行数据的获取。

对于QQ、陌陌等其他安卓系统应用的数据提取, 可参照上述微信数据提取过程, 2.1~2.3相同, 2.4~2.5针对应用类型提取即可。总结安卓模拟器应用程序的取证过程, 遵循的基本流程如图4所示。

图4

Fig.4

	Figure Option ViewDownloadNew Window
	图4 流程图Fig.4 Flowchart for forensics of Android simulator applications

由于安卓系统的开源性, 构建虚拟的安卓系统也相对容易, 在本文中描述的夜神模拟器所生成的虚拟磁盘文件可以当成一个完整的手机镜像^[5]。本文介绍的安卓模拟器取证, 相对于以往单纯的计算机取证或手机取证, 过程更加繁琐, 需将计算机取证和手机取证相结合起来, 多款取证软件协同使用进行数据的提取。随着信息技术和移动互联网技术的发展, 电子数据提取面临更高的要求：一是检验技术人员要加强平时技术知识的储备和积累, 尽量熟悉计算机和手机系统内各种主流和新型应用, 对陌生应用程序保持高度的敏感性, 多问自己几个为什么, 多利用互联网进行搜索; 二是技术要加强与侦查的结合, 电子物证检验人员要适当参与审讯, 多与侦查人员沟通了解案情, 熟悉所办案件的犯罪技术细节和思路, 做到对电子介质内重要电子数据不漏检; 三是由于计算机和手机等移动终端的界限愈加模糊, 现有取证工具存在诸多不适应性, 融合计算机和手机取证的一体化取证工具开发迫在眉睫。