Den stigande populariteten av mobila enheter har inte bara lett till en smidigarevardag med snabb tillgang till e-post och sociala medier utan aven blivit ett allt mervanligt instrument anvant vid kriminella handlingar. Detta har medfort ett behov attkunna undersoka dessa enheter pa ett sakert satt utan att riskera att bevis blirkontaminerade. Det har arbetet har undersokt de mobilforensiska verktyg somanvands av Polisen och deras tillvagagangssatt vid utredning. Genom att anvanda ossutav Polisens tillvagagangssatt och deras verktyg sa har vi utfort experiment ochintervjuer for att undersoka om data forandras vid utvinning. Experimenten pavisaratt data forandras vid utvinning med ett givet verktyg medans intervjuerna visarskiftande asikter bland Poliser och utvecklare gallande kontaminering.Resultatet fran experimentet visade oss att verktyget UFED raderat bevisfiler frananvandardatan pa en enhet under utvinning. Polisens nonchalans gallandekontaminering bor uppmarksammas da en av deras anvanda verktyg visade ettresultat som kan ha en avgorande roll vid utredning. / The rising popularity of mobile devices has not only led to a smoother way of livingwith quick access to email and social media, but has also become an increasinglycommon instrument used in criminal activity. This has led to a need to investigatethese devices safely without risking the integrity of the evidence. This paper hasexamined the mobile forensic tools used by the Swedish Police and their procedureused in investigations. By following the same procedures and using the same tools,we have conducted experiments and interviews to investigate if data changes duringthe extraction. The experiments demonstrate that the data changes duringextraction of a given tool, while the interviews shows diverse opinions among thePolice and developers behind these tools regarding contamination. The results fromthe experiments showed us that the tool UFED erased evidence files from theuserdata on a device during extraction. The Police negligence regardingcontamination should be attended to, since one of their used tools showed resultsthat could have had a critical impact in an investigation.

Den ständiga utvecklingen av mobila chattapplikationer har bidragit till att underlätta människors vardagliga aktiviteter. Däremot utnyttjas applikationerna till att kommunicera vid kriminell verksamhet vilket har skapat nya utmaningar inom den IT-forensiska verksamheten hos brottsbekämpande myndigheter. Implementerade säkerhet- och integritetsfunktioner har försvårat åtkomst till data och tillhörande raderingsfunktioner i de mobila chattapplikationerna är en av de främsta utmaningarna. Uppsatsens syfte är att undersöka hur raderad data kan återskapas från Snapchats tillhörande SQLite-databas arroyo.db som lagrar chattkommunikation. I uppsatsen genomförs en genomgående litteraturstudie i kombination med ett experiment för att kartlägga den IT-forensiska arbetsprocessen både gällande arbetsmetoder samt eventuella brister som existerar i de IT-forensiska verktygen. Resultatet av den här uppsatsen visar att raderad chattkommunikation i Snapchat går att återskapa samt att det finns brister i den IT-forensiska arbetsprocessen. Avslutningsvis konstateras det att SQLite-forensik är ett område som är i behov av ständig utveckling för att hålla jämna steg med informationsteknologins utveckling.

Mobiltelefonen är idag en stor del av de flesta människors vardag. Det stora användandet av mobila enheter har gjort att de innehåller en stor mängd information och allt oftare finns representerade i brottsutredningar. Vid utvinning av data från mobiltelefoner är det viktigt med både välfungerande IT-forensiska verktyg och en korrekt mobilforensisk arbetsprocess, där tekniker kan tillämpas och leda till ett utförligt resultat utan att allvarliga konsekvenser uppstår.  Arbetet kartlägger befintliga brister inom den mobilforensiska arbetsprocessen, både gällande kompetensnivåer, men även brister i olika mobilforensiska verktyg. Utifrån en litteraturstudie analyseras tre verktyg som förekommer vid mobilforensiska utredningar, för att få en djupare inblick i dess funktionalitet men även för att undersöka befintlig problematik med verktyget. Det resultat som arbetet presenterar är en överblick hur det idag ser ut inom mobilforensikengällande kompetenser och brister i mobilforensiska verktyg. Arbetet visar på att bristande kompetens hos verksamma inom den mobilforensiska processen påverkar på olika sätt, dels vad gäller kvaliteten på arbetet men även de möjligheter som finns. Litteraturanalysen av de olika verktygen påvisar också att det finns flertalet brister, vilket påverkar datautvinningar men också utredningar. Slutsatsen som kan dras utifrån detta är att det mobilforensiska området är i behov av ständig utveckling för att hålla jämn takt med de olika behov som finns idag samt för att åtgärda de brister som förekommer i arbetet.

Med dagens digitaliserade samhälle används sociala medier i hög grad för att kommunicera med varandra. Detta öppnar upp möjligheten för kriminella att enklare kommunicera med varandra, och även utföra brott. Ett vanligt brott på sociala medier är utnyttjandet av barn för sexuell posering där Instagram används i en stor del av fallen. Med Instagrams funktion Vanish Mode (försvinnaläge) ökar möjligheterna att dölja sin verksamhet, vilket innebär en utmaning för det IT-forensiska arbetet.Uppsatsen undersöker möjligheten att återskapa meddelanden skickade med Instagrams försvinnaläge genom verktyget Magnet Axiom och manuellt. För att automatisera den manuella återskapningsprocessen skrivs också ett program som återskapar och strukturerar meddelandena. Experimentet visar att Magnet Axiom inte återskapar några meddelanden från försvinnaläget, men att det går att manuellt återskapa dem från Instagrams databaser. Meddelanden skapade i försvinnaläget återfinns i WAL-filen tillhörande den databas som lagrar chattmeddelande frånanvändaren. Genom att använda en hexläsare för att studera databasens rådata går det att tyda vilken data som lagras i den. I resultatet beskrivs även hur programmet går till väga för att automatiskt extrahera meddelandena från databaserna.

Today's smartphones and tablets use different applications and software for all sorts of purposes: communication, entertainment, fitness, to share images with each other, to keep up to date with the news and lots of different daily tasks. With the heavy usage of all these apps, it is no wonder that it comes with a few issues. Private data is stored in large quantities both on the local device and on the app-creators' servers. It is no wonder that applications advertising user secrecy and transient storage of user data. One of these applications is Snapchat, with over 500 million downloads on Google Play store, at the time of writing. Snapchat is a communication application with the niched feature that the images and messages sent, disappear once opened or after 24 hours have passed. With the illusion of privacy behind Snapchats niche it has become a breeding ground for criminal activity. The niche itself translates to a troublesome hurdle for law enforcement trying to retrieve evidence from devices of Snapchat users. This paper is aimed to investigate these issues and perform a methodology to retrieve potential evidence on a device using Snapchat to send images and messages. By performing a physical acquisition on a test device and analyzing to find artifacts pertaining to Snapchat and the test-data that was created. The method is performed on a Samsung Galaxy S4 with Android 5.0.1 running Snapchat version 10.52.3.0. Test data such as different images and messages were created and attempted to be retrieved at three points in time. First one being right after data creation. Second one after a restart and 24 hours after the data was created. And the third with 48 hours passed and the Snapchat user logged out at the time of acquisition. The acquisition resulted in the extraction of several sent images and a full text conversation between the experimental device and another party. A full video which was uploaded by the receiving user was able to be extracted even though the experimental device never actually viewed the video. The second acquisition which was made when 24h had passed gave the same results as the first one. This meant that time at least up to a day after the initial creation of the data did not have any effect on the evidence. However, when the Snapchat user was logged out from the application, the data was then unobtainable and had disappeared. Presumably Snapchat has a function which deletes personal data about the user when logged out from the application. This function might become a hurdle in law enforcement investigations where the application Snapchat is involved.