С появления эксплойта checkm8, который революционизировал криминалистический анализ для многих устройств Apple, прошло семь лет. Мы долго ждали появления аналогичного эксплойта для новых устройств — и дождались: новый эксплойт usbliter8 позволил реализовать низкоуровневое извлечение для следующего поколения устройств. Пока это Apple Watch Series 4 и Series 5, а также Apple TV 4K второго поколения; на очереди — HomePod mini. Впервые почти за семь лет извлечение через эксплойт загрузчика стало доступным для новых моделей.

Для пользователя новый эксплойт даёт те же возможности, что и привычный checkm8. Извлекается полная файловая система и связка ключей. Для сравнения, логическое извлечение на этих устройствах отдаёт в основном миниатюры фотографий и немногие системные журналы.

Эта статья — обзорная; пошаговые инструкции по каждому типу устройств выйдут отдельно.

Зачем извлекать данные из часов и приставок?

Если есть iPhone и из него удалось извлечь данные, то дополнительной ценности извлечение из часов и приставок, как правило, немного. А вот если телефон заблокирован, повреждён или его нет вообще, то данные из приставок проходят по категории «лучше, чем ничего», а из часов Apple Watch и вовсе можно извлечь приличный объём информации — в том числе и полную связку ключей, синхронизированную через облако. Но это не всё. Apple TV 4K второго поколения — первое и единственное устройство, получившее одну из вариаций iOS 27, которое подвержено извлечению через эксплойт загрузчика. У разработчиков и специалистов теперь есть полный доступ к файловой системе со всеми её внутренними структурами и базами данных, которые можно исследовать.

Итак, самое ценное — это Apple Watch. Синхронизация с iPhone у часов почти полная: здоровье и активность, история местоположений (во время тренировки координаты пишутся примерно раз в секунду), SMS и iMessage, контакты, объекты Wallet, события разблокировки часов, сетевая и Bluetooth-активность, и даже связка ключей с паролями пользователя. Сообщение, удалённое на iPhone, какое-то время остаётся на часах. Код блокировки часов по умолчанию цифровой четырёхзначный; о том, что его можно сделать длиннее, знают немногие, и на практике встречается редко; буквенно-цифровые пароли на часах и вовсе не поддерживаются.

Apple TV на втором месте. Пасскода на этой платформе не существует в принципе, поэтому сопряжение с компьютером не требуется, и главный барьер логического доступа отпадает. В образе: пароли Wi-Fi, токен учётной записи Apple, метаданные фотографий с полным EXIF и геолокацией (в том числе для снимков, которых на самой приставке нет), база knowledgeC, а если приставка настроена домашним хабом, то и заметно более полный таймлайн. Отдельно отметим, что поддерживается и последняя версия tvOS 27 — впервые у криминалистов появился доступ к содержимому низкоуровневых баз данных и системных артефактов 27-го поколения мобильных ОС от Apple.

HomePod замыкает список. Данных на нём меньше, но в связке ключей есть пароли Wi-Fi к точкам, к которым сама колонка никогда не подключалась, историю звонков, отчёты о местоположении по Wi-Fi и списки Bluetooth-устройств.

Подробные разборы содержимого по каждому устройству у нас уже выходили:

• Apple Watch: Логическое извлечение из всех моделей часов Apple Watch
• Apple TV: Низкоуровневое извлечение Apple TV и tvOS 26: первые успехи
• HomePod: HomePod Forensics III: Analyzing the Keychain and File System, HomePod Forensics I: Pwning the HomePod
• Общая карта «неочевидных» устройств: Цифровые доказательства — это не только iPhone

Что теперь поддерживается

Новый эксплойт (о нём ниже) работает на чипах A12, A12X/A12Z, A13, а также S4 и S5. В переводе на устройства это означает:

• Apple Watch Series 4 (S4), watchOS с 5 по 10
• Apple Watch Series 5 (S5), watchOS с 6 по 10
• Apple Watch SE (первого поколения): watchOS с 7 по 10
• Apple TV 4K второго поколения (A12)

Тот же S5 стоит и в Apple Watch SE первого поколения, так что она попадает в ту же категорию. Поддерживаются все версии tvOS от 14 до 26; поддержка tvOS 27 в разработке. В скором времени ожидается поддержка HomePod mini (S5).

Чтобы точно определить модель, используйте официальные страницы Apple: Apple Watch, Apple TV, HomePod.

Эксплойт usbliter8

В июне 2026 года Paradigm Shift опубликовала эксплойт usbliter8. Уязвимость находится в USB-контроллере и срабатывает от намеренно укороченных управляющих пакетов. Важное отличие от checkm8: если checkm8 можно запустить и с обычного компьютера, то пакеты, которые нужны для срабатывания usbliter8, обычный USB-стек компьютера отправлять не способен. Поэтому нужен отдельный микроконтроллер: он формирует нужные пакеты, минуя компьютер. Эксплойт находится в BootROM, то есть обновлением ОС не закрывается; он относится к классу «привязанных» (tethered) и требует физического доступа к устройству и входа в DFU.

Мы создали свой форк эксплойта, оптимизировав его под перечисленные устройства; исправили ряд ошибок и выложили в открытый доступ в виде исходных кодов. Оригинальный вариант обладает ограниченным набором возможностей и не подходит для криминалистического извлечения данных. Мы добавили примитивы чтения, записи и исполнения, а также патчи проверки подписи в BootROM: после них устройство грузит корректно сформированный, но неподписанный образ так же, как штатный подписанный, что позволяет использовать с ним наш инструментарий. Таким образом, вам нужны обе составные части: и нашу прошивку, и iOS Forensic Toolkit.

Технические детали и сравнение с checkm8 здесь: A12 usbliter8 BootROM sigpatches. Исходники и готовые прошивки: github.com/Elcomsoft/usbliter8.

Что понадобится

Основа метода — плата микроконтроллера на чипе RP2350. Мы используем Waveshare RP2350 USB-A; на ней есть нужный разъём USB-A, можно обойтись без паяльника.

Прошивка (готовые образы UF2) в разделе Releases репозитория. Чтобы залить прошивку, нужно зажать кнопку и подключить плату к компьютеру по USB-C. Она определится как накопитель, после чего записать на неё файл прошивки и подождать несколько секунд.

Кроме платы, под каждый тип устройства нужна своя переходная оснастка. Для часов это проводной универсальный адаптер к диагностическому порту (модели с S0 по S6); он стоит около 150 долларов и покупается один раз на весь класс устройств. Для Apple TV 4K второго поколения и HomePod mini адаптеры пока на этапе тестирования; детали будут в профильных статьях. Пока лишь скажем, что на HomePod mini, в отличие от большого HomePod, есть штатный разъём USB-C, так что разбирать корпус и паять контакты не придётся; но для входа в DFU и установки эксплойта нужен отдельный адаптер, рабочий прототип которого у нас уже есть.

Нужен ли код блокировки?

Для часов — нужен, его придётся ввести вручную. Метод не восстанавливает и не подбирает код; без него извлечение не сработает.

На Apple TV и (в будущем) HomePod mini код блокировки не поддерживается, но и данных, интересных следствию, на них ощутимо меньше.

Чего пока нет

За бортом остались устройства на более новых чипах: часы Apple Watch Series 6 и новее (чип T8301), Apple TV 4K третьего поколения (A15) и HomePod второго поколения. Поддержка HomePod mini, в котором чип из совместимых с эксплойтом часов, сейчас в работе.

Поддержки iPhone и iPad даже на совместимых чипах также нет и пока не предвидится: одного эксплойта usbliter8 для доступа к данным для них недостаточно.

Дополнительное чтение

По криминалистике этих устройств есть некоторое количество сторонних работ; вот основные из них:

• Mattia Epifani, Forensic Analysis of Apple IoT Devices: Apple TV, Watch, HomePod, HomeKit (лаборатория RSAC 2023)
• RN Team, A journey into IoT Forensics — Episode 5: Apple HomePod and HomeKit
• Ahmet Birinci, Security research on the HomePod mini
• Max Bazaliy, Jailbreaking Apple Watch (Black Hat EU 2017)
• Odom, Lindmar, Hirt, Brunty, Forensic Inspection of Sensitive User Data and Artifacts from Smartwatch Wearable Devices (J. Forensic Sci., 2019)
• Jennings, Sorell, Espinosa, Interpreting the location data extracted from the Apple Health database (DFRWS EU 2023)