В iOS Forensic Toolkit 10.11 добавлено низкоуровневое извлечение через эксплойт загрузчика для следующего набора устройств IoT: Apple Watch Series 4 и Series 5, а также Apple TV 4K второго поколения. Извлекаются полный образ файловой системы и расшифрованная связка ключей.

Последние семь лет последней версией чипов, подверженных уязвимости загрузчика, был SoC A11. Эксплойт checkm8, опубликованный в сентябре 2019 года, работает на чипах вплоть до A11 включительно; более новые устройства этим способом не вскрывалось. В новой версии инструментария используется usbliter8 - новый эксплойт SecureROM, опубликованный в июне 2026 года. В iOS Forensic Toolkit 10.11 с его помощью извлекаются данные связки ключей и полный образ файловой системы из часов Apple Watch Series 4 и Series 5 (на чипах S4 и S5) и приставки Apple TV 4K второго поколения (работает на чипе A12). В будущем ожидается поддержка умной колонки HomePod mini (S5).

Для часов низкоуровневое извлечение даёт полный журнал активности устройства, данные о физической активности и показатели здоровья, подробную историю перемещений и геопозиций, данные приложения Wallet (брони, посадочные талоны, дисконтные карты), переписку и содержимое установленных приложений. В связке ключей хранятся пароли пользователя и токены для входа в учётные записи. Для Apple TV объём пользовательских данных меньше, но связка ключей содержит учётные данные Apple Account, пароли Wi‑Fi и токены сервисов, привязанных к устройству; сама файловая система полезна как источник сведений об окружении, к которому подключалось устройство.

Метод не требует загрузки устройства в штатную операционную систему, работает на любой версии прошивки и не модифицирует данные на устройстве. Результат извлечения через эксплойт загрузчика повторяем; его можно проверить. Повторное извлечение в новой сессии даёт побитово идентичный образ при условии, что после первой сессии устройство было выключено и не включалось. Для подключения потребуется дополнительное оборудование; порядок действий описан в документации к продукту и в нашем блоге.

Кроме нового способа извлечения, в 10.11 добавлена поддержка tvOS 26.5 и 26.6 и audioOS 26.5 и 26.6, а также исправлена ошибка извлечения через checkm8, проявлявшаяся на части устройств.

Новое в Elcomsoft iOS Forensic Toolkit 10.11

• Эксплойт загрузчика: добавлено извлечение связки ключей и полной файловой системы для Apple Watch S4 и S5
• Эксплойт загрузчика: добавлено извлечение связки ключей и полной файловой системы для Apple TV 4K второго поколения
• Добавлена поддержка tvOS 26.5 и 26.6
• Добавлена поддержка audioOS 26.5 и 26.6
• Исправлено: извлечение через checkm8 для некоторых устройств