監看LINE語音通話流量 蒐證揪出拍賣詐欺罪犯

當雙方通訊結束，封包錄製完成後，Wireshark會自行產生一個封包檔，此時即可進行封包分析。Wireshark具相當完整且豐富的過濾器和統計分析功能，其操作介面如圖9所示，包含最上方的功能表、工具列、篩選工具列、網路封包清單、封包內容、封包位元組和狀態列。

▲圖9 Wireshark操作介面。

另外，還可在網路封包清單中，針對不同的通訊協定或過濾規則指定顏色，這種設計方式可以協助使用者針對特定的目標網路封包進行分析，有助於通訊協定的行為研究與異常行為偵測，能夠快速辨識各種不同的通訊協定，以方便進行後續分析工作。

過濾封包IP資訊

觀察封包清單可發現LINE網路電話是以特殊的STUN為通訊協定，因此只要在Wireshark內建的封包過濾器內輸入STUN後點選〔Apply〕，即可將TCP、SSL、UDP、ARP與HTTP等各種不必要的雜訊及通訊協定過濾，使原本看起來複雜且眼花撩亂的封包清單，簡化為令人一目了然的畫面。

藉由鎖定特定的來源及目標IP，專注於特殊的通訊協定，可協助使用者快速辨識並擷取可疑封包資訊，經過濾後之封包清單如圖10所示。

▲圖10 過濾後之封包清單。

反查相關資訊

當成功利用Wireshark分析出可疑的網路封包IP位址時，可利用WHOIS資料庫來反查可疑的IP位址及其相關資訊。WHOIS是一個IP位址查詢服務網站，只要在網站介面的搜尋欄位中輸入可疑的IP位址、Domain Name或IDN等資訊，即可查到註冊主機之名稱及IP位址的註冊相關資料，正常的主機應包含公司名稱、地址、電話、註冊日期、E-mail等資訊，經WHOIS查詢的結果內容如圖11所示。

▲圖11 查看WHOIS查詢結果。

案例情境與分析

A君在拍賣網站看中一雙名牌球鞋，價錢遠低於市售行情，欲下標購買之際，卻發現賣家僅願意以LINE為通訊聯絡方式。透過LINE私下洽談交易細節後，A君依照賣家所提供匯款帳號，將交易金額匯款到賣家所指定的帳戶中，但隨著時間一天天的過去，始終未收到商品，同時亦發現賣家早已將帳號刪除，再也無法聯繫。

A君不甘受騙，突然想起曾在學校研習過封包分析認證課程，為了避免更多人受害，A君決定發揮其專業知識與技能來主動蒐集證據，並提供相關數據給調查人員，以求盡速偵破此類案件，有效嚇止犯罪。下定決心後，A君立刻著手準備網路封包蒐證分析的相關步驟。

步驟1：架設封包錄製環境

A君首先完成了封包錄製環境的架設，在自己的筆記型電腦裡安裝了最新版本的Wireshark與電腦版LINE應用程式，經過多次測試與模擬演練，確定須鎖定之特定封包類型以及須排除的通訊協定後，立即著手準備進行封包錄製工作。此時需特別注意的是，由於LINE在透過行動網路使用網路電話傳遞語音的訊息才是沒有加密的，因此必須讓不法分子以行動網路使用網路電話功能通訊，這樣一來所錄製到的封包，才能有助於進一步相關證據的蒐集與分析。

步驟2：錄製及分析網路電話封包

A君在各網路拍賣平台進行巡視，希望能發現以相同手法進行詐騙的不法分子，果然很快就發現與相同款式的名牌球鞋正以低價刊登販售，A君眼見機不可失，便佯稱買家與不法分子以LINE聯繫，並以手機故障無法輸入文字為由，要求不法分子以LINE的網路電話功能進行交易洽談，不法分子欣然同意並隨即撥打網路電話欲進一步商談交易細節，A君立即執行Wireshark軟體全程錄製雙方通訊時產生的網路電話封包，如圖12所示。

▲圖12 蒐集LINE網路電話封包。

步驟3：擷取及過濾可疑手機IP位址

待通話結束之後，A君立即查看封包錄製結果並進行分析。 經鎖定STUN並將TCP、SSL、UDP、ARP與HTTP等通訊協定排除後，發現僅剩下192.168.43.230與42.72.68.118這兩個IP位址有著大量且頻繁的通訊行為，然而192.168.43.230為A君本身所使用來錄製封包的筆記型電腦IP位址，因此可以判斷不法分子所使用的IP位址即為42.72.68.118，如圖13所示。

▲圖13 利用Wireshark錄製到可疑IP位址。