Forensik Digital Kasus Hoax Sekolah #2

Seri Forensik Digital Kasus Hoax Sekolah #1 Kerangka kerja & legalitas · #2 Akuisisi bukti (Anda di sini) · #3 Database WhatsApp · #4 Metadata media · #5 Timeline & laporan

Di bagian pertama kita menyiapkan dasar hukum, chain of custody, dan toolkit. Sekarang kita mengambil datanya.

Satu hal yang perlu diterima sejak awal: dengan laptop dan tools gratis, Anda tidak akan mendapat akuisisi fisik ponsel modern. Full-disk encryption pada Android dan iOS membuat itu mustahil tanpa exploit khusus atau perangkat komersial seharga ratusan juta. Yang bisa Anda dapat adalah akuisisi logis — data yang sistem operasi bersedia berikan lewat jalur resmi.

Untuk kasus hoax, itu cukup. Pesan WhatsApp, media, dan timestamp semuanya ada di jalur logis. Yang hilang hanyalah data terhapus — dan kita akan bahas cara mengompensasinya di bagian kelima.

Prasyarat

• Toolkit dari bagian pertama sudah terpasang
• Formulir persetujuan sudah ditandatangani siswa dan orang tua
• Kabel USB data yang bagus (bukan kabel charge-only — ini penyebab frustrasi klasik)
• Struktur folder kasus sudah dibuat, 01-evidence/ masih kosong

1. Isolasi perangkat, tapi jangan matikan

Begitu ponsel ada di tangan Anda, ada jendela waktu yang bisa merusak bukti: fitur "Hapus untuk semua orang" di WhatsApp, sinkronisasi cloud, pesan masuk baru yang menggeser database, dan penghapusan otomatis.

Urutan yang benar:

1. Foto perangkat dari empat sisi sebelum menyentuh apa pun, termasuk layar dalam kondisi apa adanya.
2. Aktifkan mode pesawat dari Control Center / Quick Settings. Catat waktu persisnya.
3. Pastikan Wi-Fi dan Bluetooth benar-benar mati — di banyak perangkat, mode pesawat tidak otomatis mematikan keduanya.
4. Set screen timeout ke Never dan sambungkan ke daya.
5. Jangan matikan perangkat. Reboot memaksa masuk ke kondisi Before First Unlock, di mana hampir semua data terenkripsi dan tidak bisa diakses meskipun Anda punya PIN.

Setiap langkah di atas mengubah state perangkat. Itu tidak apa-apa — prinsip ACPO kedua mengizinkannya asal Anda kompeten dan mendokumentasikannya. Yang tidak boleh adalah mengubah tanpa mencatat.

Catat di log pemeriksa:

09:14 — Mode pesawat aktif (dari Quick Settings). Wi-Fi dimatikan
        manual pukul 09:14. Bluetooth sudah mati. Screen timeout
        diubah dari 30 detik → Never. Perangkat TIDAK di-reboot.

2. Tangkapan layar dari pelapor: bukti paling lemah

Hampir setiap kasus dimulai dari sini — seseorang mengirim tangkapan layar percakapan ke wali kelas. Perlakukan ini sebagai petunjuk awal, bukan bukti.

Alasannya:

• Tangkapan layar tidak membawa metadata pengirim asli
• Nama kontak yang tampil berasal dari buku alamat pelapor, bukan identitas terverifikasi
• Sangat mudah dipalsukan; banyak aplikasi generator chat palsu di Play Store
• Waktu yang tampil di layar sudah difilter WhatsApp menjadi format relatif
• Kalau dikirim ulang lewat WhatsApp, file sudah dikompres ulang dan metadata aslinya hilang

Tetap saja ada yang bisa diperas. Simpan dulu, hitung hash, lalu periksa:

cd $CASE/01-evidence/EV-001-screenshot-pelapor
shasum -a 256 * > ../../00-admin/EV-001.sha256

exiftool -a -u -G1 -time:all -Make -Model -Software -ImageSize *.jpg

Yang dicari:

• Nama file: pola Screenshot_20260812-143255_WhatsApp.jpg (Android) atau IMG_0451.PNG (iOS) memberi tanggal dan platform. Kalau namanya sudah jadi IMG-20260812-WA0031.jpg, artinya file itu diterima lewat WhatsApp, bukan tangkapan layar asli — sudah tangan kedua.
• Software / Model: kadang bertahan pada PNG asli dari Android.
• Dimensi gambar: bandingkan dengan resolusi layar perangkat yang diklaim. Tidak cocok = perlu penjelasan.
• Ketiadaan metadata: JPEG bersih total dengan quality table khas adalah tanda sudah melewati kompresi WhatsApp.

Soal Error Level Analysis: hindari. ELA dan tool "forensik gambar" daring sejenisnya menghasilkan artefak yang mudah salah tafsir dan sudah lama tidak diterima sebagai metode andal. Kalau Anda perlu membuktikan sebuah tangkapan layar asli, buktikan dengan mencocokkannya ke database di perangkat — bukan dengan menganalisis piksel.

Verifikasi sebenarnya baru terjadi ketika Anda menemukan pesan yang sama di msgstore.db milik perangkat. Itu isi bagian ketiga.

3. Rekam kondisi dasar perangkat

Sebelum menarik data, catat identitas dan — ini yang sering terlewat — selisih jam perangkat.

Android

adb devices -l

adb shell getprop ro.product.manufacturer
adb shell getprop ro.product.model
adb shell getprop ro.build.version.release
adb shell getprop ro.serialno
adb shell getprop persist.sys.timezone

# Otomatis atau manual? 1 = otomatis (tepercaya), 0 = diatur pengguna
adb shell settings get global auto_time
adb shell settings get global auto_time_zone

iOS

idevicepair pair
ideviceinfo -k DeviceName
ideviceinfo -k ProductType
ideviceinfo -k ProductVersion
ideviceinfo -k UniqueDeviceID
ideviceinfo -k TimeZone

Selisih jam — jangan dilewati

Seluruh analisis Anda di bagian kelima bergantung pada timestamp. Kalau jam perangkat meleset lima menit, urutan penyebaran bisa terbalik.

# Android
echo "Device: $(adb shell date +'%Y-%m-%d %H:%M:%S %Z')"
echo "Host  : $(date +'%Y-%m-%d %H:%M:%S %Z')"

# iOS
idevicedate
date

Catat selisihnya dalam detik untuk setiap perangkat. Nanti kita gunakan untuk normalisasi.

EV-002 (Android S-04): device 09:31:07 WIB / host 09:31:05 WIB → +2 detik
                       auto_time = 1 (NTP aktif)
EV-003 (iOS S-07):     device 10:02:44 WIB / host 10:02:44 WIB → 0 detik

Tanda bahaya: kalau auto_time bernilai 0, jam perangkat diatur manual dan bisa saja dimanipulasi. Timestamp dari perangkat itu perlu dikorelasikan silang dengan perangkat lain sebelum dipercaya.

4. Akuisisi Android tanpa root

Dengan USB debugging aktif (diaktifkan sendiri oleh pemilik, di depan Anda, dan dicatat), ada tiga hal yang bisa ditarik.

4a. Media WhatsApp

Sejak Android 11, media WhatsApp berada di /sdcard/Android/media/ yang masih bisa dibaca lewat adb:

DEST=$CASE/01-evidence/EV-002-android-S04

adb pull /sdcard/Android/media/com.whatsapp/WhatsApp/Media/ \
  $DEST/whatsapp-media/

Folder ini berisi WhatsApp Images, WhatsApp Video, WhatsApp Documents, masing-masing dengan subfolder Sent. Pemisahan Sent vs non-Sent inilah yang paling berharga — ia langsung memberi tahu media mana yang dikirim oleh perangkat ini.

4b. Backup database WhatsApp

adb pull /sdcard/Android/media/com.whatsapp/WhatsApp/Databases/ \
  $DEST/whatsapp-databases/

ls -la $DEST/whatsapp-databases/
# msgstore.db.crypt15
# msgstore-2026-08-13.1.db.crypt15
# msgstore-2026-08-12.1.db.crypt15  ← backup harian, sangat berguna

Backup harian adalah hadiah tak terduga: kalau pesan sudah dihapus dari database aktif, backup dua hari sebelumnya kemungkinan masih memuatnya.

File .crypt15 terenkripsi end-to-end. Untuk membukanya Anda butuh kunci 64 digit yang hanya pemilik akun yang bisa menampilkannya, lewat WhatsApp → Setelan → Chat → Cadangan chat → Cadangan terenkripsi ujung ke ujung → Lihat kunci.

Minta pemilik menampilkan kunci itu sendiri, foto layarnya sebagai bagian bukti, dan catat di formulir persetujuan bahwa kunci diberikan secara sukarela. Jangan pernah mengetikkan ulang kunci dari ingatan — salah satu karakter dan dekripsi gagal tanpa pesan error yang jelas.

Simpan kunci di 00-admin/, bukan di folder bukti.

4c. Metadata aplikasi

adb shell dumpsys package com.whatsapp > $DEST/dumpsys-whatsapp.txt
grep -E "firstInstallTime|lastUpdateTime|versionName" $DEST/dumpsys-whatsapp.txt

firstInstallTime menjawab pertanyaan seperti "apakah akun ini baru dibuat khusus untuk menyebarkan hoax". Kalau WhatsApp dipasang tiga jam sebelum pesan pertama, itu temuan yang signifikan.

4d. Alternatif terstruktur: androidqf

Untuk pengumpulan yang lebih menyeluruh dan konsisten, androidqf dari tim MVT mengotomatiskan akuisisi logis Android dan menyimpan hasilnya dalam struktur seragam. Berguna kalau Anda memeriksa banyak perangkat sekaligus dan ingin hasil yang seragam antar-perangkat.

4e. Jalur cadangan: ekspor chat

Kalau USB debugging tidak bisa diaktifkan, atau perangkat menolak, masih ada jalur paling sederhana: WhatsApp → buka grup → menu → Lainnya → Ekspor chat → Sertakan media. Hasilnya _chat.txt plus file media.

Kelemahannya besar — tidak ada flag penerusan, tidak ada timestamp presisi detik, tidak ada pesan terhapus, dan format waktunya mengikuti locale perangkat. Tapi lebih baik daripada tidak ada, dan bisa dikorelasikan dengan perangkat lain.

5. Akuisisi iPhone dengan libimobiledevice

Prinsipnya: buat backup terenkripsi. Ini kontra-intuitif, tapi backup terenkripsi iOS berisi jauh lebih banyak data daripada backup biasa — termasuk Keychain, riwayat Safari, dan data Health.

DEST=$CASE/01-evidence/EV-003-ios-S07
mkdir -p $DEST

# Cek apakah enkripsi backup sudah aktif
idevicebackup2 -i info 2>&1 | head -20

Kalau belum aktif, aktifkan dengan sandi yang Anda tentukan dan catat:

idevicebackup2 -i encryption on
# Masukkan sandi saat diminta — gunakan sandi kasus, catat di 00-admin/

Perhatian: mengaktifkan enkripsi backup mengubah setelan pada perangkat pemilik dan harus dicatat di log serta diberitahukan ke pemilik. Kalau enkripsi sudah aktif dan pemilik tidak ingat sandinya, backup tidak bisa didekripsi dan tidak bisa direset tanpa menghapus data. Dalam kasus itu, jalur ekspor chat menjadi satu-satunya opsi.

Jalankan backup penuh:

idevicebackup2 backup --full $DEST/backup/

Proses ini bisa memakan 20 menit sampai beberapa jam. Jangan cabut kabel.

Setelah selesai, dekripsi dengan MVT:

source ~/forensics-env/bin/activate

mvt-ios decrypt-backup \
  -p 'SANDI_KASUS' \
  -d $CASE/02-working/EV-003-decrypted/ \
  $DEST/backup/

Hasilnya struktur file yang bisa dibaca, dengan Manifest.db sebagai peta yang memetakan nama file ter-hash ke path aslinya. Database WhatsApp yang kita cari:

AppDomainGroup-group.net.whatsapp.WhatsApp.shared/ChatStorage.sqlite
AppDomainGroup-group.net.whatsapp.WhatsApp.shared/Message/Media/

Cari lokasinya:

cd $CASE/02-working/EV-003-decrypted
sqlite3 Manifest.db \
  "SELECT fileID, domain, relativePath FROM Files
   WHERE relativePath LIKE '%ChatStorage.sqlite%';"

6. Akun dan metadata media sosial

Kalau hoax juga muncul di Instagram atau TikTok, batasi diri pada apa yang publik.

Yang boleh:

• Mengarsipkan URL publik dan mencatat waktu pengambilan
• Menyimpan salinan konten publik beserta metadata teknisnya
• Mencatat timestamp posting dan zona waktu yang ditampilkan

Yang tidak boleh: membuat akun palsu untuk mengakses konten terbatas, meminta siswa lain menjadi perantara, atau mencoba masuk ke akun siapa pun. Selain melanggar ToS platform, itu menghancurkan kredibilitas laporan Anda dan berpotensi melanggar hukum.

Arsipkan dengan yt-dlp, yang menyimpan metadata terstruktur:

yt-dlp --write-info-json --write-thumbnail --skip-download \
  -o "$CASE/01-evidence/EV-005-social/%(id)s.%(ext)s" \
  "https://www.instagram.com/p/XXXXXXXX/"

jq '{id, uploader, upload_date, timestamp, description}' \
  $CASE/01-evidence/EV-005-social/*.info.json

Simpan juga tangkapan halaman penuh dan hash-nya, lalu catat di chain of custody dengan URL, waktu akses, dan alat yang dipakai.

Data yang benar-benar autoritatif — alamat IP pengunggah, waktu server, riwayat perangkat — hanya bisa diperoleh platform lewat permintaan resmi aparat penegak hukum. Kalau kasus Anda memerlukan itu, kasusnya sudah melampaui kewenangan sekolah.

7. Segel dan verifikasi

Setelah semua akuisisi selesai, kunci foldernya:

hashdeep -c sha256 -r $CASE/01-evidence \
  > $CASE/00-admin/evidence-manifest-$(date +%Y%m%d).txt

chmod -R a-w $CASE/01-evidence

# Salin ke area kerja — mulai sekarang, hanya salinan yang disentuh
cp -R $CASE/01-evidence/EV-002-android-S04 $CASE/02-working/
cp -R $CASE/01-evidence/EV-003-ios-S07 $CASE/02-working/

Verifikasi ulang di akhir setiap sesi kerja:

hashdeep -c sha256 -r -a -k $CASE/00-admin/evidence-manifest-20260814.txt \
  $CASE/01-evidence && echo "INTEGRITAS BUKTI TERVERIFIKASI"

Kembalikan perangkat, minta tanda tangan pada baris chain of custody, dan catat waktunya.

Kesimpulan dan langkah berikutnya

Yang seharusnya Anda miliki sekarang, per perangkat: identitas perangkat lengkap, selisih jam terdokumentasi, media WhatsApp terpisah antara terkirim dan diterima, database chat (terenkripsi atau sudah didekripsi), metadata instalasi aplikasi, manifes hash, dan chain of custody yang terisi penuh.

Itu semua masih data mentah. Belum ada satu pun pertanyaan investigasi yang terjawab.

Pada bagian ketiga kita mulai membedah isinya: struktur msgstore.db pada Android dan ChatStorage.sqlite pada iOS, konversi timestamp yang berbeda di kedua platform, kueri SQL untuk membangun timeline per grup, dan satu kolom yang sering diabaikan tapi menjadi kunci kasus hoax — skor penerusan pesan.