Auf einem BlackBerry mit installiertem Windows Live Messenger trafen wir im /BlackBerry FD/Root/feeds einige numerierte XML-Daten an.
Der Bestandname scheint hier aus dem “acid” und einer Folgenummer zu bestehen.
Die angetroffene Version des Windows Live Messengers betraf hier die Version 2.5.63 und hatte den Identifier: net.rim.device.apps.internal.qm.msn
Die Struktur der angetroffenen XML-Daten war wie folgt:

<?xml version=”1.0″ encoding=”UTF-8″?> <bf ver=”1.0.0″ > <ac acid=”987654321″ adid=”9876543212345678900″ dn=”gebruikersnaam” un=”1234432A” mcnt=”100″ > <tfm mid=”1331676262011″ cti=”1331676262011″ txt=”voorbeeldtext van een berichtje” udn=”een andere naam” uid=”-123456789″ puri=”-123456777″ turi=”null” > <mc> <![CDATA[null]]> </mc> </tfm>

Um soviel Textdaten wie möglich ans Tageslicht zu bekommen, kann gesucht werden mit Encase mit dem Suchbegriff (grep an).
Die mid/cti -Zeiten sind durch Dcode einfach in normale Zeiten zu übersetzen:

blackberry-windows-live-messenger-decode
BlackBerry Windows Live Messenger Gespräche sind manchmal noch zurückzufinden, nachdem des Programm schon gelöscht wurde