Digital Forensics:How to Recover EFS Encrypted Files

 Digital Forensics: How to Recover EFS Encrypted Files

EFS Recovery Tools

Please try running EFS Recovery and scan the disk where your master key was stored. Once it's complete, you should be prompted for your Windows password that was used by the user who set up encryption. If you don't see such prompt, the master key wasn't recovered.

Click the button next.

Check system disk and disks with encrypted files.

Select the EFS recovery method:

• Fast EFS recovery - search in existing and deleted files. Usually, take less than a minute per disk.

Click the button Next. Scanning will starts.

After it's done, please close the EFS key wizard and try to browse to the folder with encrypted files. You should see a proper preview of them if decryption was successful.

Preview > Enter Password

Insert login Password 

Decrypted 

Export certificate

Credit:https:EFS Recovery Tools

                    howto-~-decrypt-EFS-files

                    Extracting a copy of the SYSTEM and SAM registry hives

สรุป เครื่องมือนี้ต้องรู้  User password  ช่วยให้สามารถนำ  Export certificate ออกมาได้

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

 * หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

 

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD