Cloud Forensics:Google Drive

Cloud Forensics:Google Drive

 วันนี้มาทดสอบการตรวจหาร่องรอยจาก GOOGLE DRIVE จากเครื่องคอมพิวเตอร์โดยพิจารณาจากอะไรบ้าง

ขั้นแรกทำการใช้โปรแกรม FTK Imager ทำสำเนาหลักฐานจากเครื่องคอมพิวเตอร์เป้าหมาย  ได้เป็น Forensic Image file ชื่อ CF009.E01 

Acquiring Disk Image with FTK Imager

Run Autopsy 4.15 and select New Case.

Provide the Case Name and the directory to store the case file. Click on Next.

• Choose the required data source type, in this case Disk Image and click on Next.
• Give path of the data source and click on Next.
• You reach here once all the modules have been ingested. You can begin begin investigating but i recommend waiting until analysis and integrity check is complete.

Google Drive Forensic Artifatcs 

Directories created when Google Drive is installed
<SYSTEMROOT>\Program Files\Google\Drive	In this folder you will find the executable file of the application
<SYSTEMROOT>\Program Files (x86)\Google\Drive	Here you will find information about the updates of the application
<SYSTEMROOT>\Users\<username>\GoogleDrive	This is the default folder used for synchronizing the user’s files with Google Drive cloud service
<SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive	Here you will find all the native app’s files that store information about the app and the user’s data

Registry 

The installation of Google drive creates various keys and values inside the Registry. View the registry hives listed below in the forensic image of the suspect's hard disk.

    SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders

    SOFTWARE\Google\Drive

    NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run\GoogleDriveSync

 From the Registry we can obtain the installed version and the user folder.

Let’s check the Registry to see if the sync process starts automatically with the user’s login. The right key to view here is NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run

 

Event Log

Path	<SYSTEMROOT>\Windows\System32\winevt\Logs\Application.evtx
Event ID	1033
Event Description Summary	Windows installer installed the product
Provider Name	MsInstaller
Event Data	Among others “<EventData> <Data> Backup and Sync From Google3.43.2448.907110330Google,Inc.(NULL)</Data>”

Prefetch

Windows stores Prefetch files at <SYSTEMROOT>\Windows\Prefetch.

WinPrefetchView

LNK (Shortcut) Files

• <SYSTEMROOT>\Users\<username>\Desktop\Google Drive.lnk
•  <SYSTEMROOT>\Users\<username>\Links\Google Drive.lnk
• <SYSTEMROOT>\ProgramData\Microsoft\Windows\Start Menu\Programs\Google \Drive\Google Drive.lnk

You can parse each of these lnk files with Eric Zimmerman's LECmd for detailed information. A truncated output is shown below.

Web-browsing history

You can find an SQLite database with browsing history under C:\Users\%username%\AppData\Local\Google\Chrome\User Data\Default.

The Log File

You can obtain information about the client sync session from the sync_log.log file located at <SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive\user_default. 
Database Artifacts

Database Artifacts

<SYSTEMROOT>\Users\<username>\AppData\Local\ Google\Drive\user_default\snapshot.db

<SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive\user_default\sync_config.db

 <SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive\cloud_graph\cloud_graph.db

 <SYSTEMROOT>Users\<username>\AppData\Local\Google\Drive\global.db

 snapshot.db

 Sync_config.db

• Client version installed
• Local sync root path
• User email

Credit:  ARTIFACTS OF GOOGLE DRIVE USAGE IN WINDOWS

                  cloud forensics google drive 

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง ADMIN เพื่อแก้ไขต่อไป
ขอบคุณครับ

DIGITAL FORENSICS:Autopsy Basics and Hands On

DIGITAL FORENSICS:Autopsy Basics and Hands On

หลักสูตรอบรมออนไลน์  Digital Forensics 

Autopsy เป็นเครื่องมือด้าน Forensics ฟรีโอเพ่นซอร์สตัวหนึ่งที่มีโมดูล  เช่น Encryption Detection Module ,Email Parser Module,Recent Activity Module,Android Analyzer Module,EXIF Parser ,File Type Identification ModuleModule และอื่นๆ อย่างไรก็ดีทาง เนื่องจากสถานการณ์ Covid-19   ทาง Basis Technology จึงได้เปิดสอนฟรี และมีใบรับรองผ่านการอบรมให้   เมื่ออบรมแต่ละ section จะมี Question และต้องทำให้ผ่าน และมี LAB ให้ทดลองทำ

COVID-19 Free Autopsy Training - Autopsy

หลักสูตรการพิสูจน์หลักฐานทางดิจิทัลโดยใช้โปรแกรม Autopsy

โปรแกรม Autopsy ใช้ตรวจพิสูจน์หลักฐานดิจิทัลในรูป GUI ใช้ในการตรวจสอบฮาร์ดดิสก์และสมาร์ทโฟน เป็นต้นและฟรีโอเพ่นซอร์ส

COVID-19 Free Autopsy Training

Autopsy Basics and Hands On

 Agenda For The Course

 Basic Conceptes

 

 

 

 

 

  https://www.autopsy.com/support/training/

Download List

Before we begin with the videos, let's start downloading the data we'll need for the later labs.  We won't need them for a few sections, so you can start them now and let them download in the background. 

• 64-bit Autopsy: http://www.autopsy.com/download 
• All of the files at one of the following sites (they are the same files at both sites):
  • https://drive.google.com/drive/folders/1YJ0v9izpUZUfB2U3IAQ8ke3T9dUe57Jb?usp=sharing
    • OR
  • https://file.ac/21euCO1oZvAsFaNoGrTIuA/
• NIST NSRL Hash Set: https://sourceforge.net/projects/autopsy/files/NSRL/NSRL-266m-computer-Autopsy.zip/download
• Video Triage Module: Fill out the form and download the ZIP file.  https://www.autopsy.com/add-on-modules/video-triage/

Autopsy Basics and Hands On (8-Hours)

Section 0: Welcome

Section 1: Basic Concepts

Section 2: Installation

Section 3: Cases and Data Sources

Section 4: UI Basics

Section 5: Analyzing Data Sources

Section 6: Hash Lookup Module

Section 7: Various Small Modules (File Type, Exif, etc.)

Section 8: Recent Activity

Section 9: Keyword Search

Section 10: Correlation Engine

Section 11: Android Analyzer

Chapter 12: Timeline Interface

Section 13: Image Gallery

Section 14: Communications Interface

Section 15: Tagging, Commenting, and Reporting

Section 16: 3rd Party Modules

Section 17: Conclusion

CERTIFICATE OF Autopsy 8-Hour Online Training

ref:

www.autopsy.com

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #อบรม AUTOPSY BASICS

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics: ANDROID FORENSIC ANALYSIS WITH AUTOPSY

Digital Forensics: ANDROID FORENSIC ANALYSIS WITH AUTOPSY

Autopsy

VERSION 4.13.0 FOR WINDOWS

the Android Analyzer Module, which makes it possible to extract the following artifacts:

• The module should be able to extract the following:
  • Text messages / SMS / MMS
  • Call Logs
  • Contacts
  • GPS from the browser and Google Maps
  • GPS from cache.wifi and cache.cell files
  The module may also extract data from the following apps:
• Facebook Messenger
• IMO
• Line
• Opera Browser
• Orux Maps
• S-Browser
• ShareIt
• Skype
• Tango
• TextNow
• Viber
• WhatsApp
• Words with Friends
• Xender
• Zapya
• 

1.Let’s create a case and add an Android physical image.

2. Choose our data source:

*.bin

3. Now choose the ingest modules you want to run on the image:

Android Analyzer

4. Here is what we got from the Android Analyzer module:

Deleted Files

Deleted Files

PhotoRec Carver module helps a mobile forensic examiner to extract data from unallocated space via carving technique:

 Call Los

EXIF metadata is extracted by EXIF Parser module

  Email Address

 Forensics Report

ที่มา:
https://wiki.sleuthkit.org/index.php?title=Autopsy_3rd_Party_Modules

https://www.autopsy.com/download/

https://sleuthkit.discourse.group/
https://www.digitalforensics.com/blog/android-forensic-analysis-with-autopsy/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:Autopsy

Digital Forensics:Autopsy

Autopsy®เป็นโปรแกรมที่ใช้งานง่ายบน GUI ที่ช่วยให้คุณวิเคราะห์ฮาร์ดไดรฟ์และสมาร์ทโฟนได้อย่างมีประสิทธิภาพ มันมีปลั๊กอินที่ช่วยให้คุณค้นหาโมดูลเสริมหรือพัฒนาโมดูลที่กำหนดเองใน Java หรือ Python

Autopsy Digital Forensic Examiner

 1. ทำการติดตั้ง Autopsy  Download Autopsy
 2.  ตั้งชื่อ Case  Digital Forensic Examiner 101

 Case Name Digital Forensic Examiner 101

 3. เลื่อก ไฟล์สำเนาหลักฐาน (forensic Disk Image File )

Disk Image

 4. เลื่อก Raw file  *.DD , *.E01 *.001 *.raw ,*.bin *.img ,*.vhd ,*.vmdk

Disk Image.E01

 5. เลื่อกใช้ Module ที่จะค้นหา

Modules

 6. เมื่อเลือกเสร็จโปรแกรมจะแสดงรายละเอียดและแสดงผลออกมา

Autopsy   Digital Forensic Examiner 101

ข้อมูลที่พบจาก Temporary internet files

Temporary internet files

ข้อมูลที่พบจาก Keyword Search

Keyword Search

 ข้อมูลที่พบจาก Print Spooling

Print Spooling

  ข้อมูลที่พบจาก Recent File

Recent File

   ข้อมูลที่พบจาก Carving

Data Carving

 7.Autopsy สามารถแสดงรายงานได้หลายรุปแบบ  เช่น HTML report

Autopsy Digital Forensic Examiner Report

  8.Autopsy สามารถแสดงค่า Hash ของ Disk Image

MD5 Hash

Starting a New Digital Forensic Investigation Case in Autopsy

Credit:DFIR.Science

ที่มา:
autopsy

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud #สอนการใช้ Autopsy