DIGITAL FORENSICS:CORPORATE INVESTIGATIONS WITH BELKASOFT

free on-demand course Corporate Investigations with Belkasoft: Training Course

This course is designed for those who aim to harden the security of their business networks and learn how to enable quick incident response procedures to a variety of data breaches.  

Another potential audience for this course is CIRT/incident response team members, whose role is to take care of the company’s internal investigations, including employee misconduct, trade secrets theft and so on. Corporate eDiscovery and cyber compliance specialists will also find this course useful. 

ฟรีหลักสูตรอบรมตรวจพิสูจน์พยานหลักฐานทางดิจิทัลในเครือข่ายธุรกิจ  

หลักสูตรนี้ออกแบบมาสำหรับผู้ที่ต้องการเพิ่มความปลอดภัยให้กับเครือข่ายธุรกิจและเรียนรู้วิธีเปิดใช้งานขั้นตอนการตอบสนองต่อเหตุการณ์อย่างรวดเร็วต่อการละเมิดข้อมูลที่หลากหลาย และ  สมาชิกในทีมรับมือเหตุฉุกเฉิน CIRT ซึ่งมีหน้าที่ดูแลการสืบสวนภายในของบริษัท รวมถึงการประพฤติมิชอบของพนักงาน การขโมยความลับทางการค้า และอื่นๆ ผู้เชี่ยวชาญด้าน eDiscovery ขององค์กรและการปฏิบัติตามข้อบังคับทางไซเบอร์จะพบว่าหลักสูตรนี้มีประโยชน์เช่นกัน

a data source (E01 image)

1.  Download the image (7 GB) using one of these links:

Direct: dl.spbctf.com/BelkaDay_SUSPECT_LAPTOP.7z
Torrent: dl.spbctf.com/BelkaDay_SUSPECT_LAPTOP.7z.torrent

Unpack the archive file
Archive password: vr3KapmZ1tI42H7qARF0

What was the last wireless connection on the system?

What time zone is set on the suspect machine? Has it been changed recently?

:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Time Zones

:Easter Island Standard Time, not changed recently

You believe that SDelete was used to hide evidence in the training case. Where could you see the traces of its potential execution? Select all that apply.

Prefetch files

ActivitiesCache.db (Windows 10 Timeline) 

Location of Windows 10 Timeline Database

C:\Users\<profile>\AppData\Local\ConnectedDevicesPlatform\L.<profile>\ActivitiesCache.db

WxTCmd is a parser for the new Windows 10 Timeline feature database.

What information could be obtained from Jumplists?

You are going to first look in Anit.ghosh’s Recent folder. This is located in the following path for versions 7-10 of Windows:

This folder contains the user’s link files. A link file, or LNK, is a Windows shortcut that points back to an original file. A link file is generally created when a file is first opened. Link files are important during analysis, because they show where files were located, when they were opened, and they contain date and time stamps associated with the file. If you look at Windows Explorer and go to the Recent folder, you can see your own link files.

Back in Autopsy, look at the link file called PHOTOS.7z.lnk and click on the Results view. Autopsy will show you the path of where PHOTOS.7z was stored when it was opened. 

Highlight Jump Lists in AutomaticDestinations, Right-Click and Select Extract File(s)

Click Load in Jumplist Explorer. Navigate to your export folder that contains the jump list files. Highlight and select each jump list file and click Open

Find a source code package downloaded from git.pm.internal. What is the SHA256 hash of the archive file?

Which file was downloaded from a browser after the user connected to the wireless network: “Network 4”?

You have a hashset database and need to check which files were present on the suspect machine. Which of the following files were detected during hashset analysis?

Advanced Live RAM analysis with Belkasoft

 Thank you for completing the Belkasoft Training Course.

 

Refer: belkasoft corporate-investigations-training

         windows-10-timeline-analysis

         WxTCmd is a parser for the new Windows 10 Timeline feature database.

         windows-10-timeline-forensic-artefacts

         CARVING AND ITS IMPLEMENTATIONS IN DIGITAL FORENSICS

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:Windows Artifacts Jump list(Part II)

 Digital Forensics:Windows Artifacts Jump list (Part II) 

Forensic artifacts are the forensic objects that have some forensic value. Any object that contains some data or evidence of something that has occurred like logs, register, hives, and many more. In this section, we will be going through some of the forensic artifacts that a forensic investigator look for while performing a Forensic analysis in Windows.

สิ่งประดิษฐ์ทางนิติวิทยาศาสตร์ ที่มีค่าทางนิติวิทยาศาสตร์บางอย่าง  เช่น  ข้อมูลหรือหลักฐานบางอย่างที่เกิดขึ้น เช่น บันทึก  (event log )  , ค่า Windows Registry  และอื่นๆ อีกมากมาย ในส่วนนี้ เราจะพูดถึงสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์ที่ผู้ตรวจสอบพิสูจน์หลักฐานทางดิจิทัลมองหาขณะทำการวิเคราะห์หลักฐานดิจิทัลใน Windows เช่น ข้อมูลใน  Recycle Bin ,Metadata , LNK Files, Jump Lists, Prefetch Files ,Remote Desktop Protocol Cache

Jump Lists เป็นคุณสมบัติใหม่เปิดตัวในเดือนกรกฎาคม 2009 ด้วยการเปิดตัว Windows 7 และ มีในเวอร์ชันของ Windows   10  

Jump list   ถูกสร้างโดยระบบปฏิบัติการดังนั้น  ผู้ใช้สามารถ “Jump” ได้โดยตรงไปยังไฟล์ (files)(ที่เพิ่งเปิดล่าสุดและโฟลเดอร์ (folders)    ในส่วน Start หรือ Taskbar ข้อมูลที่บันทึกไว้  และแสดงจำนวนรายการที่เคยเรียกใช้

Jump Lists ทำหน้าที่เก็บรายการ การเข้าถึงไฟล์และโฟลเดอร์ล่าสุดที่เราเรียกเปิดโปรแกรมต่างๆ มาว่าจะเป็นไฟล์เอกสาร ไฟล์เพลง ไฟล์วิดีโอ หรือไฟล์อื่นๆ เราเพียงคลิกขวาที่ไอคอน Windows Explorer ที่ Taskbar ก็จะเห็นรายการไฟล์ที่เรียกใช้  สามารถให้ข้อมูลประวัติผู้ใช้ หรือแอปพลิเคชัน ชื่อไฟล์ เส้นทางของไฟล์ MAC (แก้ไข เข้าถึง และสร้าง) Jump list เหล่านี้ยังคงอยู่แม้หลังจากไฟล์และเป้าหมาย แอปพลิเคชันจะถูกลบออกจากระบบแล้ว

Jump List

เป็นรายชื่อของรายการที่ถูกเปิดใช้งานล่าสุด เช่น ไฟล์ โฟลเดอร์ หรือเว็บไซต์ เมื่อคลิกขวาที่โปรแกรมไมโครซอฟท์พาวเวอร์พอยต์ (MS PowerPoint) บนแถบแสดงกำรทำงานของโปรแกรม (Taskbar) จะปรากฏชื่อไฟล์ MS PowerPoint ที่เคยเปิดใช้งานล่าสุด

ตำแหน่งของ  JUMP LISTS

%systemdrive%\Users\%username%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

มาทดสอบและค้นหาข้อมูลที่ได้จาก JUMP LISTS

เมื่อมีการเปิด App ไฟล์ชื่ออะไรบ้าง
  1. ยกตัวอย่าง เปิดโปรแกรม  Microsoft Paint  มีประวัติอะไรบ้าง  หรือเปิดไฟล์อะไรบ้าง

Paint recent Pictures

2.Recent Items บอกที่อยู่ของไฟล์

Jump Lists Folders

The jump lists information is stored under the following folders:

C:\Users\[User Profile]\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

C:\Users\[User Profile]\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations

ตัวอย่าง
1.ทำการสร้างไฟล์รูป และบันทึกบนโฟล์เดอร์  "C:\Users\.....\Download\Location of automaticDestinations-ms files in Windows.jpg"

2.สังเกตุใน Path Location   %systemdrive%\Users\%username%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

   

ตรวจสอบ Jumplist  ให้คลิกขวาที่ไอคอน Microsoft Paint ที่ Taskbar ?จะมีรายการไฟล์ที่เคยเปิดแสดงออกมา

3.ใช้โปรแกรม  Jump list explorer By Eric Zimmerman Freeware  

การค้นหา ตำแหน่งของ  JUMP LIST โดยใช้ Browser 

ทำการ copy  path ไปเปิดใน  Jump list explorer

AppId := 12dc1ea8e34b5a6

AppId Description:  คือ Microsoft Paint 6.1

Lnk File Count :1538

จะเห็นได้ว่ามีการใช้โปรแกรม Microsoft Paint เปิดไฟล์รูปภาพหลายครั้ง โดยสังเกตุจากชื่อไฟล์

JumpListsView เป็นฟรีโปรแกรมที่ใช้สำหรับเปิดดูประวัติรายการที่ถูกเปิดใช้งานล่าสุด เช่น ไฟล์ โฟลเดอร์ หรือ เว็บไซต์

4. ใช้โปรแกรม jump list view  by Nir Soft เปิด

JumpListsView is a simple tool that displays the information stored by the 'Jump Lists' feature of Windows 7 and Windows 8. For every record found in the Jump Lists, 

Application Id = 12dc1ea8e34b5a06 

Application name  ไม่แสดงชื่อโปรแกรม

จะเห็นได้ว่ามีการใช้ AppId นี้เปิดไฟล์รูปภาพหลายครั้ง โดยสังเกตุจากชื่อไฟล์

5.เปิดไฟล์รูป แก้ไขเอกสาร สังเกต Date & Time    ใน Path Location

Location: C:\Users\......\Downloads\Jumplist Location of automaticDestinations-ms files in Windows.jpg

‎Created, ‎September ‎27, ‎2021, ‏‎4:04:22 PM

‎Modified, ‎September ‎27, ‎2021, ‏‎4:49:38 PM

‎Accessed, ‎September ‎27, ‎2021, ‏‎4:49:38 PM

Location: C:\Users\......\AppData\Roaming\Microsoft\Windows\Recent         Shortcut (.lnk)

‎Created, ,   ‎September ‎27, ‎2021, ‏‎4:04:23 PM

‎Modified, ‎   September ‎28, ‎2021

‎Accessed, ‎‎ September ‎28, ‎2021

Location: C:\Users\.....\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\12dc1ea8e34b5a6.automaticDestinations-ms

‎Created, ,  ‎  March ‎5, ‎2019, ‏‎5:09:00 PM

‎Modified, ‎   ‎ September ‎28, ‎2021

‎Accessed, ‎‎  ‎March ‎5, ‎2019, ‏‎5:09:00 PM

อ่านเพิ่มเติม : jump-list 

                        Windows 10 Jump List and Link File Artifacts - Saved, Copied and Moved

ที่มา :A forensic insight into Windows 10 Jump Lists Bhupendra Singh  , Upasna Singh

        

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

Digital Forensics:Jump list

Digital Forensics:Jump list

Jump list เป็นคุณลักษณะที่นำมาใช้ใน Windows 7 ช่วยให้คุณสามารถดูเอกสารล่าสุดในโปรแกรมที่ถูก Pin ไว้ที่ทาสก์บาร์ของคุณ รูปภาพเป็นตัวอย่างของJump listใน Windows 7 

Jump Lists ที่ว่านี่ จะเป็นรายการทางลัดการแสดงผลประวัติรายการที่เคยถูกเรียกใช้งานบ่อยๆ ไม่ว่าจะเป็นไฟล์เอกสาร Microsoft Office, เว็บเบราว์เซอร์, File Explorer, โปรแกรมมัลติมีเดีย, Text Editor ต่างๆ, ฯลฯ โดยเมื่อมีการเปิดเรียกใช้งานตัวโปรแกรม แล้วผู้ใช้งานสั่งคลิกขวาที่ทาสก์บาร์ ก็จะมีประวัติรายการรายชื่อไฟล์ที่เคยถูกเรียกใช้งานแสดงขึ้นมา

Jump list ทำหน้าที่เก็บรายการไฟล์ล่าสุดที่เราเรียกเปิดโปรแกรมต่างๆ มาว่าจะเป็นไฟล์เอกสาร ไฟล์เพลง ไฟล์วิดีโอ หรือไฟล์อื่นๆ เราเพียงคลิกขวาที่ไอคอน Windows Explorer ที่ Taskbar ก็จะเห็นรายการไฟล์ที่เรียกใช้ จุดประสงค์ของฟีเจอร์นี้ก็เพื่อให้ผู้ใช้คลิกเลือกไฟล์ที่เคยเปิดใช้แล้วที่นี่ ในกรณีที่ต้องการใช้ใหม่ในครั้งต่อไป จะได้รวดเร็วไม่ต้องไปคลิกที่ตัวไฟล์หรือโปรแกรม แต่ถ้าคุณเป็นคนที่ไม่ต้องการให้คนอื่นมาคลิกดูว่าคุณเคยเปิดใช้ไฟล์อะไรมาก่อน ก็สามารถเอาชื่อไฟล์ออกจากรายการได้

วิธีล้างรายการไฟล์ทำได้ดังนี้

ให้คลิกขวาที่ไอคอน Windows Explorer ที่ Taskbar ?จะมีรายการไฟล์แสดงออกมาให้คลิกขวาที่รายการที่ต้องการเอาออกเลือกคำสั่ง Remove form this list

 

รูปจาก notebookspec.com

 

ในกรณีที่ไม่ต้องการให้ Jump List จำค่าการใช้งานไฟล์เลย ก็ทำได้โดย ให้คลิกขวาที่ Taskbar เลือกคำสั่ง Properties ที่หน้าต่าง Taskbar Properties มาที่แท็บ Jump Lists ให้คลิกเอาเครื่องหมายถูกออกจาก

Store recently opened programs และ Store and display recently opened items in Jump Lists แล้วคลิก OK

 

รูปจาก notebookspec.com

 Jump List files are created on a per user basis, and located (the AppData directory is hidden by default from the user):
\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\
‘%systemdrive%\Users\%username%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations’

Episode 16: “Quick Win” files #2 - Jumplists-Part 1

Episode 17: “Quick Win” files #2 - Jumplists-Part 2

 

 

ref:

jumplist

notebookspec.com jump-list

forensic-analysis-of-windows-7-jump-lists/

windows-10-jump-list-forensics/ 

ศึกษาเพิ่มเติม Windows Artifacts Jump list(Part II)

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ