Identifying uninstalled software using Event Logs with Osforensics

Windows Event Logs are a detailed record of system, security, and application notifications and messages stored by the Windows operating system. These logs are invaluable for troubleshooting, monitoring system health, and analyzing security incidents.

Here's an overview of the main types of Windows Event Logs:

1. Application Logs: These contain events logged by applications or programs. For example, a database application might record errors and significant operations here.

2. Security Logs: These log security-related events, such as login attempts, resource access, and system changes. They are crucial for auditing and monitoring security-related activities.

3. System Logs: These contain events logged by Windows system components. For example, drivers and services will log events here when they encounter issues or perform significant actions.

4. Setup Logs: These are used for logging events related to the installation of applications or system components.

5. Forwarded Events: These are events collected from remote computers and stored locally.

Windows Event Logs are stored at the following path: C:\Windows\System32\winevt\Logs

Osforensics V7 can be used to help identify uninstalled software. Open the Event Log Viewer from the Start screen in OSF…

Like many other actions and events recorded within the Windows Event Logs you can analyze these logs for records of uninstalled software. 

You will first need to run a scan to search for any Event Logs that are located on a forensic image file or connected drive. Once complete, navigate to the Application event logs

There will likely be tens of thousands of Application event logs on a system. To quickly identify logs that contain information about uninstalled software, use the Preset filtering options that are available in the drop-down menu

Choose the ‘Software Package Removal Success’ preset which will then filter and present you with all logs with Event ID 11724 that deal with software uninstallation.

In the example above, we can see that the software application ‘OpenVPN 2.6 was successfully uninstalled on 2/13/2024 at 10:29:29. Unfortunately, in our testing, this data is not comprehensive, meaning it does not seem to contain a complete historical list of uninstalled software.

อ่านเพิ่มเติม :

• How To Check If Someone Else Is Using Your Computer
• How to Determine the Last Shutdown Time and Date in Windows
• Windows Event Viewer

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

DIGITAL FORENSICS: pfic-conference 2023

PFIC brings together the best in digital data training covering a broad range of topics from DFIR, OSINT, eDiscovery, ransomware, malware, and more. When you attend PFIC you are guaranteed to learn something new.

AUGUST 1-4, 2023

The cost is $199.00 U.S. Virtual

วันนี้แอด จะมาเล่าประสบการณ์ในงาน pfic-conference 2023  แอดได้รับสิทธิในการเข้างาน Online นี้ฟรีจาก The Cyber Socal Hub และ การสนับสนุนจาก Paraben Corporation. สิ่งที่ได้รับจากงานนี้คือ   ได้เข้าอบรมและ เอกสาร Materials และ Software ให้ทดลองใช้

Agenda:

Sponsors:

Presentation  

Bonus Free 3 Month software :

3-month license of E3:CLOUD software from attending PFIC 2023.

Materials:

ที่มา : pfic-conference

อ่านเพิ่มเติม: OSForensics

                     Paraben Corporation

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics:SQLite Forensics with OSForensic

SQLite Database Browser

The SQLite Database (DB) Browser module allows the user to analyze the contents of SQLite database files. This module provides the ability to perform a deeper inspection of the contents and the ability to open BLOBs (binary data) with the Internal Viewer.

OSForensics™ 

includes an SQLite database viewer for databases stored in the SQLite file format. The SQLite database format is used by several platforms, such as the iPhone, Firefox and Chrome.

Step 1. SQLite Sample Database

 

Step 2.Click Other Devices available.. 

Step 3. Open  Sample Database (msgstore.db)

Step 4. Open  database ( msgstore.db) and find a message “Greetings, Tom”. When was this message received?

Step 5. Search Table

Step 6. Copy message received (1669655413313)

Step 7.  Unix Timestamp Conversion Tools

 Step 8. This answer is correct  11/28/2022 5:10:13 PM

Step 9. A few messages have been revoked from the same database (msgstore.db). When did it happen? Select all timestamps (UTC time) which apply. 

Hint: check the table “message_revoked” and use column conversion

Step 8.  Unix Timestamp Conversion Tools

Step 11. This answer is correct 

        8/26/2022 9:31:28 AM

        8/30/2022 2:39:00 PM

Analyze the contents of SQLite Database Files with OSForensics

Refer:SQLite Database Browser

อ่านเพิ่มเติม:  Timestamp

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

DIGITAL FORENSICS:Verify the integrity of files by calculating the hash value with OSForensics

OSForensics เป็นโปรแกรมที่พัฒนาโดย PassMark Software ซอฟต์แวร์นี้ช่วยให้ผู้ใช้ดึงหลักฐานทางนิติวิทยาศาสตร์ดิจิทัลออกจากคอมพิวเตอร์ด้วยการค้นหาไฟล์ขั้นสูงและการจัดทำดัชนี และช่วยให้สามารถจัดการข้อมูลนี้ได้อย่างมีประสิทธิภาพ ระบุไฟล์และกิจกรรมที่น่าสงสัยด้วยการจับคู่แฮช การเปรียบเทียบลายเซ็นของไดรฟ์ อีเมล หน่วยความจำ และข้อมูลไบนารี จัดการการตรวจสอบทางดิจิทัลของคุณและสร้างรายงานจากข้อมูลทางนิติดิจิทัลที่เก็บรวบรวมได้

มีฟังก์ชั่น Verify / Create Hash ใช้สำหรับตรวจสอบความสมบูรณ์ของไฟล์โดยการคำนวณค่าแฮช นอกจากนี้ยังสามารถใช้เพื่อสร้างแฮชของทั้งพาร์ติชัน (partition)หรือฟิสิคัลดิสก์ไดรฟ์ (physical disk drive)หรือสตริงข้อความธรรมดา

How to check the MD5 (or SHA1) hash checksum of an entire Volume.

1. Navigate to "Verify/Create Hash" from the sidebar or Start page in OSForensics
2. Select "Volume" and the disk/volume that was added in Step 2 from the dropdown list
3. Select the hash function and click the Calculate button
4. Once the hash has been calculated, copy/paste the expected hash value into the comparison hash field. If the hash matches, a green checkmark appears. Otherwise, a red cross is displayed

How to check the MD5 (or SHA1) hash checksum of file.

1. Navigate to "Verify/Create Hash" from the sidebar or Start page in OSForensics
2. Select "File"  leakage-answers.pdf
3. Select the hash function and click the Calculate button
4. Once the hash has been calculated, copy/paste the expected hash value into the comparison hash field. If the hash matches, a green checkmark appears. Otherwise, a red cross is displayed

How to check the MD5 (or SHA1) hash checksum of text.

 partition 

อ่านเพิ่มเติม

• การคัดกรองข้อมูลในหลักฐาน (Triage/Preview)
• แนะนำการ Rebuild RAID ด้วยโปรแกรม OSForensic 
• How to Wipe Hard Disk with OSforensics

Referent: Passmark

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

DIGITAL FORENSICS: Booting a forensics image on a Virtual Machine

Starting with V9. of OSForensics, booting a forensic image of a system disk as a virtual machine has never been easier.

When performing forensic investigation on an image of a target system drive, it is often necessary to recreate and examine the live environment of the system to acquire all relevant data during the investigation. By running the image as a live system, the investigator can perform a live forensic analysis of the image, allowing for the potential discovery of additional forensic artifacts that may not have been previously uncovered from a traditional static analysis. Finally, because the system is running in a protected virtual environment created from the forensic image file, there is no risk of compromising the target system.

To access this feature from the Start screen, simply click the Boot Virtual Machine icon or module button as shown above.

Users simply need to point OSF to the forensic image file of the target O/S drive, review a few other options and features and click the ‘Boot VM’ button.

Steps

• 1. Select image file.
• 2. Choose OS if image is of a multi-boot system.
• 3. Choose VirtualBox or VM Workstation. (Must be pre-installed)
• 4. Review technical specifications.
• 5. Attach any additional disk images.
• 6. Choose or review VM options and User account to boot.
• 7. Click “Boot VM”
  

After clicking ‘Boot VM’, the real-time log with begin recording all of the processes taking place behind the scenes. Once completed, your VM software will launch and the selected user account will boot…

Analyzing the Live System

Once the boot process is complete, you may begin analyzing and searching through the live system. In addition to being able to review the Desktop layout, the Recycle Bin, and proprietary files in their native application, this also provides a great visual aid for screenshotting evidence to present to a client or in court when necessary.

Screenshots allow you to capture evidence files and artifacts just as they may have appeared through the eyes of the user. Some examples include…

• Jumplists (recent webpages, Word docs, etc.)
• Autorun Apps.
• Previous custom desktop backgrounds
• Settings for certain applications (e.g., CCleaner)
• Search term history from P2P and other applications

Autorun Apps.

A VHD File

Network Drive

Booting a forensic image in VirtualBox with FTK Imager

How to convert an Encase (E01) image using VFC

Forensic Image Virtual Boot:Learn how to create a Virtual Machine from a Forensic Disk Image

Credit:osforensics

 หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

Digital Forensics:Auto Triage OSForensics

Digital Forensics:Auto Triage OSForensics

การคัดกรองข้อมูลในหลักฐาน (Triage/Preview)

การคัดกรองข้อมูลในหลักฐาน เป็นกระบวนการ เพื่อเปิดดู คัดแยก และจัดลำดับความสำคัญ

ข้อมูลที่เกี่ยวข้องสำหรับเก็บรวบรวมและตรวจวิเคราะห์ในภายหลัง โดยให้เกิดการเปลี่ยนแปลง

ของข้อมูลน้อยที่สุด และการเปลี่ยนแปลงนั้นต้องไม่เกี่ยวข้องกับสาระสำคัญของพยานหลักฐาน

ดิจิทัล โดยการปฏิบัติกระบวนการนี้ขึ้นอยู่กับความเหมาะสม หรือความจำเป็น แล้วแต่กรณีเช่น

เงื่อนไขความเร่งด่วนในการทราบผล

เครื่องมือที่ใช้ในกระบวนการคัดกรอง (Triage/Preview tools)

เป็นเครื่องมือที่ใช้ในการคัดกรองข้อมูลที่คาดว่าเกี่ยวข้องกับคดีจากหลักฐาน เพื่อให้ได้ข้อมูลเบื้องต้นมา

อย่างรวดเร็ว ไม่ต้องรอให้สำเนาข้อมูลเสร็จก่อน โดยเครื่องมือจะสามารถแสดงผลข้อมูลแบบแบ่งเป็น

ประเภทต่าง ๆ ได้ทำให้สามารถวิเคราะห์ข้อมูลที่พบได้เร็วขึ้น โดยไม่ทำให้ข้อมูลในหลักฐานเปลี่ยนแปลง

ในกรณีที่ต้องจัดให้มีการคัดกรองข้อมูลในหลักฐาน มีข้อพึงระวัง ดังนี้

(1) ผู้ดำเนินการต้องอธิบายสิ่งที่ได้ดำเนินการ ผลการดำเนินการ และการเปลี่ยนแปลงที่เกิด

ขึ้นกับข้อมูลภายในหลักฐานได้

(2) กระบวนการนี้เป็นเพียงขั้นตอนการตรวจสอบเบื้องต้น ซึ่งไม่สามารถทดแทนการตรวจพิสูจน์

ที่ครบถ้วนได้ จึงมีความเป็นไปได้ที่จะไม่พบข้อมูลสำคัญที่ต้องการ

(3) ก่อนดำเนินการควรตรวจสอบให้แน่ใจว่าซอฟต์แวร์คัดกรองข้อมูลในหลักฐานที่เตรียมมา

สามารถใช้กับหลักฐานนั้น ๆ ได้

(4) ผู้ดำเนินการต้องพยายามไม่ทำให้วันเวลาของข้อมูลที่บันทึกในหลักฐานเปลี่ยนแปลงไป

เช่น โปรแกรม OSForensics มี Feature Auto Triage

Step 1. Launching Auto Triage

Open the OSForensics application and click on the "Auto Triage" icon located on the Start screen. You can also click the "Auto Triage" module from the Workflow as shown below.

 Auto Triage

Step 2. Review Default Settings

The Auto Triage window will appear. Review the settings and make any necessary changes to the default settings prior to initiating the scan.

Live Acquisition Auto Triage

Step 2.1 Review Config Options

Clicking on the “Config” link will open a new dialog window allowing the user to select specific files, folders and directories to be exported into a Logical Image file…

Step 3. Start Scan

After confirming that the case folder location, drive, and scanning options are correct, simply click the "Start Scan" button to start the Auto Triage scan.

Scan Options > Memory Dump ,Process list , User Activity 

Step 4. Review Results

You will see the status of each scan in real-time under the "Status" column. The process is complete when all scans show "Finished". To review results, simply click on the hyperlinks to review the data in the main OSForensics' interface.

Reviewing Results

Generate PDF  Report

Recently Used

Memory Dump *.bin

Process list

Carve delete files in unallocated clusters

Refer: auto-triage

           ข้อเสนอแนะมาตรฐานการจัดการอุปกรณ์ดิจิทัลในงานตรวจพิสูจน์พยานหลักฐาน Version 1.0

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud