Mobile Forensics:Oxygen Forensics

Mobile Forensics:Oxygen Forensics

Oxygen Forensics ® Detective คือ ซอฟต์แวร์นิติวิทยาศาสตร์ ใช้สืบค้นพยานทางดิจิทัลจากอุปกรณ์โทรศัพท์เคลื่อนที่และหลักฐานบนระบบคลาวด์คอมพิวติ้ง  และอุปกรณ์ IoT

Oxygen Forensic® Detective ผลิตโดย บริษัท Oxygen Forensic เป็นแพลตฟอร์มซอฟต์แวร์ทางนิติวิทยาศาสตร์แบบครบวงจรที่สร้างขึ้นเพื่อแยก ถอดรหัส และวิเคราะห์ข้อมูลจากแหล่งข้อมูลดิจิทัลหลายแหล่ง: อุปกรณ์เคลื่อนที่ Mobile และ IoT การสำรองข้อมูลอุปกรณ์ UICC และ media cards , โดรน และบริการคลาวด์ Oxygen Forensic® Detective ยังสามารถค้นหาและ  ไฟล์ระบบ และข้อมูลรับรองจากเครื่อง Windows, macOS และ Linux ได้มากมาย

Oxygen Forensic® Extractor เป็นซอฟต์แวร์แบบสแตนด์อโลนสำหรับการดึงข้อมูลจากอุปกรณ์มือถือ Extractor ช่วยให้คุณสามารถเชื่อมต่ออุปกรณ์ Apple iOS และ Android ได้หลากหลาย นำเข้าข้อมูลสำรองอุปกรณ์ต่างๆ เพื่อกู้คืนหลักฐานดิจิทัลอันมีค่าได้อย่างรวดเร็วและมีประสิทธิภาพ เมื่อดึงข้อมูลแล้ว ผู้ใช้สามารถเลือกที่จะบันทึกลงในการสำรองข้อมูล OFB เพื่อนำเข้าในภายหลังไปยัง Oxygen Forensic® Detective  ซื้อแยกต่างหากหรือส่งออกไปยังรูปแบบรายงานรูปแบบใดรูปแบบหนึ่งของเราทันที เช่น PDF, HTML, XML เป็นต้น

อุปกรณ์

1.สมาร์ทโฟน Samsung Galaxy A20(SM-A205F)ระบบปฏิบัติการ Android 10  ณ ขณะที่ทำการทดลอง การใช้อุปกรณ์และรุ่นของระบบที่แตกต่างกันอาจทำให้ข้อมูลที่ได้นั้นไม่เหมือนกัน)

2. คอมพิวเตอรโน๊คบุ๊ค CPU AMD Ryzen 5 Pro 4650U Ram 32 GB. HDD 500GB. หรือสูงกว่า, Microsoft Windows 10

3. ซอฟต์แวร์ที่ใช้ คือ Oxygen Forensics Extractor  v.13.3.0.65

ขั้นตอนที่ 1 การเตรียมเครื่องมือในการสกัดข้อมูล

1.1 เตรียมเครื่องคอมพิวเตอร์ที่จะนำมาใช้ในการสกัดข้อมูล โดยติดตั้ง Microsoft Windows 10

1.2 ทำการติดตั้งซอฟต์แวร์   Oxygen Forensics, จากนั้นติดตั้งไดร์เวอร์ (Driver) ของสมาร์ทโฟน

ขั้นตอนที่ 2 เตรียมสมาร์ทโฟน

2.1 เปิดโหมดเครื่องบิน จากนั้นปลดล๊อครหัสผ่าน ทำการชาร์จแบตเตอรี่ให้เต็ม

2.2 เปิดโหมด USB Debugging จากนั้นยอมรับ RSA Key สำหรับระบบปฏิบัติการแอนดรอยด์ และทำการตรวจสอบว่า เปิด Stay Awake Mode และ ปิด USB Modem

2.3 ตรวจสอบว่าติดตั้งไดร์เวอร์ (Driver) ของอุปกรณ์แล้ว

ขั้นตอนที่ 3 การสกัดข้อมูลจากสมาร์ทโฟน ด้วยเครื่องมือ Oxygen Forensics

3.1 ตรวจสอบ License เข้ากับเครื่องคอมพิวเตอร์ จากนั้นเปิด ซอฟต์แวร์  Oxygen Forensics

3.2 ทำการเชื่อมต่อ สมาร์ทโฟนเข้ากับเครื่องคอมพิวเตอร์ แล้วทำการค้นหาชื่อรุ่นของโทรศัพท์ว่ารองรับหรือไม่ จากนั้นทำการเลือกรุ่นโทรศัพท์ให้ตรงกับรุ่นที่เราจะสกัดข้อมูล แล้วทำการเลือก (Directory)ที่จะเก็บข้อมูลไปยังสื่อบันทึกข้อมูล

3.3 ทำการเลือกเมนูในการสกัดข้อมูลAndroid  (Android Extractions) เมื่อสกัดข้อมูลเรียบร้อยแล้ว  

Android OxyAgent Extraction

Oxygen Forensic® Extractor

สรุป

จากการทดสอบนั้นจะเห็นได้ว่าเครื่องมือในการสกัดข้อมูล(extraction)ที่รองรับการสกัดข้อมูล(extraction)จากอุปกรณ์สื่อสารเคลื่อนที่ แอนดรอยด์  ไม่สามารถสกัดเอาข้อมูลออกจากอุปกรณ์สื่อสารเคลื่อนที่แอนดรอยด์ได้ในบางเครื่องมือ เนื่องจากเครื่องมือที่ต่างชนิดกันมีเทคนิคที่ใช้ในการสกัดข้อมูล(extraction) ออกมาไม่เหมือนกัน ทำให้เครื่องมือบางตัวนั้นไม่สามารถผ่านระบบรักษาความปลอดภัยของแอปพลิเคชันเข้าไปได้ หรือบางตัวไม่สามารถผ่านเข้าไปได้ตั้งแต่ระบบรักษาความปลอดภัยของระบบปฏิบัติการ จึงส่งผลให้ อุปกรณ์สื่อสารเคลื่อนที่ ที่ส่งให้ผู้ตรวจมาตรวจสอบข้อมูลนั้น ทางผู้ตรวจจึงไม่สามารถจะตรวจหาข้อมูลให้ได้ 

ที่มา:www.oxygen-forensic.com 

 The Study of Verification Techniques by Extracting Data from Application Line Using Forensic Tools:Pattadon Tantiphantarak* and Gedsirin Eksinitkun

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

Digital Forensics:CAPTURE THE FLAG BELKADAY

Digital Forensics:CAPTURE THE FLAG BELKADAY

วันนี้มาแนะนำการแข่งขัน Belkasoft CTF  ซึ่งจัดโดยบริษัท  Belkasoft  เป็นโซลูชันด้านนิติวิทยาศาสตร์และ incident response ที่ใช้งานง่ายและมีประสิทธิภาพซึ่งช่วยลดความซับซ้อนและเร่งขั้นตอนการสืบสวนทางดิจิทัล   โดยกิจกรรมจะเปิดและปิดเป็นช่วง   March 2021

Hi, brave CTF warriors!

You can download the CTF image (7 GB) using one of these links: pass: rhpm

Direct: dl.spbctf.com/BelkaDay_SUSPECT_LAPTOP.7z
Torrent: dl.spbctf.com/BelkaDay_SUSPECT_LAPTOP.7z.torrent
Archive password: vr3KapmZ1tI42H7qARF0

Flag

Anit Ghosh

Flag

Ifangstrasse 6, 8952 Schlieren, Zurich, Switzerland

Flag

Thu, 05 Nov 2020 19:21:56 UTC (the flag submission engine accepted various time formats, including the 12-hour format with 'PM' indication)

Flag

John Finney, Noelle Johnson, Rachel Corbin (any order, with or without commas, case-insensitive. First or last names only are not accepted)

Flag

add33ea905399c5063bcc3437cb5c0436a2fd6deb086bb0ec5bf886f72767242

Flag

Mark Zukko 381

1. Then, inspect its alternative stream Zone.Identifier:
   
   \Users\anit.ghosh\Downloads>cat xraicommend-761263a55b8cfed4bcb8f87cbbb68beaf2ec2423.tar.gz:Zone.Identifier
   
   [ZoneTransfer]
   ZoneId=3
   HostUrl=http://git.pm.internal/GBringley/xraicommend/archive/761263a55b8cfed4bcb8f87cbbb68beaf2ec2423.tar.gz

Flag

http://git.pm.internal/GBringley/xraicommend/archive/761263a55b8cfed4bcb8f87cbbb68beaf2ec2423.tar.gz

Flag

+8562097771657, +8562099907377

In '\Users\anit.ghosh\AppData\Roaming\Microsoft\Windows\Recent\' there is a shortcut PHOTOS.lnk, pointing to C:\Users\anit.ghosh\Desktop\tmp\PHOTOS.7z.

Using the link https://anonfiles.com/z3jek3J2p3 you can download the PHOTOS.7z archive

root@vsi:~# sha256sum PHOTOS.7z
d96d26861e81673f7255f4e039384f77fe07f6c6e489670db6000e52c4b72113 PHOTOS.7z

Flag

48sEiGKnT5hMcZBmaDvFVg9FTdEfQByzcWSRgKDbwZHg9ELnZoto2uvHo8yqvWDztUJeHAke8E5sL9vDJGvg5fDJJtJJFdP

Belkasoft Certificate Participation

Belkasoft CTF March 2021_ Write-up

Refer: https://belkasoft.com/ctf  

           https://belkasoft.com/ctf_march/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #CTF

How to convert an Encase (E01) image using VFC Part 1

How to convert an Encase (E01) image using VFC

 VFC (Virtual Forensic Computing)

การสร้างเครื่องเสมือนจากสำเนาหลักฐานดิจิทัล (Forensic Copy)

Virtual Forensic Computing คืออะไร?

การเข้าถึง "หลักฐานดิจิทัล" สามารถให้ประโยชน์แก่ผู้ตรวจสอบ ไม่ว่าจะเป็นการสืบสวนการฉ้อโกง, การฆาตกรรม , การทารุณกรรมเด็กหรือสิ่งอื่น ๆ การมองเห็นคอมพิวเตอร์ผ่านสายตาของผู้ต้องสงสัยอาจเป็นสิ่งสำคัญ การสร้างเครื่องเสมือน (VM virtual machine) ของคอมพิวเตอร์ของผู้ต้องสงสัยเป็นวิธีง่ายๆวิธีหนึ่งในการเข้าถึงสภาพแวดล้อมของผู้ใช้ด้วยเหตุผลทางกฎหมาย เพื่อไม่ทำให้หลักฐานดิจิทัลต้นฉบับปนเปื้อนหรือโดนแก้ไข

วันนี้เรามาแนะนำเครื่องมือสร้างเครื่องเสมือนจากสำเนาหลักฐานดิจิทัล ชื่อ VFC จากบริษัท MD เป็นโปรแกรมเชิงพาณิช

สิ่งที่ต้องเตรียมสำหรับการทดสอบ

- Notebook workstation

- Forensics Image file (E01) (CF002.E01)

- VFC (Virtual Forensic Computing) +Dongle

- Vmware

1. หลังจากทำการติดตั้งโปรแกรม Vmware +VFC และลง Drive  แล้วก็ทำการเปิดโปรแกรม  VFC ในเครื่อง notebook workstation พร้อมแล้ว

2.นำ Forensic Image file.(E01)  สำเนาหลักฐานดิจิทัลที่เก็บมาเตรียมไว้

3. เปิดโปรแกรม VFC (Virtual Forensic Computing)  เลือก VFC Mount

4. เปิดโปรแกรม VFC (Virtual Forensic Computing)  เลือก VFC Mount

5.ทำการเลือกคำสั่ง Mount ไปที่ไฟล์ Forensics Image file (E01) (CF002.E01)

เลือกคำสั่ง Mount

6. ทำการสร้าง VM (virtual machine ) โดยไปที่ Tab Create VM

7.เลือก VFCMount ที่ Mount ไว้ก่อนหน้านี้ เลือก  4 VFCMount Virtual Disk SCSI DISK Device 

8.ทำการเลือก Partition : Basic data partition ที่มี windows  ติดตั้งอยู่  โดยดูรายละเอียดของ OS ด้านขวาตามรูป  ตั้งชื่อ VM Name ,Virtual Disk Name

9.กด Make New VM เพื่อสร้าง VM (virtual machine ) และระบุตำแหน่งที่เก็บไฟล์ ตามรูป

10. กด Launch Now เพื่อเปิด VM (virtual machine ) ว่าสามารถทำงานได้

11. ทำการ reset password login เพื่อ  bypass windows login password

12. ทำการเข้าถึงเครื่องเสมือน (VM virtual machine) ของคอมพิวเตอร์ของผู้ต้องสงสัยหรือหลักฐานดิจิทัล เป็นวิธีหนึ่งในการเข้าถึงสภาพแวดล้อมของผู้ใช้โดยไม่ทำให้หลักฐานดิจิทัลต้นฉบับปนเปื้อนหรือโดนแก้ไข

Virtual Forensic Computing (VFC)

29th January 2021 by Forensic Focus

สรุป:

      - หากพบปัญหาไม่สามารถ Convert ได้ให้ ตรวจสอบการติดตั้ง โปรแกรม VFC (Virtual Forensic Computing) +Dongle +Vmware และ Update

 

 ตัวอย่าง     Case study 1 ,  Case study 2

อ่านเพิ่มเติม :Booting a forensic image in VirtualBox with FTK Imager

Credit:
     walkthrough-vfc-from-md5
       virtual-forensic-computing-vfc

 หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud