Timeliner 

Timeliner command in the Volatility Framework is a powerful plugin used to extract time-related artifacts from a memory dump and order them chronologically into a super-timeline for incident response and investigation

Volatility 2 Syntax

In Volatility 2, the plugin runs across multiple subsystems (processes, network, registry, file timestamps) using a specified OS profile

Step 1.Basic Command :

python vol.py -f <memory_image> --profile=<profile_name> timeliner

root@kali:~# volatility -f Desktop/wannacry/wcry.raw --profile=WinXPSP3x86 timeliner

Step 2.Save to a File :

python vol.py -f memdump.mem --profile=Win7SP1x64 timeliner > timeline.txt

# volatility -f Desktop/wannacry/wcry.raw --profile=WinXPSP3x86 timeliner > wcry_timeline.txt

Step 3.ฺ Bodyfile from Volatility

python  vol.py -f memdump.mem --profile=Win7SP1x64 timeliner --output=body > timeline.body

# volatility -f Desktop/wannacry/wcry.raw --profile=WinXPSP3x86 timeliner --output=body  >wcry_timeline.txt

Step 4. Mactime

mactime -b timeline.body

#mactime -b wcry_timeline.txt

Step 5. Export to CSV

mactime -b timeline.body -d > timeline.csv

# mactime -b wcry_timeline.txt -d > wcry_timeline

Step 6. Timeline Explorer

https[:]//ericzimmerman.github[]io/#forensic-tools

Memory Dump

      │

      ▼

Volatility timeliner

      │

      ▼

timeline.body

(Body File Format)

      │

      ▼

mactime

      │

      ▼

Timeline Report

      │

      ├── timeline.txt

      ├── timeline.csv

      └── Timeline 

Volatility Timeliner: Command step by step

อ่านเพื่มเติม Timeline Explorer

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#DataBreachCheck #คิดก่อนPrompt #AISecurity #NCSA2026

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Digital Forensics:Timeline Explorer

Timeline Explorer is a tool used in digital forensics to analyze logs  and other data sources, creating a detailed timeline of user activity. By organizing data chronologically, Timeline Explorer can help cybersecurity professionals detect anomalies that may indicate malicious activity, particularly in the past (such as time travel).

Timeline Explorer built by Eric Zimmerman, to view CSV and Excel files, filter, group, sort, etc.

FolderAccess

Timestomping can be detected by using a combination of KAPE, timeline explorer and LNK File,Windows Prefetch.

ProgramExecution

อ่านเพิ่มเติม: KAPE

ทีมา :    Eric Zimmerman's tools

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALF

นิติวิทยาศาสตร์ดิจิทัล: การตรวจสอบเหตุการณ์การเปิดและปิดระบบบนระบบปฎิบัติการวินโดว์

1. บทนำ: ทำไมเรื่องนี้จึงสำคัญ?

การหาว่าเครื่องคอมพิวเตอร์ถูกเปิดเครื่อง ปิดเครื่อง หรือรีสตาร์ทเมื่อใด เป็นงานพื้นฐานในการสืบสวนด้านนิติวิทยาศาสตร์ดิจิทัล ไทม์ไลน์นี้สามารถช่วยในเรื่องต่อไปนี้:

• ยืนยันหรือหักล้างคำให้การ: ผู้ต้องสงสัยอ้างว่าไม่ได้ใช้คอมพิวเตอร์ในเวลาที่กำหนด บันทึกของระบบสามารถพิสูจน์ได้ว่าเครื่องกำลังทำงานอยู่

• สร้างลำดับเวลาของเหตุการณ์: การทำความเข้าใจว่าระบบทำงานเมื่อใด ช่วยให้นักสืบสามารถเชื่อมโยงกิจกรรมของผู้ใช้ (เช่น การเข้าถึงไฟล์ การท่องอินเทอร์เน็ต) กับช่วงเวลาใช้งานที่เฉพาะเจาะจง

• ระบุกิจกรรมน่าสงสัย: การปิดระบบที่ไม่ปกติ (เช่น ในระหว่างการถ่ายโอนข้อมูล) หรือการรีบูตในช่วงเวลาที่ไม่เหมาะสม (เช่น ตี 3) อาจบ่งชี้ถึงกิจกรรมที่เป็นอันตราย เช่น การติดตั้งมัลแวร์ที่ต้องการให้รีบูตระบบ

• หาช่วงเวลาที่ระบบทำงานต่อเนื่อง (Uptime): ระบบทำงานติดต่อกันนานแค่ไหน? เซิร์ฟเวอร์ที่มีเวลาการทำงานที่สั้นกว่าที่คาดไว้อย่างไม่ปกติ อาจเกิดจากการขัดข้องหรือการรีบูตโดยไม่ได้รับอนุญาต

2. แหล่งที่มาหลักของหลักฐาน

นักสืบด้านนิติวิทยาศาสตร์ต้องพึ่งพาหลักฐานหลายอย่างภายในระบบปฏิบัติการเพื่อสร้างประวัติสถานะการทำงานของเครื่องขึ้นใหม่ สำหรับระบบ Windows (เป้าหมายที่พบบ่อยที่สุด) แหล่งที่มาหลักได้แก่:

A. บันทึกเหตุการณ์ Windows (Windows Event Logs)
นี่เป็นแหล่งข้อมูลที่น่าเชื่อถือและมีรายละเอียดที่สุด บันทึกหลักได้แก่:

• System Log: บันทึกเหตุการณ์ที่เกี่ยวข้องกับส่วนประกอบของระบบปฏิบัติการ

  • Event ID 12: System start-up - โปรแกรมหลัก (Kernel) และไดรเวอร์สำหรับการบูตโหลดเรียบร้อยแล้ว นี่เป็นตัวบ่งชี้ที่เชื่อถือได้ว่าระบบได้บูตเสร็จสิ้น

  • Event ID 13: System shut-down - กระบวนการของระบบที่เริ่มการปิดเครื่องถูกเรียกใช้งาน

  • Event ID 6005: Event log service started - บริการบันทึกเหตุการณ์เริ่มทำงาน สิ่งนี้จะถูกบันทึก หลังจาก ระบบเริ่มกระบวนการบูตแล้ว และเป็นเครื่องหมายทั่วไปที่ใช้บอกจุดเริ่มต้นของช่วงการทำงาน

  • Event ID 6006: Event log service stopped - บริการบันทึกเหตุการณ์หยุดทำงาน สิ่งนี้จะถูกบันทึก หลังจาก มีการเริ่มปิดระบบที่สมบูรณ์และถูกต้อง การมีอยู่ของ Event นี้ยืนยันการปิดระบบที่เหมาะสม

  • Event ID 6008: Unexpected shutdown - บ่งชี้ว่าระดับถูกปิดอย่างไม่เหมาะสม (เช่น ไฟฟ้าดับ, กดปุ่ม Reset, ระบบขัดข้องจนจอฟ้า) นี่เป็นสัญญาณสำคัญสำหรับนักสืบ

  • 
    
    

B. ฐานรีจิสตรี (Registry Hives)
ฐานรีจิสตรีของ Windows รักษาคีย์หลายคีย์ที่ติดตามการบูตของระบบและช่วงการล็อกออนของผู้ใช้

• System\CurrentControlSet\Control\Windows: ค่า ShutdownTime (ในรูปแบบ FILETIME 64-bit ของ Windows) บันทึกเวลาที่แน่นอนของครั้งล่าสุดที่ปิดระบบอย่างเหมาะสม

• SYSTEM\CurrentControlSet\Control\Session Manager\Power: ค่า HiberbootSupported สามารถบ่งชี้ว่าระบบรองรับ "Fast Startup" หรือไม่ ซึ่งส่งผลต่อการบันทึกเหตุการณ์การปิดและเปิดระบบ

• คีย์ UserAssist และ MRU (Most Recently Used): ถึงแม้จะไม่แสดงสถานะการทำงานโดยตรง แต่สามารถแสดงกิจกรรมของผู้ใช้ที่สามารถนำมาเชื่อมโยงกับเวลาที่ระบบทำงานได้

C. ไฟล์ Prefetch
เมื่อแอปพลิเคชันถูกเรียกใช้งานบน Windows ไฟล์ Prefetch (.pf) จะถูกสร้างขึ้น ไฟล์เหล่านี้ประกอบด้วยเวลาที่รันล่าสุดของ executable นั้นๆ เวลาที่ถูกสร้างของไฟล์ Prefetch ไฟล์แรกหลังจากบูต (เช่น ของ WINLOGON.EXE) สามารถเป็นตัวบ่งชี้ที่ดีของเวลาเริ่มต้นระบบ โดยเฉพาะเมื่อบันทึกเหตุการณ์หายไปหรือเสียหาย

D. ไฟล์ Memory Dumps และ Hibernation
ไฟล์ Memory Dumps เต็มรูปแบบ (MEMORY.DMP) หรือไฟล์ Hibernation (hiberfil.sys) เป็นเหมือนภาพถ่ายของ RAM ของระบบในขณะนั้น การวิเคราะห์ไฟล์เหล่านี้สามารถเปิดเผยว่ามีอะไรกำลังทำงานอยู่ตอนที่ระบบขัดข้องหรือเมื่อผู้ใช้ทำให้ระบบเข้าสู่โหมดสลีป/ไฮเบอร์เนต เวลาที่สร้างไฟล์เหล่านี้เป็นประทับเวลาโดยตรงของเหตุการณ์การทำงาน

3. กระบวนการทางนิติวิทยาศาสตร์

1. การได้มา (Acquisition): สร้างภาพถ่ายของฮาร์ดไดรฟ์ที่ได้มาตรฐานทางนิติวิทยาศาสตร์

2. การสร้างไทม์ไลน์ (Timeline Creation): ใช้เครื่องมือทางนิติวิทยาศาสตร์ (เช่น Autopsy, FTK Imager,log2timeline) เพื่อแยกวิเคราะห์บันทึกเหตุการณ์ ฐานรีจิสตรี และ Metadata ของระบบไฟล์ เพื่อสร้างไทม์ไลน์รวมของเหตุการณ์ทั้งหมด

3. การวิเคราะห์ (Analysis):

• ค้นหา Event ID 6005, 6006, 6008, 12 และ 13

• ดึงค่า ShutdownTime ออกจากรีจิสตรี

• เชื่อมโยงเวลาจากแหล่งที่มาต่างๆ เพื่อสร้างไทม์ไลน์ที่เชื่อมั่นได้

• ค้นหาความไม่สอดคล้องกัน ตัวอย่างเช่น หากมี Event ID 6008 (ปิดระบบไม่Expected) แต่ไม่มีเหตุการณ์ล็อกออนหลังจากนั้นเลย อาจบ่งชี้ว่าระบบไม่ได้ถูกใช้อีกครั้งหรือบันทึกเหตุการณ์ถูกลบ

แบบฝึกหัด: การปิดเครื่องที่น่าสงสัย

สถานการณ์: คุณเป็นนักวิเคราะห์นิติวิทยาศาสตร์ดิจิทัล พนักงานชื่อ "John Doe" ถูกสงสัยว่าขโมยไฟล์ลับของบริษัท เขาอ้างว่าเขาออกจากงานเวลา 12:00 น. ของวันที่ 4 กุมภาพันธ์  2020 และไม่ได้อยู่ใกล้แล็ปท็อปของบริษัทที่เขารับไปหลังจากเวลานั้น อย่างไรก็ตาม บันทึกความปลอดภัยแสดงให้เห็นว่ามีการเข้าถึงไฟล์เซิร์ฟเวอร์จากบัญชีของเขาเวลา 15:17 น. ของวันเดียวกัน ภารกิจของคุณคือวิเคราะห์หลักฐานที่ให้มาเพื่อยืนยันหรือหักล้างคำให้การของเขา

จุดประสงค์: พิจารณาว่าคอมพิวเตอร์ของ John ถูกเปิดเครื่องในช่วงเวลาประมาณ 15:17 น. ของวันที่ 4 กุมภาพันธ์  2020 หรือไม่

หลักฐานที่ให้มา (ข้อมูลจำลอง):

ด้านล่างนี้คือรายการเหตุการณ์ที่กรองแล้วจาก บันทึกเหตุการณ์ System ของคอมพิวเตอร์ และค่าคีย์จาก รีจิสตรี

ส่วน A: การวิเคราะห์บันทึกเหตุการณ์

วันที่และเวลา (พ.ศ.-ดด-วว ชช:นน:วว)	รหัสเหตุการณ์	คำอธิบาย
2020-02-4 3:19:25 PM	6006	The Event log service was stopped.
2020-02-4 3:17:04 PM	6005	The Event log service was started.
2020-02-4 1:53:34 AM	6006	The Event log service was stopped.
2020-02-4 1:51:39 AM	6005	The Event log service was started.

ส่วน B: การวิเคราะห์รีจิสตรี

• คีย์รีจิสตรี: HKLM\SYSTEM\CurrentControlSet\Control\Windows

• ชื่อค่า: ShutdownTime

• ข้อมูลค่า (ในรูปแบบ FILETIME): 2020-02-4 3:19:22

เฉลย:

1. 1:51:39 น. ระบุโดย Event ID 6005 (บริการบันทึกเหตุการณ์เริ่มทำงาน)

2. ใช่ ที่เวลา 1:53:34 น. ระบุโดย Event ID 6006 (บริการบันทึกเหตุการณ์หยุดทำงาน) ซึ่งส่งสัญญาณการปิดระบบที่สมบูรณ์

3. ใช่ บันทึกเหตุการณ์แสดงว่าระดับถูกเริ่มอีกครั้งที่ 3:17:04 น. (Event ID 6005) จากนั้นจึงปิดอีกครั้งที่ 3:19:25 น. (Event ID 6006)

4. ใช่ สนับสนุนเป็นอย่างมาก ระบบถูกเปิดที่ 3:17:04  น. และทำงานจนถึง 3:19:25 น. ซึ่งหมายความว่าคอมพิวเตอร์อยู่ในสภาพที่ทำงานได้เต็มที่และกำลังทำงานอยู่ในช่วงเวลาที่มีการเข้าถึงไฟล์ที่น่าสงสัย (3:17 น.)

5. ใช่ สอดคล้องกันเป็นอย่างมาก ค่า ShutdownTime จากรีจิสตรีถูกบันทึกไว้ที่ 3:19:22  น. และบริการบันทึกเหตุการณ์หยุดที่ 3:19:25  น. ความแตกต่าง 3 วินาทีเป็นเรื่องปกติ เนื่องจากบริการบันทึกเหตุการณ์เป็นหนึ่งในบริการสุดท้ายที่หยุดทำงานระหว่างการปิดระบบ ความสอดคล้องนี้ยืนยันการปิดระบบที่เหมาะสมและไม่ใช่การขัดข้อง

Digital Forensics: Examining System Power-On and Power-Off Events

1. Introduction: Why is this Important?

Determining when a computer was turned on, shut down, or restarted is a fundamental task in a digital forensic investigation. This timeline can help:

• Corroborate or challenge an alibi: A suspect claims they were not using their computer at a specific time. System logs can prove the machine was active.

• Establish a timeline of events: Understanding when a system was operational helps investigators correlate user activity (e.g., file access, internet browsing) with specific sessions.

• Identify suspicious activity: Unusual shutdowns (e.g., during a data transfer) or reboots at odd hours (e.g., 3:00 AM) can indicate malicious activity, such as the installation of malware that requires a reboot.

• Determine system uptime: How long was the system running continuously? A server with unexpectedly short uptime might have been experiencing crashes or unauthorized reboots.

2. Key Sources of Evidence

Forensic investigators rely on several artifacts within the operating system to reconstruct power state history. For Windows systems (the most common subject), the primary sources are:

A. Windows Event Logs
This is the most reliable and detailed source. The key logs are:

• System Log: Records events related to the operating system components.

  • Event ID 12: System start-up. The kernel and boot drivers have loaded. This is a reliable indicator that the system has finished booting.

  • Event ID 13: System shut-down. The system process that initiates shutdown has been called.

  • Event ID 6005: Event log service started. This is logged after the system has begun booting and is a very common marker for the start of a session.

  • Event ID 6006: Event log service stopped. This is logged after a proper, clean shutdown has been initiated. Its presence confirms a graceful shutdown.

  • Event ID 6008: Unexpected shutdown. This indicates the system was powered off improperly (e.g., power loss, hard reset, blue screen of death). This is a critical flag for investigators.

B. Registry Hives
The Windows Registry maintains several keys that track system boot and user logon sessions.

• System\CurrentControlSet\Control\Windows: The ShutdownTime value (a 64-bit Windows FILETIME) records the exact time of the last graceful shutdown.

• SYSTEM\CurrentControlSet\Control\Session Manager\Power: The HiberbootSupported value can indicate if the system supports "Fast Startup," which affects how shutdown and startup events are logged.

• UserAssist and MRU (Most Recently Used) Keys: While not directly showing power state, they can show user activity that can be correlated with system uptime.

C. Prefetch Files
When an application is run on Windows, a Prefetch file (.pf) is created. These files contain, among other things, the last run time(s) for that executable. The creation time of the first Prefetch file after a boot (e.g., for WINLOGON.EXE) can be a good indicator of the system start time, especially if event logs are missing or corrupted.

D. Memory Dumps and Hibernation Files
A full memory dump (MEMORY.DMP) or hibernation file (hiberfil.sys) is essentially a snapshot of the system's RAM. Analyzing these can reveal what was running at the time of a crash or when the user put the system to sleep/hibernate. The creation time of these files is a direct timestamp of the power event.

3. The Forensic Process

1. Acquisition: Create a forensically sound image of the hard drive.

2. Timeline Creation: Use forensic tools (like Autopsy, FTK Imager, log2timeline) to parse the event logs, registry hives, and file system metadata to build a super-timeline of events.

3. Analysis:

   • Search for Event IDs 6005, 6006, 6008, 12, and 13.

   • Extract the ShutdownTime from the Registry.

   • Correlate the times from different sources to build a confident timeline.

   • Look for inconsistencies. For example, if there is an Event ID 6008 (unexpected shutdown) but no corresponding logon event after that, it might indicate the system was not used again or that logs were cleared.

อ่านเพิ่มเติม

• How to Determine the Last Shutdown Time and Date in Windows

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics:องค์กรอาชญากรรมแก๊งคอลเซ็นเตอร์

ขออนุญาติแชร์บทความของท่าน พ.ต.ท. ภูมิรพี ผลาภูมิ ผู้เขียน/เรียบเรียง เพื่อเป็นประโยชน์ต่อประชาชน และผู้ที่สนใจ

photo by:กฎหมายตำรวจและพนักงานสอบสวน by (ภูมิรพี ผลาภูมิ)

แนวทางการสืบสวนสอบสวนคดีอาชญากรรมทางเทคโนโลยีในเชิงป้องกันปราบปรามกวาดล้างองค์กรอาชญากรรมแก๊งคอลเซ็นเตอร์

1.เมื่อมีการตรวจยึด simbox เป็นของกลางส่งพนักงานสอบสวน พนักงานสอบสวนจะต้องส่ง simbox ไปตรวจที่ใด โดยระบุจุดประสงค์การตรวจพิสูจน์อย่างไร ในการทำสำนวนคดีแก๊งคอลเซ็นเตอร์ หรือคดีอาชญากรรมทางเทคโนโนโลยี หรือการกระทำผิดตาม พรบ.คอมพิวเตอร์เพื่อฉ้อโกง หรือการฉ้อโกงโดยใช้ระบบคอมพิวเตอร์เป็นเครื่องมือ

คำตอบ : เมื่อมีการตรวจยึด Simbox เป็นของกลางในคดีที่เกี่ยวข้องกับแก๊งคอลเซ็นเตอร์ อาชญากรรมทางเทคโนโลยี หรือการฉ้อโกงโดยใช้ระบบคอมพิวเตอร์ พนักงานสอบสวนควรดำเนินการดังนี้:

1. การส่งตรวจพิสูจน์ Simbox

พนักงานสอบสวนควรส่ง Simbox ไปตรวจที่ กองพิสูจน์หลักฐานกลาง (พฐก.) หรือ ศูนย์ตรวจสอบและวิเคราะห์อาชญากรรมทางเทคโนโลยี ของสำนักงานตำรวจแห่งชาติ หรือหน่วยงานที่เกี่ยวข้อง เช่น

• กองบัญชาการตำรวจสืบสวนสอบสวนอาชญากรรมทางเทคโนโลยี (บช.สอท.)

• สำนักงานคณะกรรมการกิจการโทรคมนาคม (กสทช.) (กรณีต้องการตรวจสอบการใช้สัญญาณเครือข่ายโทรศัพท์)

• ศูนย์พิสูจน์หลักฐาน 1-10 (กรณีเป็นคดีในพื้นที่ ระดับ ภาค)

2. จุดประสงค์การตรวจพิสูจน์

พนักงานสอบสวนควรระบุวัตถุประสงค์ในการตรวจสอบ Simbox ในบันทึกการส่งตรวจ ดังนี้:

1. ตรวจสอบข้อมูลหมายเลขโทรศัพท์ (SIM) ที่ถูกใช้งาน

• เพื่อตรวจสอบเบอร์โทรศัพท์ที่ถูกใช้ผ่าน Simbox และเชื่อมโยงไปยังกลุ่มผู้ต้องสงสัย

2. ตรวจสอบประวัติการโทรและข้อมูลการใช้งาน

• วิเคราะห์ข้อมูลการโทรเข้า-ออก รวมถึงการเชื่อมต่อกับหมายเลขปลายทาง เพื่อหาความเชื่อมโยงกับเหยื่อหรือผู้ร่วมขบวนการ

3. ตรวจสอบหมายเลข IMEI ของอุปกรณ์

• เพื่อตรวจสอบว่าอุปกรณ์นี้เคยถูกใช้งานที่ใด และเชื่อมโยงกับอุปกรณ์อื่นที่ใช้ในการกระทำผิดหรือไม่

4. ตรวจสอบลักษณะการทำงานของ Simbox

• ว่ามีการใช้เพื่อปลอมแปลงหมายเลขโทรศัพท์ (Caller ID Spoofing) หรือซ่อนตัวตนผู้โทรหรือไม่

5. ตรวจสอบข้อมูลอื่นๆ ที่เกี่ยวข้องกับการหลอกลวงทางโทรศัพท์หรือการฉ้อโกง

• เช่น การใช้ VoIP และการโอนสายผ่านระบบอัตโนมัติ

3. การใช้ผลตรวจพิสูจน์ในสำนวนคดี

ผลตรวจพิสูจน์สามารถใช้เป็นพยานหลักฐานประกอบคดี โดยเฉพาะในการพิสูจน์ว่า Simbox ถูกใช้เป็นเครื่องมือในการกระทำผิด เช่น

• คดีฉ้อโกงประชาชน (มาตรา 341, 343 ประมวลกฎหมายอาญา)

• คดีเกี่ยวกับการใช้คอมพิวเตอร์เพื่อฉ้อโกง (มาตรา 14(1) และ (4) พ.ร.บ.คอมพิวเตอร์ฯ)

• คดีอาชญากรรมทางเทคโนโลยี

ข้อควรระวัง

• ควรประสานผู้เชี่ยวชาญด้านเทคโนโลยีของ บช.สอท. หรือ กสทช. เพื่อให้ได้ข้อมูลที่ครบถ้วน

• ตรวจสอบให้แน่ใจว่า Simbox มีหลักฐานเชื่อมโยงกับหมายเลขโทรศัพท์หรือบัญชีผู้ใช้ที่เกี่ยวข้องกับการฉ้อโกง

ตัวอย่างหนังสือส่งตรวจพิสูจน์ Simbox

ที่ ………./………

สถานีตำรวจ ……………………

วันที่ ……… เดือน …………… พ.ศ. ………

เรื่อง: ส่งตรวจพิสูจน์พยานหลักฐานทางเทคโนโลยี (Simbox)

เรียน: ผบก.พฐก./ผบก.ศพฐ.1-10 (หรือหน่วยงานที่เกี่ยวข้อง)

สิ่งที่ส่งมาด้วย:

1. อุปกรณ์ Simbox จำนวน ……… ชิ้น

2. ซิมการ์ด จำนวน ……… ชิ้น

3. รายงานการตรวจยึดของกลาง ลงวันที่ …………

4. สำเนาบันทึกการจับกุม/บันทึกประจำวันเกี่ยวกับคดี

ด้วยสถานีตำรวจ …………………… ได้ทำการสืบสวนสอบสวนในคดี เลขคดีอาญาที่ ………../……… ซึ่งเป็นความผิดเกี่ยวกับ (เช่น ฉ้อโกงประชาชน, กระทำความผิดเกี่ยวกับคอมพิวเตอร์, อาชญากรรมทางเทคโนโลยี, แก๊งคอลเซ็นเตอร์ ฯลฯ) อันเป็นความผิดตาม (ระบุข้อกฎหมาย เช่น มาตรา 341, 343 แห่งประมวลกฎหมายอาญา และ/หรือ มาตรา 14 แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2560 ฯลฯ)

พนักงานสอบสวนได้ตรวจยึด อุปกรณ์ Simbox และซิมการ์ด ที่คาดว่าใช้ในการกระทำผิดดังกล่าว จึงขอส่งตรวจพิสูจน์ โดยมีวัตถุประสงค์ดังต่อไปนี้:

1. ตรวจสอบหมายเลขโทรศัพท์ (SIM) ที่มีการใช้งานผ่าน Simbox เพื่อเชื่อมโยงกับกลุ่มผู้ต้องสงสัย

2. ตรวจสอบประวัติการโทรเข้า-ออก และข้อมูลการใช้เครือข่ายของ Simbox

3. ตรวจสอบหมายเลข IMEI และหมายเลขประจำอุปกรณ์ของ Simbox

4. วิเคราะห์ลักษณะการทำงานของ Simbox ว่ามีการใช้เพื่อปลอมแปลงหมายเลขโทรศัพท์ (Caller ID Spoofing) หรือซ่อนตัวตนของผู้โทรหรือไม่

5. ตรวจสอบข้อมูลอื่นที่อาจเป็นประโยชน์ในการสืบสวนคดี

จึงเรียนมาเพื่อโปรดดำเนินการตรวจพิสูจน์และแจ้งผลให้พนักงานสอบสวนทราบ เพื่อใช้ประกอบสำนวนการสอบสวนต่อไป

2. Network ID คือ หมายเลขหรือส่วนที่ใช้ระบุเครือข่าย ภายในระบบเครือข่ายคอมพิวเตอร์ โดยเป็นส่วนหนึ่งของ IP Address ที่ใช้ในการแยกเครือข่ายออกจากกัน

2.เราใช้ network id และ host id ในการสืบสวนสอบสวนคดีอาชญากรรมทางเทคโนโลยีอย่างไร

คำตอบ : การใช้ Network ID และ Host ID ในการสืบสวนคดีอาชญากรรมทางเทคโนโลยี

Network ID และ Host ID มีบทบาทสำคัญในการ ติดตาม ตรวจสอบ และพิสูจน์หลักฐานทางดิจิทัล โดยเฉพาะในคดีที่เกี่ยวข้องกับ การฉ้อโกงทางออนไลน์ แก๊งคอลเซ็นเตอร์ การแฮก ระบบ VoIP และการโจมตีทางไซเบอร์

1. การใช้ Network ID ในการสืบสวน

Network ID สามารถใช้เพื่อตรวจสอบ ต้นทางและปลายทางของข้อมูล ที่ถูกส่งผ่านเครือข่าย เช่น

1.1 การตรวจสอบที่อยู่ IP และแหล่งที่มาของอาชญากรรม

• ในคดีอาชญากรรมทางเทคโนโลยี เช่น ฟิชชิ่ง (Phishing), มัลแวร์ (Malware), แฮกเกอร์ (Hacking) หรือ การฉ้อโกงออนไลน์

• เจ้าหน้าที่สามารถตรวจสอบ Network ID จาก IP Address ที่ใช้กระทำความผิด เพื่อระบุว่าอุปกรณ์นั้นมาจากเครือข่ายใด

ตัวอย่าง:

หากพบ IP Address 192.168.10.25 กระทำผิด และมี Subnet Mask = 255.255.255.0

• Network ID = 192.168.10.0 → บอกว่าอุปกรณ์นั้นอยู่ในเครือข่าย 192.168.10.x

• สามารถใช้ข้อมูลนี้ตรวจสอบผู้ให้บริการอินเทอร์เน็ต (ISP) เพื่อขอข้อมูลผู้ใช้

1.2 การติดตามหมายเลข IP ในระบบโทรคมนาคมหรือ VoIP

• ในคดีแก๊งคอลเซ็นเตอร์ มักใช้ Simbox และ VoIP เพื่อโทรหลอกลวง

• เจ้าหน้าที่สามารถตรวจสอบ Network ID ของหมายเลขโทรศัพท์ที่เชื่อมต่อกับเครือข่าย VoIP เพื่อระบุประเทศและผู้ให้บริการโทรศัพท์

ตัวอย่าง:

หากพบเบอร์โทรปลอมที่แสดงว่าโทรจากไทย แต่จริง ๆ แล้วมาจากต่างประเทศ สามารถใช้ Network ID เพื่อดูว่าหมายเลขนั้นถูก Route ผ่านประเทศใด

2. การใช้ Host ID ในการสืบสวน

Host ID ใช้เพื่อตรวจสอบ อุปกรณ์ (Device) ที่ใช้กระทำความผิดภายในเครือข่าย

2.1 การตรวจสอบอุปกรณ์ที่เกี่ยวข้องกับอาชญากรรม

• Host ID ระบุว่า อุปกรณ์ใดในเครือข่ายเป็นผู้กระทำผิด

• เจ้าหน้าที่สามารถใช้ข้อมูลจาก DHCP Logs หรือ Router Logs เพื่อตรวจสอบว่าอุปกรณ์ใดมี Host ID ตรงกับ IP ที่ใช้กระทำความผิด

ตัวอย่าง:

หากพบว่ามีอีเมลฟิชชิ่งถูกส่งจาก 192.168.1.50 และเครือข่ายเป็น 192.168.1.0/24

• Network ID = 192.168.1.0

• Host ID = 50 → บ่งชี้ว่าอุปกรณ์ในเครือข่ายที่มีหมายเลข .50 เป็นผู้กระทำผิด

2.2 การวิเคราะห์หมายเลข IMEI และอุปกรณ์มือถือ

• ในกรณีอาชญากรรมที่ใช้มือถือหรือ Simbox เจ้าหน้าที่สามารถตรวจสอบ Host ID ของอุปกรณ์ในเครือข่ายมือถือ

• ใช้หมายเลข IMEI (International Mobile Equipment Identity) และ IP Address ของโทรศัพท์เพื่อตรวจสอบว่าอุปกรณ์ไหนเป็นของใคร

ตัวอย่าง:

แก๊งคอลเซ็นเตอร์ใช้มือถือหลายเครื่องในการโทรออก สามารถตรวจสอบ Host ID และ IMEI ของแต่ละอุปกรณ์ในเครือข่ายโทรศัพท์เพื่อระบุว่าเครื่องไหนเกี่ยวข้องกับการโทรหลอกลวง

3. การนำ Network ID และ Host ID มาใช้ในพยานหลักฐานทางดิจิทัล

• Log การเชื่อมต่อเครือข่าย จาก ISP หรือระบบเครือข่ายองค์กร

• MAC Address และหมายเลขอุปกรณ์ ของอุปกรณ์ที่เกี่ยวข้อง

• ข้อมูลจาก Firewall และ Router Logs เพื่อดูว่าอุปกรณ์ไหนมีพฤติกรรมต้องสงสัย

• การทำ Digital Forensics บนอุปกรณ์ที่เกี่ยวข้องเพื่อตรวจสอบข้อมูลการเชื่อมต่อ

สรุป

ข้อมูล Network ID Host ID

บอกอะไร? ระบุเครือข่ายที่ใช้ ระบุอุปกรณ์ในเครือข่าย

ใช้ทำอะไร? ติดตามต้นทางของอาชญากรรม ระบุอุปกรณ์ที่ใช้กระทำผิด

ตัวอย่างการใช้งาน ตรวจสอบ IP Address ที่กระทำผิด ตรวจสอบอุปกรณ์ที่เชื่อมต่อเครือข่าย

ใช้กับคดี การฉ้อโกงออนไลน์, แฮกเกอร์, VoIP fraud แก๊งคอลเซ็นเตอร์, ฟิชชิ่ง, การโจมตีทางไซเบอร์

3.ขอตัวอย่างหนังสือขอตรวจสอบ เพื่อสืบสวนหาตัวคนร้าย ในคดีอาชญากรรมทางเทคโนโลยี เกี่ยวกับ network id , host id หรือ ip address ที่ได้จากการตรวจยึดของกลาง หรือจากการสืบสวน และอยากทราบต้องส่งหนังสือไปตรวจสอบที่ใด

คำตอบ : 1. หน่วยงานที่เกี่ยวข้องในการตรวจสอบ Network ID, Host ID และ IP Address

การตรวจสอบข้อมูลทางเทคนิค เช่น Network ID, Host ID หรือ IP Address ในคดีอาชญากรรมทางเทคโนโลยี มักต้องส่งหนังสือไปยังหน่วยงานที่สามารถให้ข้อมูลทางเครือข่ายหรือพิสูจน์หลักฐานทางดิจิทัล ได้แก่:

1. กองพิสูจน์หลักฐานกลาง (พฐก.)

• ตรวจสอบอุปกรณ์ดิจิทัลที่ยึดได้ เช่น คอมพิวเตอร์ โทรศัพท์มือถือ เราเตอร์ หรือ Simbox

• วิเคราะห์ข้อมูลที่บันทึกไว้ในอุปกรณ์เพื่อตรวจสอบพฤติกรรมของผู้ต้องสงสัย

2. ศูนย์ตรวจสอบและวิเคราะห์การกระทำความผิดทางเทคโนโลยี (PCT) สำนักงานตำรวจแห่งชาติ

• ตรวจสอบข้อมูลการใช้งานอินเทอร์เน็ตจากหมายเลข IP

• ติดต่อประสานงานกับผู้ให้บริการอินเทอร์เน็ต (ISP) เพื่อติดตามตัวผู้ใช้

3. ผู้ให้บริการอินเทอร์เน็ต (ISP) หรือผู้ให้บริการโทรคมนาคม

• เช่น AIS, True, DTAC, NT, 3BB, TOT

• ขอข้อมูลหมายเลข IP ที่เกี่ยวข้องกับการกระทำผิด

• ตรวจสอบข้อมูลการเชื่อมต่อย้อนหลัง เช่น Log การใช้งาน IP Address

4. สำนักงานคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช.)

• ตรวจสอบหมายเลขโทรศัพท์ ซิมการ์ด และเครือข่ายโทรศัพท์ที่อาจเกี่ยวข้องกับคดี

2. ตัวอย่างหนังสือขอตรวจสอบ IP Address, Network ID, Host ID

ที่ ………/………

สถานีตำรวจ ……………………

วันที่ ……… เดือน …………… พ.ศ. ………

เรื่อง: ขอข้อมูลหมายเลข IP Address และรายละเอียดการเชื่อมต่อเครือข่ายเพื่อสืบสวนคดีอาชญากรรมทางเทคโนโลยี

เรียน: (ระบุหน่วยงานที่ต้องการให้ตรวจสอบ เช่น ผู้บังคับการกองพิสูจน์หลักฐานกลาง, ผู้อำนวยการศูนย์ PCT, หรือผู้ให้บริการอินเทอร์เน็ตที่เกี่ยวข้อง)

สิ่งที่ส่งมาด้วย:

1. รายละเอียดหมายเลข IP Address/Network ID/Host ID ที่ต้องการตรวจสอบ

2. รายงานการตรวจยึดของกลาง ลงวันที่ …………

3. สำเนาบันทึกการจับกุม/บันทึกประจำวันเกี่ยวกับคดี

4. หนังสือรับรองจากพนักงานสอบสวน

ตามที่สถานีตำรวจ …………………… ได้ดำเนินการสืบสวนสอบสวนในคดี เลขคดีอาญาที่ ………../……… ซึ่งเกี่ยวข้องกับ (เช่น การฉ้อโกงออนไลน์, แก๊งคอลเซ็นเตอร์, การแฮกข้อมูล ฯลฯ) อันเป็นความผิดตาม (เช่น มาตรา 14 แห่ง พ.ร.บ.คอมพิวเตอร์ พ.ศ. 2560 ฯลฯ)

พนักงานสอบสวนได้ตรวจสอบข้อมูลทางเทคนิคและพบว่ามีการใช้งานหมายเลข IP Address ………… และ/หรือ Network ID ………… ที่เกี่ยวข้องกับการกระทำความผิด โดยมีรายละเอียดดังนี้:

• วันที่และเวลาที่พบการกระทำผิด: ……………………

• รายละเอียดอุปกรณ์หรือซอฟต์แวร์ที่ใช้: ……………………

• ข้อมูลเครือข่ายที่เกี่ยวข้อง: ……………………

ดังนั้น จึงขอให้หน่วยงานที่เกี่ยวข้องดำเนินการตรวจสอบข้อมูลการเชื่อมต่อดังกล่าว และจัดส่งข้อมูลเกี่ยวกับ:

1. ชื่อและที่อยู่ของเจ้าของบัญชีที่ใช้หมายเลข IP ดังกล่าวในวันและเวลาที่ระบุ

2. รายละเอียดการเชื่อมต่ออินเทอร์เน็ต (Log Files) ที่เกี่ยวข้อง

3. หมายเลขอุปกรณ์ (MAC Address, IMEI) ที่ใช้ในเครือข่าย

จึงเรียนมาเพื่อโปรดพิจารณาให้ความอนุเคราะห์ และแจ้งผลให้พนักงานสอบสวนทราบ เพื่อใช้ประกอบสำนวนการสอบสวนต่อไป

3. วิธีการดำเนินการสืบสวนจาก IP Address, Network ID และ Host ID

• ตรวจสอบหมายเลข IP Address ที่พบในคดี → นำไปขอข้อมูลจาก ISP

• ตรวจสอบหมายเลข MAC Address หรือ IMEI จากเครือข่าย → ติดตามว่าอุปกรณ์ไหนเชื่อมต่อเครือข่ายในช่วงเวลาที่กระทำผิด

• ตรวจสอบข้อมูลจาก Firewall Logs, Router Logs → เพื่อดูว่ามีอุปกรณ์ใดที่ใช้ Host ID ตรงกับการกระทำผิด

• หากเป็นคดีเกี่ยวกับ Simbox หรือ VoIP Fraud → ติดต่อ กสทช. และผู้ให้บริการโทรศัพท์มือถือเพื่อตรวจสอบซิมที่ใช้

4. Firewall logs , router logs คืออะไร ต้องขอข้อมูลไปที่ใด ขอตัวอย่างหนังสือ

คำตอบ : Firewall Logs และ Router Logs คืออะไร?

1. Firewall Logs และ 2. Router Logs เป็นไฟล์บันทึก (Logs) ที่เก็บข้อมูลการรับ-ส่งข้อมูลในเครือข่าย มีบทบาทสำคัญในการ ตรวจสอบความปลอดภัยของเครือข่าย และสืบสวนอาชญากรรมทางเทคโนโลยี

1️. Firewall Logs คืออะไร?

ความหมาย:

Firewall Logs เป็น ไฟล์บันทึกข้อมูลที่เกิดจาก Firewall ซึ่งเป็นระบบรักษาความปลอดภัยเครือข่าย ทำหน้าที่ ตรวจสอบ อนุญาต หรือบล็อกการรับ-ส่งข้อมูล ตามกฎที่กำหนดไว้

ข้อมูลที่อยู่ใน Firewall Logs:

1. หมายเลข IP ต้นทาง (Source IP) → บอกว่าใครเป็นผู้ส่งข้อมูล

2. หมายเลข IP ปลายทาง (Destination IP) → บอกว่าใครเป็นผู้รับข้อมูล

3. หมายเลขพอร์ต (Port Number) → ระบุโปรโตคอลที่ใช้ เช่น

• Port 80 / 443 → สำหรับเว็บไซต์ (HTTP/HTTPS)

• Port 25 / 465 → สำหรับอีเมล (SMTP)

• Port 5060 / 5061 → สำหรับ VoIP

4. วันที่และเวลาที่เกิดเหตุ

5. สถานะการรับ-ส่งข้อมูล

• Allowed → อนุญาตให้เชื่อมต่อ

• Denied / Blocked → ปฏิเสธการเชื่อมต่อ

6. MAC Address (บางระบบ) → ระบุอุปกรณ์ที่เชื่อมต่อ

ตัวอย่าง Firewall Log:

2025-02-08 10:30:12 Allowed SRC=192.168.1.10 DST=8.8.8.8 PROTO=TCP DPT=443

2025-02-08 10:32:45 Blocked SRC=192.168.1.20 DST=192.168.1.100 PROTO=UDP DPT=5060

แสดงว่า IP 192.168.1.10 เชื่อมต่อไปที่ 8.8.8.8 (Google DNS) ผ่าน Port 443 (HTTPS)

แสดงว่า IP 192.168.1.20 พยายามใช้ Port 5060 (VoIP) แต่ถูกบล็อก

2️. Router Logs คืออะไร?

ความหมาย:

Router Logs เป็น ไฟล์บันทึกข้อมูลที่เกิดจาก Router (เราเตอร์) ซึ่งเป็นอุปกรณ์ที่ทำหน้าที่ เชื่อมต่ออุปกรณ์ภายในเครือข่ายกับอินเทอร์เน็ต และกระจายข้อมูลภายในเครือข่าย

ข้อมูลที่อยู่ใน Router Logs:

1. หมายเลข IP ของอุปกรณ์ที่เชื่อมต่อ (Local IP Address)

2. MAC Address ของอุปกรณ์ที่เชื่อมต่อ

3. ช่วงเวลาที่อุปกรณ์เชื่อมต่อและตัดการเชื่อมต่อ

4. Bandwidth ที่ใช้ (ปริมาณข้อมูลรับ-ส่ง)

5. เว็บไซต์หรือเซิร์ฟเวอร์ที่อุปกรณ์พยายามเข้าถึง

6. DHCP Logs (ข้อมูลการแจก IP อัตโนมัติให้กับอุปกรณ์)

ตัวอย่าง Router Log:

2025-02-08 09:15:00 Device Connected: MAC=00:1A:2B:3C:4D:5E, IP=192.168.1.101

2025-02-08 09:20:34 Website Accessed: IP=192.168.1.101 URL=www.scammer-website.com

2025-02-08 09:45:10 Device Disconnected: MAC=00:1A:2B:3C:4D:5E, IP=192.168.1.101

แสดงว่า อุปกรณ์ที่มี MAC Address = 00:1A:2B:3C:4D:5E เชื่อมต่อเข้ามาในเครือข่าย และพยายามเข้า เว็บไซต์ต้องสงสัย

การใช้ Firewall Logs และ Router Logs ในการสืบสวนคดีอาชญากรรมทางเทคโนโลยี

1. ตรวจสอบว่าอาชญากรใช้ IP Address ไหน

• นำ Firewall Logs มาตรวจสอบ IP Address ต้นทาง

• หากพบว่า IP Address ต้องสงสัย เคยพยายามเชื่อมต่อเข้าระบบ สามารถตรวจสอบย้อนกลับไปยังผู้ให้บริการอินเทอร์เน็ต (ISP) เพื่อหาตัวผู้กระทำผิด

2. ตรวจสอบว่าอุปกรณ์ไหนในเครือข่ายเป็นผู้กระทำผิด

• ดูจาก Router Logs เพื่อดูว่า อุปกรณ์ใด (Host ID หรือ MAC Address) ที่มีพฤติกรรมต้องสงสัย

• หากมีการกระทำผิดจาก IP ภายในเครือข่าย (Private IP เช่น 192.168.x.x หรือ 10.x.x.x) ต้องตรวจสอบจาก DHCP Logs เพื่อดูว่า IP นั้นเคยถูกแจกให้กับอุปกรณ์ใด

3. ตรวจสอบการโจมตีทางไซเบอร์ (Cyber Attack)

• ถ้า Firewall Log พบว่ามี IP แปลกปลอมจากต่างประเทศพยายามเชื่อมต่อเข้ามา เช่น Brute Force Attack, Port Scanning, DDoS Attack สามารถตรวจสอบและแจ้งเตือนระบบได้

4. ตรวจสอบพฤติกรรมของแก๊งคอลเซ็นเตอร์ หรือ VoIP Fraud

• Firewall Log อาจพบการเชื่อมต่อ Port 5060 (SIP VoIP) ซึ่งเป็นช่องทางที่มิจฉาชีพใช้โทรศัพท์ผ่านอินเทอร์เน็ต

• Router Log อาจแสดงว่าอุปกรณ์บางตัวเชื่อมต่อไปยัง เซิร์ฟเวอร์ VoIP ต่างประเทศ ซึ่งผิดปกติ

ตัวอย่างหนังสือขอ Firewall Logs และ Router Logs จากหน่วยงานที่เกี่ยวข้อง

เรื่อง: ขอข้อมูล Firewall Logs และ Router Logs เพื่อสืบสวนคดีอาชญากรรมทางเทคโนโลยี

เรียน: (หน่วยงานที่เกี่ยวข้อง เช่น ผู้ดูแลระบบเครือข่ายขององค์กร หรือผู้ให้บริการอินเทอร์เน็ต)

เนื่องด้วยสถานีตำรวจ …………………… กำลังสืบสวนคดี แก๊งคอลเซ็นเตอร์ / การโจมตีทางไซเบอร์ / การแฮกข้อมูล ซึ่งเกี่ยวข้องกับหมายเลข IP …………………

เพื่อให้การสืบสวนเป็นไปอย่างมีประสิทธิภาพ ขอให้ท่านจัดส่ง Firewall Logs และ Router Logs ที่เกี่ยวข้องกับ IP ดังกล่าว ในช่วงเวลา วันที่ ……… ถึง ………

จึงเรียนมาเพื่อโปรดพิจารณาให้ความร่วมมือ

5.ขอทราบแนวทางการสืบสวนหา simbox เพื่อตรวจค้น ตรวจยึด จะทราบได้อย่างไร ว่ามี simbox ติดตั้งที่ใด

คำตอบ : แนวทางการสืบสวนหา Simbox เพื่อตรวจค้นและตรวจยึด

Simbox เป็นอุปกรณ์ที่ใช้สำหรับโทรศัพท์ผ่านอินเทอร์เน็ต (VoIP) โดยมิจฉาชีพมักใช้เพื่อลดค่าโทรศัพท์ระหว่างประเทศ หรือใช้ใน แก๊งคอลเซ็นเตอร์, VoIP Fraud, SMS Spam, และการฉ้อโกงทางโทรศัพท์

การตรวจหาตำแหน่งของ Simbox และดำเนินการตรวจค้นตรวจยึดต้องใช้ แนวทางสืบสวนเชิงเทคนิค + การสืบสวนภาคสนาม ดังนี้

1. การสืบสวนทางเทคนิค (Technical Investigation)

1.1 ขอข้อมูลจากผู้ให้บริการโทรศัพท์ (Mobile Operators / ISP)

Simbox ใช้ ซิมการ์ดจำนวนมาก เพื่อโทรออกผ่านเครือข่ายมือถือ (AIS, True, DTAC, NT) และแปลงเป็นสัญญาณอินเทอร์เน็ต VoIP ซึ่งสามารถตรวจสอบได้โดย

ขอ CDR (Call Detail Record) หรือ Log การใช้งานซิมการ์ด จากผู้ให้บริการเครือข่าย เช่น

• หมายเลขโทรศัพท์ที่โทรออกบ่อย

• IP Address ที่เชื่อมต่อ

• พฤติกรรมการโทรผิดปกติ เช่น โทรออกจำนวนมากแต่ไม่มีสายเข้า

ขอ Cell Site Location เพื่อตรวจสอบตำแหน่งของซิมที่ใช้ใน Simbox

1.2 ตรวจสอบ IP Address และ Network Traffic

Simbox มักเชื่อมต่อกับอินเทอร์เน็ตเพื่อส่งสัญญาณโทรศัพท์ผ่าน VoIP ซึ่งสามารถตรวจสอบได้โดย

ขอข้อมูลจาก ผู้ให้บริการอินเทอร์เน็ต (ISP) ว่า IP ใดมีการเชื่อมต่อกับ VoIP Gateway ต่างประเทศ

ใช้ Firewall Logs หรือ Router Logs เพื่อตรวจสอบพฤติกรรมเครือข่ายที่ผิดปกติ เช่น

• เชื่อมต่อกับพอร์ต SIP (Port 5060, 5061) หรือ IAX2 (Port 4569)

• เชื่อมต่อไปยังเซิร์ฟเวอร์ VoIP ในประเทศที่เป็นต้นทางของแก๊งคอลเซ็นเตอร์

1.3 ใช้ระบบตรวจจับอุปกรณ์ GSM / IMSI Catcher

หน่วยงานเช่น กสทช. หรือ ผู้ให้บริการมือถือ สามารถใช้ IMSI Catcher หรือ RF Scanner เพื่อตรวจจับซิมการ์ดที่เปิดใช้งานผิดปกติ เช่น

ตรวจพบซิมการ์ดจำนวนมากในจุดเดียว

ตรวจพบซิมเปลี่ยนหมายเลขบ่อย แต่ยังคงอยู่ที่ตำแหน่งเดิม

2. การสืบสวนภาคสนาม (Field Investigation)

2.1 ตรวจสอบสถานที่ที่น่าสงสัย

Simbox มักติดตั้งใน อพาร์ตเมนต์, คอนโดมิเนียม, บ้านเช่า, ร้านอินเทอร์เน็ต

มักใช้ อินเทอร์เน็ตความเร็วสูง (Fiber, 4G, 5G) และมีเสาอากาศ GSM

ตรวจสอบจุดที่มี อัตราการโทรออกสูงผิดปกติ จากข้อมูลของ ISP หรือ ผู้ให้บริการมือถือ

2.2 ใช้เครื่องมือตรวจจับสัญญาณวิทยุ (RF Scanner / Spectrum Analyzer)

Simbox ใช้ เสาอากาศ GSM ซึ่งสามารถตรวจจับสัญญาณได้

ใช้เครื่องมือเช่น RF Scanner, GSM Detector เพื่อตรวจสอบว่ามี สัญญาณมือถือหลายหมายเลข ในตำแหน่งเดียวกัน

2.3 แฝงตัวสืบสวน (Undercover Investigation)

ตรวจสอบ ร้านค้าออนไลน์ หรือบุคคลที่ขายหรือให้เช่า Simbox

ติดต่อขอซื้อซิมหรืออุปกรณ์ VoIP แล้วสืบสวนย้อนกลับไปยังผู้กระทำผิด

3. ดำเนินการตรวจค้น ตรวจยึด และจับกุม

3.1 ขอหมายค้นจากศาล

หากมีหลักฐานเพียงพอจากการสืบสวนเทคนิคและภาคสนาม สามารถขอหมายค้นเพื่อเข้าตรวจสถานที่ต้องสงสัย

3.2 ตรวจยึดของกลางและวิเคราะห์ข้อมูล

Simbox (อุปกรณ์หลัก) → ตรวจสอบหมายเลข IMEI และการเชื่อมต่อ

ซิมการ์ดจำนวนมาก → ตรวจสอบเจ้าของหมายเลข

คอมพิวเตอร์/เราเตอร์ที่เชื่อมต่อ → ตรวจสอบ Log และ IP ที่เชื่อมต่อ

4. การใช้ข้อมูลจาก Simbox ในการสืบสวนขยายผล

วิเคราะห์ Call Logs และ SMS Logs เพื่อหาผู้ร่วมขบวนการ

ตรวจสอบ บัญชีธนาคาร และ Wallet Online ที่เกี่ยวข้อง

ติดตาม VoIP Gateway ที่ Simbox ใช้เพื่อตรวจหาต้นทางของแก๊งคอลเซ็นเตอร์

ตัวอย่างหนังสือขอข้อมูล Simbox จากผู้ให้บริการมือถือ

ที่ ………/………

สถานีตำรวจ ……………………

วันที่ ……… เดือน …………… พ.ศ. ………

เรื่อง: ขอข้อมูลหมายเลขโทรศัพท์ที่ใช้งานผิดปกติและพิกัดการใช้งานเพื่อตรวจสอบ Simbox

เรียน: ผู้จัดการฝ่ายกฎหมาย บริษัท …………………

ตามที่สถานีตำรวจ ………………… กำลังสืบสวนคดี แก๊งคอลเซ็นเตอร์ / VoIP Fraud ซึ่งมีพฤติกรรมใช้ Simbox เพื่อโทรออกในลักษณะที่ผิดปกติ

เพื่อให้การสืบสวนเป็นไปอย่างมีประสิทธิภาพ ขอให้บริษัทฯ ตรวจสอบข้อมูลหมายเลขโทรศัพท์และ Cell Site Location ของซิมที่มีพฤติกรรมผิดปกติ ในพื้นที่ ……………… ช่วงวันที่ ……… - ………

รายละเอียดที่ต้องการ:

1. หมายเลขโทรศัพท์ที่โทรออกจำนวนมากแต่ไม่มีสายเข้า

2. หมายเลขโทรศัพท์ที่โทรออกไปยังต่างประเทศจำนวนมาก

3. พิกัด Cell Site ของหมายเลขโทรศัพท์ที่เข้าข่ายต้องสงสัย

จึงเรียนมาเพื่อโปรดพิจารณาให้ความร่วมมือ

สรุปแนวทางการสืบสวนหา Simbox

แนวทาง รายละเอียด

1. ตรวจสอบข้อมูลจากผู้ให้บริการโทรศัพท์ ขอ CDR (Call Detail Record) และ Cell Site Location

2. ตรวจสอบ IP Address ตรวจหา VoIP Gateway ที่เชื่อมต่อกับเครือข่ายผิดปกติ

3. ใช้ RF Scanner ตรวจจับสัญญาณ ค้นหาจุดที่มีสัญญาณ GSM หลายเบอร์ผิดปกติ

4. สืบสวนภาคสนาม ตรวจสอบสถานที่ที่มีการใช้งานโทรศัพท์ผิดปกติ

5. ขอหมายค้นและตรวจยึด หากมีหลักฐานเพียงพอให้ดำเนินการตรวจค้นและจับกุม

6. Isp กับ vpn ต่างกันอย่างไร ในการสืบสวนอาชญากรรมทางเทคโนโลยี มีความยากง่ายต่างกันอย่างไร

คำตอบ : ISP vs VPN: ความแตกต่างและหน้าที่ของแต่ละระบบ

ISP (Internet Service Provider) และ VPN (Virtual Private Network) เป็นสองระบบที่เกี่ยวข้องกับการเชื่อมต่ออินเทอร์เน็ต แต่มีหน้าที่และวัตถุประสงค์ที่แตกต่างกัน

1. ISP (Internet Service Provider) คืออะไร?

ISP = ผู้ให้บริการอินเทอร์เน็ต เช่น AIS, True, DTAC, 3BB, NT ฯลฯ ทำหน้าที่เชื่อมต่อผู้ใช้งานกับอินเทอร์เน็ต

หน้าที่หลักของ ISP:

• จัดสรร IP Address ให้กับผู้ใช้งาน

• กำหนดความเร็วอินเทอร์เน็ตและปริมาณการใช้งาน

• บันทึกและตรวจสอบการใช้งานอินเทอร์เน็ตของผู้ใช้ (เช่น Log การเชื่อมต่อ)

• สามารถบล็อกเว็บไซต์หรือควบคุมเนื้อหาบางอย่างตามกฎหมายของประเทศ

ตัวอย่าง ISP ที่รู้จักกันดี:

• ในไทย: AIS Fibre, True Online, 3BB, NT, DTAC, TOT

• ต่างประเทศ: AT&T, Comcast, Vodafone, Starlink

2. VPN (Virtual Private Network) คืออะไร?

VPN = เครือข่ายส่วนตัวเสมือน ที่ช่วยเข้ารหัสข้อมูลและซ่อนตำแหน่งของผู้ใช้ โดยเปลี่ยนเส้นทางการเชื่อมต่อผ่านเซิร์ฟเวอร์ของ VPN ก่อนออกสู่อินเทอร์เน็ต

หน้าที่หลักของ VPN:

• ซ่อน IP Address จริง ของผู้ใช้ ทำให้ ISP และเว็บไซต์ปลายทางไม่สามารถระบุตำแหน่งที่แท้จริงได้

• เข้ารหัสข้อมูล ป้องกันการดักฟังจาก ISP, แฮกเกอร์ หรือรัฐบาล

• ข้ามข้อจำกัดของอินเทอร์เน็ต เช่น บายพาสการบล็อกเว็บไซต์ที่ถูกเซ็นเซอร์

• เพิ่มความปลอดภัยเมื่อใช้ Wi-Fi สาธารณะ

ตัวอย่าง VPN ที่รู้จักกันดี:

• ฟรี: ProtonVPN (แบบจำกัด), Windscribe

• เสียเงิน: NordVPN, ExpressVPN, Surfshark

ISP vs VPN ต่างกันอย่างไร?

ความสัมพันธ์ของ ISP กับ VPN ในมุมมองของการสืบสวนอาชญากรรมทางเทคโนโลยี

1️. ISP มีข้อมูลที่สามารถใช้ติดตามอาชญากร

• ISP สามารถบันทึก หมายเลข IP, เว็บไซต์ที่เข้าถึง, อุปกรณ์ที่เชื่อมต่อ

• หากอาชญากรใช้ IP จริงจาก ISP การติดตามจะง่ายขึ้น

2️. VPN ทำให้การติดตามยากขึ้น

• หากอาชญากรใช้ VPN ซ่อน IP จริง จะเห็นเพียง IP ของเซิร์ฟเวอร์ VPN

• ต้องใช้ หมายศาลระหว่างประเทศ เพื่อตรวจสอบข้อมูลจากผู้ให้บริการ VPN

3️. บาง VPN มีนโยบาย “No-Log” ทำให้สืบสวนยาก

• VPN บางเจ้าประกาศว่า ไม่เก็บข้อมูลผู้ใช้ ทำให้แม้จะขอข้อมูลก็ไม่สามารถติดตามได้

• VPN บางเจ้าร่วมมือกับหน่วยงานรัฐในการให้ข้อมูล

สรุปสั้นๆ

• ISP เป็นผู้ให้บริการอินเทอร์เน็ต (เช่น True, AIS, DTAC) และสามารถติดตามการใช้งานของผู้ใช้ได้

• VPN เป็นเครือข่ายส่วนตัวที่ซ่อนตัวตนของผู้ใช้ และช่วยข้ามการบล็อกเว็บไซต์

• หากอาชญากรใช้ VPN จะทำให้การติดตามตัวทำได้ยากขึ้น เพราะ ISP จะไม่เห็นข้อมูลจริงของผู้ใช้

7.ขอทราบแนวทางการสืบสวนหาตัวอาชญากรที่ใช้ VPN ในคดีอาชญากรรมทางเทคโนโลยี

คำตอบ : แนวทางการสืบสวนหาตัวอาชญากรที่ใช้ VPN ในคดีอาชญากรรมทางเทคโนโลยี

การใช้ VPN (Virtual Private Network) เป็นวิธีการหนึ่งที่อาชญากรใช้เพื่อปกปิดตัวตนในโลกออนไลน์ โดยสามารถ ซ่อน IP Address และ เข้ารหัสข้อมูล การสืบสวนเพื่อติดตามตัวอาชญากรที่ใช้ VPN อาจยากขึ้น แต่ยังสามารถทำได้ด้วยการใช้ แนวทางที่หลากหลาย ต่อไปนี้คือแนวทางการสืบสวนที่สามารถใช้ได้ในคดีอาชญากรรมทางเทคโนโลยี:

1. ตรวจสอบข้อมูลจากผู้ให้บริการอินเทอร์เน็ต (ISP)

• ISP มีข้อมูลที่สามารถช่วยในการสืบสวน เช่น IP Address ที่เชื่อมต่อ และ ข้อมูลการใช้งานอินเทอร์เน็ต โดยอาจมีการเก็บ ข้อมูล Log ของการเชื่อมต่อในระยะเวลาที่กำหนด

• ขั้นตอนการดำเนินการ:

• ขอข้อมูลจาก ISP เกี่ยวกับ เวลาและ IP ที่ใช้เชื่อมต่อ ก่อนที่จะเชื่อมต่อกับ VPN (หากมี)

• ตรวจสอบว่า IP ที่ใช้ก่อนการเชื่อมต่อกับ VPN เป็น IP จริงจากผู้ใช้ หรือเป็น IP ที่ถูกใช้โดยการหลอกลวง

2. ใช้ข้อมูลจากบริการ VPN

• หากอาชญากรใช้ VPN มีความเป็นไปได้ที่จะ ค้นหาข้อมูลจากผู้ให้บริการ VPN โดยเฉพาะในกรณีที่ VPN นั้นเก็บข้อมูลการใช้งาน

• หาก VPN มีนโยบาย “No-Log” (ไม่เก็บบันทึกข้อมูล) การตรวจสอบจะยากขึ้น แต่บาง VPN ยังสามารถให้ข้อมูลได้ เช่น IP Address, ระยะเวลา, จำนวนการเชื่อมต่อ

• กรณีที่ VPN เก็บบันทึกข้อมูล: สืบหาข้อมูล เช่น การเชื่อมต่อจากที่ตั้งต่างประเทศ, การเข้าถึงเซิร์ฟเวอร์ภายนอก, ข้อมูลการเชื่อมต่อที่น่าสงสัย เช่นการเชื่อมต่อจากประเทศที่ไม่มีการควบคุม

ขั้นตอนการดำเนินการ:

• ติดต่อผู้ให้บริการ VPN (โดยมีหมายศาล) เพื่อขอข้อมูลที่เกี่ยวข้อง เช่น วันที่, เวลา, และ IP ของผู้ใช้

• ตรวจสอบ ข้อมูลการเชื่อมต่อ VPN เพื่อหา การเชื่อมต่อที่น่าสงสัย หรือ สถานที่ที่ถูกซ่อน เช่น การเชื่อมต่อจากประเทศที่ผู้กระทำผิดไม่อยู่

3. ใช้เครื่องมือและเทคนิคการวิเคราะห์ทางเทคนิค

• การตรวจสอบและวิเคราะห์ข้อมูล Traffic ที่เกิดขึ้นจากอุปกรณ์ของผู้ต้องสงสัยสามารถช่วยตรวจหาการใช้ VPN ได้

• พอร์ตที่ใช้: ตรวจสอบการเชื่อมต่อที่ใช้ พอร์ต 1194 (OpenVPN), พอร์ต 443 (HTTPS) หรือ พอร์ต 80 (HTTP) ซึ่งบางครั้งอาจเป็นการใช้ VPN โดยใช้การเข้ารหัสหรือการเชื่อมต่อที่ปกปิด

• Deep Packet Inspection (DPI): ใช้เครื่องมือการวิเคราะห์ข้อมูลเพื่อดักจับการสื่อสารที่อาจถูกเข้ารหัสจาก VPN

• ตรวจสอบไฟล์ Logs: วิเคราะหฺไฟล์ Firewall, Router Logs และ Server Logs เพื่อหาสัญญาณของการเชื่อมต่อกับ VPN Server หรือ Gateway ที่มีพฤติกรรมผิดปกติ

4. ติดตามข้อมูลจากบริการที่เกี่ยวข้องกับการกระทำผิด

ในบางกรณีอาชญากรอาจใช้ VPN ร่วมกับบริการอื่นๆ เช่น เว็บไซต์ หรือแพลตฟอร์มที่เกี่ยวข้องกับกิจกรรมทางอาญา เช่น การซื้อขายข้อมูลส่วนบุคคล, การโจรกรรมข้อมูลการเงิน

ขั้นตอนการดำเนินการ:

• ตรวจสอบ บันทึกกิจกรรม จากบริการที่อาชญากรใช้ เช่น เว็บบอร์ด, ฟอรัม, หรือเว็บไซต์ที่เกี่ยวข้องกับการฟิชชิ่ง และ ข้อมูลจากแพลตฟอร์มออนไลน์

• สืบหาว่าผู้ใช้มีการเชื่อมต่อจาก IP ของ VPN และข้ามประเทศหรือไม่

5. การติดตามแหล่งที่มาและเซิร์ฟเวอร์ VPN

• หากสามารถติดตามการเชื่อมต่อจาก VPN Server ที่อาชญากรใช้ได้ สามารถทำการขยายผลไปยัง เซิร์ฟเวอร์ VPN ที่ตั้งอยู่ในประเทศที่ถูกซ่อน

• การสอบถามข้อมูลจากผู้ให้บริการ VPN: ติดต่อกับหน่วยงานรัฐหรือผู้ให้บริการ VPN เพื่อขอข้อมูลเซิร์ฟเวอร์ที่ถูกใช้งาน

• การวิเคราะห์ข้อมูลจากเซิร์ฟเวอร์: การตรวจสอบบันทึกกิจกรรมจากเซิร์ฟเวอร์ที่อาชญากรเชื่อมต่อเพื่อขยายผลการสืบสวน

6. การใช้วิธีการสืบสวนภาคสนาม

• การจับกุมผู้ต้องสงสัย: หากการสืบสวนออนไลน์ไม่สามารถให้ข้อมูลที่เพียงพอ อาจต้องใช้วิธีการ สืบสวนภาคสนาม เช่น การติดตามตัวผู้ต้องสงสัยในพื้นที่ต่างๆ หรือการดำเนินการสืบสวนโดยมีหมายจับ

• การใช้แหล่งข่าว: การใช้แหล่งข่าวหรือการดักฟังแหล่งข้อมูลที่อาจให้ข้อมูลใหม่เกี่ยวกับตัวอาชญากร

ตัวอย่างหนังสือขอข้อมูลจากผู้ให้บริการ VPN

ที่ [หมายเลขเอกสาร]

วันที่ [วันที่]

เรื่อง: ขอข้อมูลการใช้งาน VPN เพื่อสืบสวนคดีอาชญากรรมทางเทคโนโลยี

เรียน [ชื่อผู้จัดการหรือฝ่ายกฎหมายของผู้ให้บริการ VPN],

ตามที่สถานีตำรวจ [ชื่อสถานีตำรวจ] กำลังดำเนินการสืบสวนคดี [ชื่อคดี] ซึ่งเกี่ยวข้องกับการกระทำความผิดทางอาชญากรรมทางเทคโนโลยี โดยมีการใช้งานบริการ VPN เพื่อปกปิดตัวตนของผู้กระทำผิด

เพื่อให้การสืบสวนมีความคืบหน้า สถานีตำรวจ [ชื่อสถานีตำรวจ] จึงขอความร่วมมือจากบริษัทฯ ในการให้ข้อมูลที่เกี่ยวข้องกับการเชื่อมต่อ VPN ของผู้ต้องสงสัย ดังนี้:

1. ข้อมูลการเชื่อมต่อ VPN ที่เกี่ยวข้องกับ IP ที่ต้องสงสัย

2. เวลาและวันที่ที่มีการเชื่อมต่อ VPN

3. ข้อมูลเซิร์ฟเวอร์ที่ผู้ใช้เชื่อมต่อ

4. รายละเอียดการบันทึกข้อมูลการใช้งานจากบริการ VPN

ขอขอบพระคุณในความร่วมมือของท่านในการดำเนินการสืบสวนคดีดังกล่าว

สรุปการสืบสวนหาตัวอาชญากรที่ใช้ VPN

การสืบสวนอาชญากรที่ใช้ VPN จำเป็นต้องใช้หลายแนวทางร่วมกัน เช่น การขอข้อมูลจาก ISP, การขอข้อมูลจาก บริการ VPN, การ วิเคราะห์ข้อมูล Traffic และการติดตามจาก เซิร์ฟเวอร์ VPN การใช้เครื่องมือที่มีความสามารถในการตรวจจับ VPN สามารถเพิ่มโอกาสในการติดตามตัวผู้กระทำผิดได้.

โดย พ.ต.ท. ภูมิรพี ผลาภูมิ ผู้เขียน/เรียบเรียง

ข้อมูลจาก(กฎหมายตำรวจและพนักงานสอบสวน by ภูมิรพี ผลาภูมิ)

แนวทางการปฏิบัติของ พงส

Key word:แก๊งค์ CALL CENTER

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูล  เผยแพร่ความรู้และให้โอกาสในการค้นคว้าหาข้อมูลเพื่อการศึกษา   บุคคลที่สนใจโดยทั่วไป รวมถึงนักเรียน นิสิต นักศึกษา  ในการเรียนรู้เท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD