digital forensics : Forensic Acquisition Of Solid State Drives

Digital Forensics : Forensic Acquisition Of Solid State Drives With Open Source Tools by Josué Ferreira

Abstract

From a judicial perspective, the integrity of volatile storage devices has always been a reason for great concern and therefore, it is important for a method to forensically acquire data from Solid State Drives (SSD) to be developed. The method in this paper presents a way to preserve potential volatile digital evidence, present on SSDs, and produce forensically sound bit-stream copies. Due to the volatile nature of SSDs, Digital Forensic Analysts are often faced with the challenge of preserving the integrity of digital evidence seized from a crime scene. This paper proposes a method to perform forensic data acquisition from SSDs, while preventing the TRIM function and/or garbage collection from operating without user input, therefore maintaining the integrity of potential digital evidence. The results show the method can and will prevent any unintentional changes, on the disk’s user generated data and unallocated data, from happening prior to and post the forensic acquisition stage.

1. Introduction

The field of computer forensics has been in need of a method to perform forensic data acquisition from Solid State Drives for a long time. For about a decade, due to the lack of standardised operating procedures on how to image SSDs and judicial scepticism over volatile data found on a suspect’s device [1], potential digital evidence has been either lost or dismissed as inadmissible in court. According to R. S. Ieong [2] “when the underlying technology of the target device changes, new procedures are required.” This paper, based on empirical research, presents a new procedure for digital forensic analysts to handle SSDs without risking compromising the integrity of the device, and to create forensically sound bit-stream copies of SSDs using open source tools.

1.1. Contribution

This work contributes to the field of digital forensic investigation by proving that it is possible to forensically acquire data from a Solid State Drive (SSD)*, while preserving the volatile data that would otherwise, using current data acquisition methods, be lost. Current forensic acquisition methods, such as verifying individual files, were developed to image non-volatile storage devices and as a result, when applied to SSDs, can lead to loss of potential digital evidence and inconsistencies during the verification stage. This paper provides a straightforward method to preserve and image SSDs in a forensically sound manner using a write-blocker, Forensic Live CDs and open source tools. Let’s hope that this paper will firstly bring new knowledge, secondly a new perspective on how to perform data acquisition on volatile devices such as SSDs, and lastly, bring hope to the fields of computer forensics and law enforcement.

TRIM

Ref:https://articles.forensicfocus.com/2018/03/13/forensic-acquisition-of-solid-state-drives-with-open-source-tools/  by Josué Ferreira
https://www.extremetech.com/computing/183162-new-method-of-ssd-garbage-collection-can-boost-drive-performance-up-to-300
https://articles.forensicfocus.com/2018/03/13/forensic-acquisition-of-solid-state-drives-with-open-source-tools/
https://belkasoft.com/ssd-2014

Download Slide

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

Digital Forensics: วิธีการตรวจสอบว่า Facebook ถูกแฮก

Digital Forensics: วิธีการตรวจสอบว่า Facebook ของท่านกำลังถูกแฮกอยู่หรือไม่

บัญชี Facebook ถูกแฮกได้อย่างไร
การแฮกบัญชี Facebook นั้น โดยทั่วไปมักหมายถึงการที่บุคคลอื่นสามารถเข้าถึงบัญชี Facebook ของเจ้าของบัญชีได้โดยไม่ได้รับอนุญาต ซึ่งอาจเกิดได้จาก

• การไปใช้อุปกรณ์ (คอมพิวเตอร์ หรือโทรศัพท์) ที่มีการล็อกอินบัญชี Facebook ค้างไว้
• ผู้ประสงค์ร้ายสามารถเดารหัสผ่านของบัญชี Facebook ได้
• ผู้ใช้ตกเป็นเหยื่อของเว็บไซต์ปลอมที่ทำขึ้นมาเพื่อหลอกขโมยรหัสผ่าน
• เครื่องคอมพิวเตอร์ถูกติดตั้งซอฟต์แวร์ที่มีความสามารถในการขโมยรหัสผ่าน ที่มา

จะทราบได้อย่างไรว่าบัญชี Facebook ถูกแฮก
Facebook มีกระบวนการตรวจสอบและป้องกันการเข้าใช้งานในลักษณะที่ต้องสงสัยว่าอาจเป็นการแฮกบัญชีได้ เช่น จะมีการส่งอีเมลแจ้งเตือนว่ามีการล็อกอินจากอุปกรณ์ที่ไม่เคยถูกใช้ล็อกอินมาก่อนหน้านี้ หรือมีการล็อกอินจากต่างสถานที่ (เช่น คนละจังหวัดหรือคนละประเทศ) รวมถึงส่งอีเมลแจ้งเตือนและขอให้ยืนยันเมื่อมีการพยายามเปลี่ยนรหัสผ่านบัญชี Facebook เป็นต้น ซึ่งมาตรการเหล่านี้สามารถช่วยให้เจ้าของบัญชีตรวจสอบและป้องกับความเสียหายได้ในระดับหนึ่ง การตรวจสอบว่าบัญชี Facebook ถูกแฮกหรือไม่ สามารถดูได้ทั้งจากการแจ้งเตือนการล็อกอิน และข้อมูลการล็อกอินบัญชี Facebook

การตรวจสอบการแจ้งเตือนเมื่อมีการล็อกอินบัญชี Facebook

เมื่อมีการล็อกอินบัญชี Facebook จากคอมพิวเตอร์หรือโทรศัพท์มือถือที่ ไม่เคยถูกใช้ในการล็อกอินบัญชี Facebook ก่อนหน้านี้ (Facebook เรียกอุปกรณ์เช่นนี้ว่าบราวเซอร์หรืออุปกรณ์ที่ไม่รู้จัก) จะมีการแจ้งเตือนเพื่อยืนยันการล็อกอิน

การตรวจสอบข้อมูลการล็อกอินบัญชี Facebook

หากต้องการตรวจสอบว่าปัจจุบันมีอุปกรณ์ใดบ้างที่ล็อกอินเข้าใช้งานบัญชี Facebook นี้อยู่ สามารถทำได้โดยการตรวจสอบข้อมูลการล็อกอิน ซึ่งจะแสดงรายชื่ออุปกรณ์ วันเวลา สถานที่ รวมถึงหมายเลขไอพีที่ใช้ล็อกอิน (ข้อมูลไอพีของอุปกรณ์ที่ล็อกอินจะปรากฏเฉพาะการตรวจสอบผ่านเว็บไซต์) ซึ่งข้อมูลนี้จะแสดงเฉพาะอุปกรณ์ที่ยังสามารถใช้เข้าถึงบัญชี Facebook นี้ได้ หากอุปกรณ์ใดที่มีการล็อกเอาท์ไปแล้วจะไม่ปรากฏในรายการนี้
ทำอย่างไรหากพบว่าบัญชี Facebook ถูกแฮก
หากผู้ใช้สงสัยว่าบัญชี Facebook อาจถูกแฮก มีสิ่งที่ควรทำเบื้องต้น ตามลำดับ ดังนี้

1. เปลี่ยนรหัสผ่านทันที
2. รวบรวมข้อมูลหลักฐานต่างๆ ที่เกี่ยวข้อง
3. ระงับการใช้งาน Facebook บนอุปกรณ์อื่น

หมายเหตุ: สาเหตุที่ให้รวบรวมหลักฐานก่อน เนื่องจากข้อมูลที่ Facebook แสดงรายการอุปกรณ์ที่ล็อกอินไม่ได้แสดงประวัติการให้งานแต่เป็นรายการอุปกรณ์ที่กำลังล็อกอินอยู่ในปัจจุบัน หากสั่งระงับการใช้งาน Facebook บนอุปกรณ์อื่นไปแล้ว จะไม่สามารถย้อนกลับมาเก็บรวบรวมข้อมูลได้อีก

การรวบรวมข้อมูลหลักฐานต่างๆ ที่เกี่ยวข้อง

หากพบว่าบัญชี Facebook ถูกแฮกแล้วมีการนำไปใช้สร้างความเสียหาย ควรรวบรวมข้อมูลหลักฐานที่เกี่ยวข้องเพื่อนำไปใช้ลงบันทึกประจำวันหรือแจ้งความดำเนินคดี หลักฐานต่างๆ เช่น ข้อมูลสถานะการล็อกอินเข้าใช้งานบัญชี Facebook จากบุคคลอื่น อีเมลแจ้งเตือนการล็อกอินหรือแจ้งเตือนการเปลี่ยนรหัสผ่าน เป็นต้น
การรวบรวมข้อมูลหลักฐาน ควรทำทั้งการบันทึกภาพหน้าจอและสั่งพิมพ์ออกมาเป็นกระดาษ พร้อมระบุวันเวลาที่เกิดเหตุ แล้วนำข้อมูลดังกล่าวไปแจ้งความ ณ สถานีตำรวจในพื้นที่ เพื่อใช้ในการดำเนินคดีต่อไป


 ที่มา:กองปราบปราม #กองปราบปราม #CSDThailand
    https://bit.ly/2UVcCJB
    https://bit.ly/2kINpCm

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ


#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud#computerforensics

Digital Forensics: Email Investigation Part II.

Digital Forensics: Email Investigation Part II.

การสืบค้นข้อมูลทางอินเทอร์เน็ต

การสืบค้นข้อมูลจาก (Email )จดหมายอิเล็กทรอนิกส์

การรวบรวมพยานหลักฐาน

 

ที่มา:
ขอขอบคุณท่าน พันตำรวจเอก สันติพัฒน์ พรหมะจุล  ตำรวจภูธรภาค ๑ ขออนุญาตแชร์เป็นวิทยาทาน

อ่านเพิ่มเติม: DIGITAL FORENSICS: EMAIL INVESTIGATION PART I.

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#การสืบค้นข้อมูลทางอินเทอร์เน็ต

#การสืบค้นข้อมูลจากอีเมล

#การรวบรวมพยานหลักฐาน

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud

การกู้ข้อมูลจากฮาร์ดดิสก์ที่ถูกน้ำท่วม

จากเหตุการณ์น้ำท่วมที่ผ่านมา ส่งผลให้คอมพิวเตอร์ของหน่วยงาน สถานประกอบการ หรือบุคคลทั่วไป หลายแห่งจมอยู่ใต้น้ำ ซึ่งอาจมีข้อมูลที่สำคัญอยู่ในฮาร์ดดิสก์ และมีความจำเป็นต้องทำการกู้ข้อมูล (Data recovery) เพื่อให้สามารถดำเนินกิจการต่อไปได้โดยเร็วที่สุด แต่การกู้ข้อมูลนั้นมีหลายสิ่งที่ควรรู้และต้องคำนึงในการปฏิบัติ เพื่อไม่ให้เกิดความเสียหายต่อฮาร์ดดิสก์โดยไม่ตั้งใจ ดังนั้น การรู้จักการทำงานของฮาร์ดดิสก์ รูปแบบความเสียหาย วิธีการการแก้ไข และขั้นตอนการปฏิบัติในการกู้ข้อมูล ก็จะสามารถช่วยป้องกันความเสียหายและเพิ่มโอกาสในการกู้ข้อมูลกลับคืนมาได้

โครงสร้างการทำงานของฮาร์ดดิสก์

ปัจจุบัน มีการใช้งานฮาร์ดดิสก์อยู่ 2 แบบ คือแบบจานแม่เหล็ก และแบบ Solid-state (SSD) ซึ่งทั้ง 2 แบบมีโครงสร้างและการทำงานที่แตกต่างกัน ส่งผลให้มีความแตกต่างในเรื่องของการเก็บข้อมูลและการกู้ข้อมูลตามไปด้วย
ฮาร์ดดิสก์แบบจานแม่เหล็ก

รูปที่ 1 ฮาร์ดดิสก์แบบจานแม่เหล็ก

นิยมใช้ในคอมพิวเตอร์ทั่วไป รวมถึงกล้องวีดีโอบางรุ่น เนื่องจากมีขนาดความจุค่อนข้างสูงและมีราคาที่ลดลงมาอยู่ในระดับที่ไม่สูงมาก ฮาร์ดดิสก์แบบแม่เหล็กจะใช้แผ่นจานโลหะเพื่อเก็บข้อมูล โดยมีมอเตอร์หมุนอยู่ภายใน และใช้หัวอ่านในการอ่านและเขียนข้อมูลลงในแผ่นจานในการอ่านหรือเขียนข้อมูลจะใช้หลักการเปลี่ยนทิศทางของสนามแม่เหล็ก เพื่อเก็บข้อมูลในรูปแบบของเลขฐาน 2
ในขณะที่ฮาร์ดดิสก์ทำงาน หัวอ่านจะลอยอยู่เหนือแผ่นจานประมาณ 10 นาโนเมตร [2] (เส้นผมของมนุษย์มีเส้นผ่านศูนย์กลางเฉลี่ย 99 ไมโครเมตร) แผ่นจานจะหมุนด้วยความเร็วสูง ซึ่งในปัจจุบันมีความเร็วในการหมุนประมาณ 7200 - 10000 รอบต่อนาที (ประมาณ 270 กิโลเมตรต่อชั่วโมง) ดังนั้นหากฮาร์ดดิสก์มีการสั่นสะเทือนเกิดขึ้นในขณะที่หัวอ่านกำลังทำงาน ก็มีโอกาสสูงที่หัวอ่านจะไปขูดกับแผ่นจานแม่เหล็ก ซึ่งส่งผลให้ฮาร์ดดิสก์เสียหายอย่างถาวรได้
ฮาร์ดดิสก์แบบ Solid-state​

รูปที่ 2 ฮาร์ดดิสก์แบบ Solid-state [3]

ฮาร์ดดิสก์แบบ Solid-state ใช้หลักการเดียวกันกับอุปกรณ์เก็บข้อมูลแบบพกพา เช่น Flash drive ซึ่งเป็นอุปกรณ์เก็บข้อมูลรูปแบบใหม่ที่ไม่มีชิ้นส่วนที่เป็นการหมุนหรือหัว อ่านอยู่ภายใน โดยจะเปลี่ยนมาใช้การเก็บข้อมูลบน NAND Chip ซึ่งเป็นการอ่านและเขียนข้อมูลโดยใช้ไฟฟ้า ส่งผลให้ฮาร์ดดิสก์แบบ Solid-state สามารถอ่านเขียนข้อมูลได้เร็วกว่าฮาร์ดดิสก์แบบจานแม่เหล็ก แต่เนื่องจากมีราคาที่ค่อนข้างสูง และมีความจุน้อยกว่าฮาร์ดดิสก์แบบจานแม่เหล็ก จึงนิยมใช้ในอุปกรณ์ที่ต้องการการพกพาสะดวกและมีน้ำหนักเบา เช่น คอมพิวเตอร์โน้ตบุคแบบ Ultra-thin หรือโทรศัพท์มือถือบางรุ่น
ฮาร์ดดิสก์แบบ Solid-state จะแบ่งพื้นที่ในการเก็บข้อมูลออกเป็นบล็อก (หรือ Cell) ซึ่งแต่ละบล็อกมีจำนวนครั้งในการเขียนหรือลบข้อมูลอยู่จำกัด ถ้าใช้ครบจำนวนครั้งที่กำหนด บล็อกนั้นจะไม่สามารถใช้งานได้อีก [4] นอกจากนี้การเก็บข้อมูลจะไม่ได้เก็บแบบต่อเนื่องเหมือนฮาร์ดดิสก์แบบจานแม่เหล็ก แต่จะใช้วิธี Logical mapping ซึ่งเป็นการเชื่อมโยงข้อมูลที่เก็บอยู่จริงในหน่วยความจำให้เป็นไฟล์ข้อมูลสำหรับคอมพิวเตอร์ ซึ่งส่วนที่ทำหน้าที่ดังกล่าวเรียกว่า Controller

ความเสียหายที่อาจเกิดขึ้นได้กับฮาร์ดดิสก์

ความเสียหายทางการภาพ (Physical damage)
ความเสียหายที่เกิดขึ้นกับฮาร์ดดิสก์แบบจานแม่เหล็ก จะเกิดกับส่วนของจานแม่เหล็กที่ใช้สำหรับบันทึกข้อมูล ไม่ว่าจะเป็นการอยู่ภายใต้สนามแม่เหล็กที่ความแรงสูงจนข้อมูลที่เก็บอยู่ผิดเพี้ยน หรือหัวอ่านกระแทกกับจานข้อมูล ทำให้เข้าถึงข้อมูลในส่วนนั้นไม่ได้ เป็นต้น ซึ่งถึงแม้ว่าในขณะที่ปิดเครื่อง หัวอ่านของฮาร์ดดิสก์จะถูกเก็บให้ไปอยู่ในที่ที่ปลอดภัยแล้วก็ตาม แต่การที่ฮาร์ดดิสก์ตกจากที่สูงก็มีโอกาสที่จะเกิดความเสียหายได้เช่นกัน หากหัวอ่านชำรุด แต่แผ่นจานแม่เหล็กยังสามารถใช้งานได้อยู่ ก็ยังสามารถให้ผู้เชี่ยวชาญทำการถอดจานแม่เหล็กเพื่อนำไปอ่านข้อมูลออกมาใส่ในฮาร์ดดิสก์อื่นได้ แต่หากแผ่นจานแม่เหล็กชำรุดเสียหาย โอกาสที่จะกู้ข้อมูลได้ก็น้อยลงไปด้วย [5] [6]
สำหรับฮาร์ดดิสก์แบบ Solid-state ถ้าส่วน Controller เสียหาย การกู้ข้อมูลจะทำได้ยากมากหรือแทบเป็นไปไม่ได้เลย เนื่องจากการกู้ข้อมูลต้องแกะเอา NAND Chip ออกมาคัดลอกข้อมูล แล้วนำชิ้นส่วนของข้อมูลที่ได้มาวิเคราะห์เพื่อสร้างตารางข้อมูลใหม่ นอกจากนี้วิธีการเก็บข้อมูลในฮาร์ดดิสก์แบบ Solid-state ยังแตกต่างกันออกไปตามวิธีการของผู้ผลิต ปัจจุบันยังไม่มีซอฟต์แวร์ที่ใช้ในการกู้ข้อมูลในลักษณะนี้ จำเป็นต้องให้ผู้เชี่ยวชาญทำเท่านั้น [7] [8] [9] [10]
ในประเทศไทย มีบริษัทที่ให้บริการกู้ข้อมูลในฮาร์ดดิสก์ในกรณีที่เกิดความเสียหายทาง กายภาพ เช่น ศูนย์กู้ข้อมูล IDR หรือ ศูนย์กู้ข้อมูล i-CU เป็นต้น ซึ่งค่าใช้จ่ายในการกู้ข้อมูลก็จะแตกต่างกันออกไปแล้วแต่กรณี อย่างไรก็ตาม ThaiCERT ไม่ได้มีส่วนเกี่ยวข้องกับผู้ให้บริการกู้ข้อมูลดังกล่าว
ความเสียหายที่เกิดขึ้นกับข้อมูล (Logical damage)
เป็นความเสียหายที่เกิดขึ้นจากการใช้งาน ซึ่งเกี่ยวข้องกับไฟล์หรือระบบโครงสร้างของการเก็บข้อมูล ไม่ว่าจะเป็น การเผลอลบข้อมูล การ Format ฮาร์ดดิสก์ หรือการเขียนข้อมูลทับ ซึ่งความเสียหายในส่วนนี้สามารถกู้คืนได้ด้วยซอฟต์แวร์ โดยปัจจุบันมีซอฟต์แวร์ที่ใช้สำหรับกู้ข้อมูลอยู่จำนวนมาก ผู้ใช้สามารถดาวน์โหลดมาใช้งานได้ฟรี เช่น Recuva หรือ TeskDisk เป็นต้น [11]
ทำอย่างไรหากฮาร์ดดิสก์จมน้ำ
หากฮาร์ดดิสก์จมน้ำ ไม่ว่าฮาร์ดดิสก์จะเสียหายอย่างไรก็ตาม ยังพอมีโอกาสที่จะกู้ข้อมูลได้ การกู้ข้อมูลจากฮาร์ดดิสก์ที่มีความเสียหายทางกายภาพนั้นไม่สามารถทำได้ด้วยตนเอง แต่สามารถขอความช่วยเหลือในการกู้ข้อมูลจากผู้เชี่ยวชาญได้ ข้อแนะนำในการปฏิบัติในการเก็บและจัดส่งฮาร์ดดิสก์ให้กับบริษัทที่ให้บริการกู้ข้อมูล มีดังนี้

ฮาร์ดดิสก์แบบจานแม่เหล็ก
ไม่ควรทำการกู้ข้อมูลด้วยตนเองโดยเด็ดขาด เพราะเมื่อฮาร์ดดิสก์จมน้ำ หัวอ่านอาจจะไปติดอยู่กับจานข้อมูล ถ้าจ่ายไฟเข้าไปจะเกิดการหมุนของหัวอ่าน ซึ่งอาจจะไปขูดกับจานข้อมูล ทำให้ฮาร์ดดิสก์เสียหายถาวรได้
อย่าทำให้ฮาร์ดดิสก์แห้ง เพราะเมื่อฮาร์ดดิสก์แห้งจะเกิดคราบและเศษฝุ่นเกาะติดอยู่ที่จานหรือหัวอ่านได้

รูปที่ 3 คราบฝุ่นที่ติดอยู่บนฮาร์ดดิสก์เมื่อน้ำแห้ง [12]

อย่าทำให้ฮาร์ดดิสก์สั่นสะเทือน เนื่องจากหัวอ่านอาจจะขูดกับแผ่นจาน ทำให้ฮาร์ดดิสก์เสียหายได้
ทำให้ฮาร์ดดิสก์อยู่ในสภาพที่จมน้ำแบบที่ยังคงเป็นอยู่ โดยอาจจะนำฮาร์ดดิสก์ใส่ในภาชนะที่ปิดมิดชิด เช่น กล่องโฟม หรือ กล่องใส่อาหาร แล้วส่งให้กับผู้เชี่ยวชาญเพื่อทำการกู้ข้อมูลต่อไป [13]

ฮาร์ดดิสก์แบบ Solid-state
สำหรับฮาร์ดดิสก์แบบ Solid-state (หรือ Flash drive) เนื่องจากเป็นแผงวงจร จึงสามารถทนทานต่อการจมน้ำได้บ้าง หากฮาร์ดดิสก์ถูกน้ำควรรีบนำฮาร์ดดิสก์ออกมาทำให้แห้งโดยเร็วด้วยการใช้พัดลมเป่า ไม่ควรใช้ไดรเป่าผมหรือนำไปตากแดด จากนั้นเมื่อแน่ใจว่าฮาร์ดดิสก์แห้งสนิทแล้วสามารถนำไปใช้งานต่อได้ แต่หากฮาร์ดดิสก์จมน้ำเป็นเวลานาน มีโอกาสที่จะทำให้แผงวงจรหรืออุปกรณ์ภายในขึ้นสนิมได้ ควรรีบทำให้แห้งแล้วส่งไปยังศูนย์กู้ข้อมูลเพื่อให้ผู้เชี่ยวชาญดำเนินการ ต่อไป [14]
การกู้ข้อมูลจากฮาร์ดดิสก์ที่ถูกลบหรือเขียนข้อมูลทับ
หากฮาร์ดดิสก์ไม่ได้เสียหายทางกายภาพ แต่ข้อมูลสูญหายเนื่องจากอุบัติเหตุในระหว่างการใช้งาน เช่น การเผลอลบไฟล์เอกสารสำคัญ หรือฮาร์ดดิสก์ถูก Format ยังสามารถใช้ซอฟต์แวร์ทำการกู้ข้อมูลได้ เนื่องจากเมื่อระบบทำการลบไฟล์ จะไม่ลบข้อมูลจริงทิ้ง แต่จะลบส่วนที่เป็นการอ้างอิงตำแหน่ง (Index) ของข้อมูลแทน หมายความว่า “ชื่อ” ที่ใช้ในการอ้างอิงตำแหน่งของข้อมูลนั้นจะหายไป แต่ตัวข้อมูลยังคงอยู่ เมื่อฮาร์ดดิสก์แบบแม่เหล็กเขียนข้อมูลใหม่ทับข้อมูลเดิม จะไม่ได้เปลี่ยนบิทของข้อมูลเดิมจาก 0 เป็น 1 หรือ 1 เป็น 0 เป๊ะๆ แต่จะมีการเหลื่อมอยู่บ้าง ถ้าสามารถอ่านข้อมูลดิบที่อยู่บนดิสก์ แล้วทำการวิเคราะห์รูปแบบ (Pattern) ของการเปลี่ยนค่าจาก 0 เป็น 1 หรือ 1 เป็น 0 ได้ จะสามารถรู้ว่า ข้อมูลตรงส่วนนี้เคยมีค่าเป็นอะไรมาก่อน นอกจากนี้ยังสามารถใช้กล้องสแกนแถบแม่เหล็กในฮาร์ดดิสก์ เพื่อดูค่าการจัดเรียงของสนามแม่เหล็กในดิสก์ได้ [15] อย่างไรก็ตาม การทำลายข้อมูลบนฮาร์ดดิสก์นั้นก็ยังสามารถทำได้อยู่ จากการวิจัยพบว่า ถ้าเขียนทับข้อมูลนั้นมากกว่า 25 ครั้งจะไม่สามารถกู้ข้อมูลกลับคืนมาได้ [16] [17] [18]

การป้องกันข้อมูลสูญหาย
ในการป้องกันข้อมูลสูญหาย วิธีที่ดีที่สุดคือการสำรองข้อมูลอยู่อย่างสม่ำเสมอ ซึ่งการสำรองข้อมูลก็สามารถทำได้หลายวิธี เช่น ใช้การต่อฮาร์ดดิสก์แบบ RAID เพื่อสำรองข้อมูลไปยังฮาร์ดดิสก์อีกลูกหนึ่งโดยอัตโนมัติ หรือนำข้อมูลที่สำคัญไปฝากไว้กับผู้ให้บริการฝากข้อมูลบนอินเทอร์เน็ต

ข้อมูลเพิ่มเติม Download

Data Remanence in Semiconductor Devices: http://www.cypherpunks.to/~peter/usenix01.pdf
List of data recovery software: http://en.wikipedia.org/wiki/List_of_data_recovery_software
Reliably Erasing Data From Flash-Based Solid State Drives: http://www.usenix.org/events/fast11/tech/full_papers/Wei.pdf
Redundant array of independent disks: http://en.wikipedia.org/wiki/Redundant_array_of_independent_disks

อ้างอิง จาก สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์  (ETDA) Electronic Transactions Development Agency
http://en.wikipedia.org/wiki/Hard_drive
http://www.pcguide.com/ref/hdd/op/heads/op_Height.htm
http://en.wikipedia.org/wiki/Solid-state_drive
http://www.datarecovery.net/articles/solid-state-drive-architecture.html
http://en.wikipedia.org/wiki/Data_remanence
http://en.wikipedia.org/wiki/Data_loss
http://www.datarecovery.net/solid-state-drive-recovery.html
http://www.datarecoverytools.co.uk/2010/02/21/is-ssd-data-recovery-possible-and-different-from-hard-drive-data-recovery/
http://www.recovermyflashdrive.com/articles/how-flash-drives-fail
http://www.recovermyflashdrive.com/articles/5-things-you-should-know-about-flash-drives
http://en.wikipedia.org/wiki/Data_recovery
http://www.dataclinic.co.uk/advanced-data-recovery-water-damaged-hard-disk-drive.htm
http://www.storagesearch.com/disklabs-art3-floods.html
http://www.associatedcontent.com/article/2556459/how_to_salvage_a_usb_flash_drive_from.html
http://www.nber.org/sys-admin/overwritten-data-guttman.html
http://www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html
http://www.anti-forensics.com/disk-wiping-one-pass-is-enough
http://www.anti-forensics.com/disk-wiping-one-pass-is-enough-part-2-this-time-with-screenshots

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์ #พยานหลักฐานดิจิทัล

Digital Forensics:DKIM

Digital Forensics:DKIM

DKIM (DomainKeys Identified Mail) เป็นระบบที่ช่วยป้องกันการดักจับ Spam Mail วิธีหนึ่ง ซึ่งเป็นที่นิยมใช้กันมากขึ้นเรื่อย ๆ โดยเฉพาะผู้ให้บริการฟรีอีเมล์ทั้งหลาย เช่น Gmail, Hotmail (Outlook), Yahoo เป็นต้น

DKIM คืออะไร?

Domain Keys Identified Mail (DKIM) คือ การเพิ่มลายเซ็นดิจิทัลที่ส่วนหัวของอีเมล (Email Header) ที่คุณส่งออกไป ช่วยให้เซิร์ฟเวอร์เมลปลายทางของผู้ติดต่อสามารถตรวจสอบได้ว่าคุณใช้เซิร์ฟเวอร์เมลของคุณในการส่งหรือไม่ โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบแทรกกลางการสื่อสาร (Man-in-the-Middle)

http://rejoiner.com/resources/what-is-a-dkim-record/

SPF คืออะไร?

Sender Policy Framework (SPF) เป็นวิธีการหนึ่งที่จะช่วยตรวจสอบว่าแคมเปญอีเมลที่ผู้ติดต่อได้รับนั้นเป็นแคมเปญที่มาจากโดเมนของคุณจริงหรือไม่ โดยผู้ที่เป็นเจ้าของโดเมนจะต้องทำการระบุว่าอีเมลที่ส่งจากโดเมนนั้น ๆ จะถูกส่งออกด้วยเซิร์ฟเวอร์เครื่องใด หรือหมายเลข IP Address อะไรบ้าง โปรโตคอลนี้มีประสิทธิภาพโดยเฉพาะอย่างยิ่งกับการโจมตีแบบฟิชชิ่ง

DKIM และ SPF ถูกออกแบบมาเพื่อตรวจจับการปลอมแปลงทางอีเมล ป้องกันไม่ให้ผู้ให้บริการอีเมล (Email Service Provider: ESP) ปลอมแปลงที่อยู่ในการส่ง ซึ่งเป็นเทคนิคที่มักใช้ในการหลอกลวงทางอีเมลและฟิชชิ่ง

https://www.cyberpunk.rs/spf-email-validation-protocol

SPF Record หรือ Sender Policy Framework คือ ค่าที่ระบุ Server email ที่ได้รับอนุญาติให้ส่ง email ในนาม Domain ผู้ส่งซึ่งจะระบุเป็น IP Address ของ mail server

Credit:

 http://rejoiner.com/resources/what-is-a-dkim-record

https://postmarkapp.com/guides/dkim

/set-up-custom-domain-authentication-with-dkim-and-spf

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น
* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital Forensics: Cryptocurrency Coincheck

Digital Forensics: Cyber Threats > Cryptocurrency

“โจรกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์” เงินกว่า 530 ล้านดอลลาร์ถูกขโมยจาก Coincheck

ทางผู้บริหารเว็บเทรดสัญชาติญี่ปุ่นนาม Coincheck ได้ยืนยันในการแถลงข่าวอย่างเป็นทางการเมื่อคืนนี้ว่ามีผู้ไม่หวังดีได้เข้ามาแฮ็กและปล้นเงินกว่า 530 ล้านดอลลาร์จริง ๆ แต่ก็ได้กล่าวว่าสกุลเงินดิจิตอลอื่นๆ ภายในเว็บ รวมถึง Ripple (ที่ตอนแรกถูกสันนิษฐานว่าโดนแฮ็กด้วยเช่นกัน) ไม่ได้ถูกปล้นหรือได้รับผลกระทบใดๆ ทั้งสิ้น โดยคาดว่าเร็ว ๆ นี้จะมีข้อมูลคืบหน้าในเรื่องของ “การปล้นครั้งมโหฬารที่สุดในประวัติศาสตร์เว็บเทรด Cryptocurrency” ที่เกิดขึ้นเมื่อเที่ยงวานนี้ นี่คือข้อมูลทั้งหมดที่เราทราบ ณ ตอนนี้

นี่คือการปล้นครั้งใหญ่ที่สุดในประวัติศาสตร์ของเว็บเทรด Cryptocurrency

ในงานแถลงข่าว ผู้บริหาร Coincheck ยืนยันว่าแฮ็กเกอร์ได้ขโมยเหรียญ NEM จำนวนกว่า 500 ล้านเหรียญ ซึ่งมีมูลค่าอยู่ที่ประมาณ 530 ล้านดอลลาร์ อย่างไรก็ตาม สำนักข่าว Nikkei Veritas ได้ทวีตจากในงานดังกล่าวว่า จำนวนเงินทั้งหมดที่ถูกขโมยนั้น ยังไม่เป็นที่แน่ชัดจนกว่าเจ้าหน้าที่จะดำเนินการตรวจสอบอย่างละเอียดเรียบร้อยแล้ว

การแฮ็กครั้งนี้ทำให้ Coincheck ได้กลายเป็นเว็บเทรด Cryptocurrency ที่ถูกปล้นครั้งยิ่งใหญ่ที่สุดในประวัติศาสตร์ แทนที่เว็บ Mt. Gox ที่เคยถูกกวาดเงินไปกว่า 850,000 Bitcoins ซึ่งมีมูลค่าประมาณ 350 ล้านดอลลาร์ในปี 2014

ถ้ามองจากเปอร์เซ็นต์ของมูลค่าตลาดรวม (total market cap) ณ ช่วงเวลาที่มีการโจรกรรมแล้ว ถือว่าเว็บ Mt. Gox นั้นได้ถูกปล้นในเปอร์เซ็นต์ที่มากกว่า แต่จำนวนเงินนั้นก็ต่ำกว่าที่ Coincheck เพิ่งได้สูญเสียไปจากการปล้นนี้

มีรายงานเพิ่มเติมว่า ทางแฮ็กเกอร์ได้โอนย้ายเงินที่ขโมยจำนวนกว่า 300,000 XEM ไปยังอีกบัญชี ต่อมาบัญชีทั้งสองนี้ได้ถูกตราผ่านระบบ mosaic แล้วว่าเป็น ‘แฮ็กเกอร์’ เพื่อเป็นการเตือนไม่ให้เว็บเทรดแห่งอื่น รับเงินจากสองบัญชีนี้

 

ทางแฮ็กเกอร์ได้แฮ็กแค่ wallet NEM ของเว็บเพียงเท่านั้น

ทางผู้บริหาร Coincheck กล่าวว่าการแฮ็กได้เกิดขึ้นเฉพาะกับ wallet ของเหรียญ NEM เท่านั้น โดยเงินใน wallet อื่น ๆ ในเว็บยังคงปลอดภัย

การประกาศนี้ทำให้นักเทรดจำนวนมากรู้สึกโล่งอกขึ้นมาทันที เพราะในช่วงแรกนั้น รายงานข่าวต่าง ๆ ได้รายงานราวกับว่าแฮกเกอร์ได้แทรกซึมเข้าไปยัง wallet สกุลอื่น ๆ ด้วย โดยเฉพาะการที่บอทตรวจสอบบัญชีของ Ripple ได้ตรวจสอบพบการทำธุรกรรมของ XRP มูลค่า 110 ล้านดอลลาร์ที่ส่งจาก Coincheck ไปยัง wallet แห่งหนึ่งที่บรรจุ XRP รวมกว่า 3 พันล้านดอลลาร์

อย่างไรก็ตาม ธุรกรรมนี้เป็นเพียงมาตรการการรักษาความปลอดภัยที่ Coincheck ได้ดำเนินไว้ หลังได้เกิดการแทรกซึมเข้าไปใน wallet NEM

โดยทางผู้บริหารของ NEM Foundation ได้เน้นย้ำว่าการแฮ็กครั้งนี้ไม่ได้มีส่วนเกี่ยวข้องอะไรกับระบบรักษาความปลอดภัยภายในเหรียญ XEM ทั้งสิ้น และกล่าวว่าทั้งหมดนี้ล้วนเป็นความผิดพลาดของ Coincheck เท่านั้น

Coincheck เก็บเงินไว้ใน Hot Wallet มากเกินไป

ทางผู้บริหาร Coincheck ได้ออกมายอมรับในงานแถลงข่าวว่าพวกเขาได้ทำการเก็บเงินส่วนมากไว้ใน “Hot wallet” ซึ่งจะมีช่องโหว่สูงมาก ถ้าพวกแฮ็กเกอร์สามารถแทรกซึมเข้ามาในเซิร์ฟเวอร์ได้

หลังจากที่อัตราการแฮ็กได้เพิ่มขึ้นจนกลายเป็นเรื่องที่ต้องจับตามองอยู่โดยตลอด เว็บเทรดที่มีชื่อเสียงต่างก็ได้นำเงินส่วนมากไปเก็บไว้ใน Cold wallet ซึ่งเป็นระบบ wallet ที่ offline และอยู่ในพื้นที่ที่ปลอดภัย

โดย Coincheck ได้แถลงว่า “การจัดการเงินบน Cold wallet นั้นยากลำบากสำหรับพวกเรา” นั่นจึงเป็นสาเหตุให้การแฮ็กครั้งนี้หนักและรุนแรงกว่าการโจรกรรมบนเว็บเทรด Cryptocurrency ครั้งก่อน ๆ เป็นอย่างมาก

และที่แย่กว่านี้ก็คือ ทาง Coincheck นั้นไม่ได้ทำการเปิดระบบ Multisignature Smart Contract ของ NEM ซึ่งเป็นระบบที่จะเพิ่มระดับความปลอดภัยไปอีกหนึ่งชั้นให้กับตัว wallet เลย

NEM ไม่มีแผนที่จะเปิด Fork เพื่อนำเงินที่ถูกขโมยกลับมา

เนื่องจากมีการแฮ็กเหรียญ XEM จำนวนมาก ซึ่งเมื่อเทียบกับจำนวนเหรียญที่ไหลเวียนในระบบทั้งหมดก็ถือว่าเป็นสัดส่วนที่มหาศาล จึงมีการสันนิษฐานโดยทันทีว่า NEM จะทำการ Hard fork เพื่อที่จะกู้คืนเงินจากแฮ็กเกอร์ เหมือนกับที่ Ethereum เคยได้ทำหลังเกิดการโจรกรรม DAO ในปี 2016

แต่ว่า Lon Wong ประธานของ NEM Foundation ก็ได้ประกาศผ่าน Twitter ว่าเขาไม่สนับสนุนที่จะเปิด Fork

ในเวลาต่อมา เขาก็ได้กล่าวว่าการแฮ็กครั้งนี้ได้เกิดขึ้นเนื่องจากมาตรการความปลอดภัยของ Coincheck ที่ ‘หละหลวม’ และกล่าวว่า NEM source code ไม่ได้มีความผิดพลาดอะไรทั้งนั้น ทั้งนี้นาย Wong สนับสนุนให้เว็บเทรด Cryptocurrency ต่างๆ เปิดใช้ระบบ Multi-Signature Smart Contract เพื่อความปลอดภัย

Coincheck ต้องการจะเปิดทำการต่อไป – และคืนเงินให้แก่ลูกค้า

สุดท้ายแล้ว ทางผู้บริหารของ Coincheck กล่าวว่าพวกเขาประสงค์ที่จะทำการเปิดเว็บเทรดต่อไป และจะคืนเงินให้กับลูกค้าที่เคราะห์ร้าย โดยยังไม่ได้ให้รายละเอียดว่าจะทำการคืนเงินในรูปแบบใด

นักข่าวของ Bloomberg สาขา Tokyo นามว่านาย Yuji Nakamura ได้รายงานว่า Coincheck ยังไม่ได้รับ “ใบอนุญาตในการเปิดบริการแลกเปลี่ยน” จากหน่วยงานการเงินของรัฐบาลญี่ปุ่น นามว่า Financial Services Agency (FSA) เลย ซึ่งได้เลยวันกำหนดการมาตั้งแต่เดือนตุลาคมแล้ว แต่ว่าทาง FSA ได้ขยายระยะปลอดหนี้ (Grace period) ให้กับบริษัทแห่งนี้

ระดับความเสียหายที่เกิดขึ้นจากโจรกรรม รวมถึงระบบความปลอดภัยที่ไม่เพียงพอนั้น ทำให้นักวิเคราะห์ต่างสงสัยกันว่าทาง FSA นั้นจะตัดสินใจจัดการกับบริษัทแห่งนี้หรือไม่ โดยบริษัท Coincheck อาจถูก FSA สั่งปิดก็เป็นได้

โดยนาย Yuji Nakamura นักข่าวของ Bloomberg  ได้ทำการสรุปงานแถลงข่าวบน Twitter ดังนี้:

“ประเด็นหลักที่ได้จากงานแถลงของ Coincheck:

• NEM โดนกระทบอย่างเดียว
• วางแผนที่จะเริ่มเปิดเว็บเทรดต่อ
• ให้แผนการคืนเงินลูกค้าที่ไม่ชัดเจน
• ไม่ได้ใช้ multi-signature [รูป emoji หัวกะโหลก]
• ไม่ยอมรับว่าระบบความปลอดภัยมีความอ่อนแอ
• ไม่แน่ใจว่าโดนแฮ็กจากในหรือนอกประเทศ
• CEO แทบไม่ได้พูดอะไร”

 By Gawin Ratanasirimongkol

# https://siamblockchain.com/author/gawin/

 #https://siamblockchain.com/2018/01/27/biggest-theft-history-know-far-530-million-coincheck-hack/

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud