Cloud Forensics:Google Drive forensics with Paraben's E3

Cloud Forensics:Google Drive forensics with Paraben's E3

The scenario was pretty basic. I performed each and every of the following actions (wherever applicable):

Install native Google Drive app.

Execute the application and synced it with my Google Drive’s account.

The scope of this research was to locate those artifacts that could prove that the above actions were made from the user. Lets see how that went.

Paraben's Electronic Evidence Examiner 

Start Electronic Evidence Examiner.

Add Evidence

Add evidence (if you add evidence before creating or opening a new case, the case will be created automatically and saved to the default location. The name of the case file will be case.e3).

Add New Evidence

The Add New Evidence window opens.

Select the evidence category (Image File) and the Source type.

Navigate to the Evidence Source and select it. 

Enter the Evidence name (opened image name by default) and click OK.

Get OS info

Content Analysis

Google Drive Forensic Artifacts 

Directories created when Google Drive is installed
<SYSTEMROOT>\Program Files\Google\Drive	In this folder you will find the executable file of the application
<SYSTEMROOT>\Program Files (x86)\Google\Drive	Here you will find information about the updates of the application
<SYSTEMROOT>\Users\<username>\GoogleDrive	This is the default folder used for synchronizing the user’s files with Google Drive cloud service
<SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive	Here you will find all the native app’s files that store information about the app and the user’s data

<SYSTEMROOT>\Users\<username>\AppData\Local\Google\Drive

Event Log

Path: C:\Windows\System32\winevt\Logs\Application.evtx

Event ID: 1033

Event Description Summary: Windows Installer installed the product.

Provider Name: MsInstaller

Prefetch

Application Name: GOOGLEDRIVESYNC.EXE

File Path:C:\Windows\Prefetch\GOOGLEDRIVESYNC.EXE-XXXXXXXX.pf

C:\Users\\AppData\Local\ Google\Drive\user_default\snapshot.db This database stores information about the files that have been synced with the user’s Google Drive account.

C:\Users\\AppData\Local\G oogle\Drive\cloud_graph\cloud_graph.db This database also stores information about the files that have been synced with the user’s Google Drive account.

C:\Users\\AppData\Local\ Google\Drive\user_default\sync_config.db This database stores information such as user’s Google Drive account email.

C:\Users\\AppData\Local\ Google\Drive\global.db This database also stores information such as user’s Google Drive account email.

Lnk File

Windows 10 Activity Timeline > Advance Search

Registry

The installation of Google drive creates various keys and values inside the Registry. View the registry hives listed below in the forensic image of the suspect's hard disk.

• SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders

• SOFTWARE\Google\Drive

• 
  NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Run\GoogleDriveSync

Paraben's Electronic Evidence Examiner Investigative Report

อ่านเพิ่มเติม: Google Drive

CREDIT:  ARTIFACTS OF GOOGLE DRIVE USAGE IN WINDOWS

                 CLOUD FORENSICS GOOGLE DRIVE 

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง ADMIN เพื่อแก้ไขต่อไป
ขอบคุณครับ

Digital forensics:แจ้งความโดนโกงออนไลน์

Digital forensics:แจ้งความโดนโกงออนไลน์

Photo by ไทยรัฐออนไลน์

โกงออนไลน์แบบที่ 1 : ของไม่ตรงปก

หลายคนอาจเคยเจอหรือมีประสบการณ์ชอกช้ำจากการซื้อของออนไลน์แล้วเจอร้านค้าส่งของที่ “ไม่ตรงปก” มาให้ เช่น ซื้อกล้องถ่ายรูปแต่ได้ผ้าขนหนู ซื้อกระโปรงแต่ได้ถุงเท้า ซื้อชุดกีฬาแต่ได้ทิชชู ใครเจอแบบนี้ก็ต้องรู้สึก “แบบนี้ก็ได้เหรอ” กันทุกราย ตามมาด้วยความรู้สึกโมโหที่ถูกร้านค้าหลอก อยากให้เก็บความโมโหนั้นไว้ทำสิ่งต่อไปนี้ทีละขั้นตอน ดังต่อไปนี้

1. ถ่ายรูปของที่ได้รับ พร้อมแคปหน้าจอสินค้าที่สั่ง แล้วส่งไปถามคนขายว่าทำไมจึงส่งของสิ่งนี้มาให้ เพราะเหตุใดจึงไม่ใช่สินค้าตามที่สั่งซื้อ หากร้านค้าไม่ได้ตั้งใจโกง แต่ด้วยความผิดพลาดทางเทคนิคทำให้ส่งของมาผิด ก็จะมีการเจรจาเพื่อส่งสินค้ามาให้ใหม่
2. หากเป็นกรณีที่ร้านค้าตั้งใจโกง มักจะตอบกลับมาในรูปแบบคล้ายๆ กันว่า ของที่เราได้รับเป็นของแถม ส่วนสินค้าที่เราสั่งไปนั้นตอนนี้ของหมดสต๊อก ถ้ายังอยากได้สินค้านี้อยู่ให้เราโอนเงินค่าส่งไปให้เพิ่ม ถ้าเจอแบบนี้ให้ตอบกลับร้านค้าว่าขอเงินคืนเท่านั้น อย่าไปหลงกลโอนเงินให้เป็นอันขาด 
3. แคปหน้าจอการสนทนากับร้านค้าไว้เป็นหลักฐาน หากเป็นการซื้อสินค้าผ่านแพลตฟอร์มช็อปปิ้งออนไลน์อย่าง Lazada, Shopee, JD Central จะมีศูนย์บริการไว้รองรับเรื่องร้องเรียนจากลูกค้า ให้เราติดต่อเจ้าหน้าที่พร้อมด้วยหลักฐานสำคัญคือ รูปสินค้าที่สั่งกับของที่ได้รับ และหน้าจอการสนทนากับร้านค้า เพื่อเป็นหลักฐานให้ทางระบบไปเจรจากับร้านค้าและทำการคืนเงินให้เรา แต่ถ้าเป็นการซื้อสินค้าผ่านโซเชียลเน็ตเวิร์กอย่าง เฟซบุ๊ก อินสตาแกรม ไลน์ ติ๊กต๊อก ให้รวบรวมหลักฐานทั้งหมด ทั้งของที่ส่งมาผิด รูปสินค้าที่สั่ง สลิปการโอนเงิน ชื่อร้านค้าหรือเจ้าของบัญชี ไว้เพื่อดำเนินการแจ้งตำรวจในขั้นตอนต่อไป 

  ที่มา: ไทยรัฐออนไลน์ ,"ซื้อของออนไลน์แล้วโดนโกงอย่าตกใจ ทำตามวิธีนี้แล้วมีสิทธิ์ได้เงินคืน"

#รับแจ้งความออนไลน์ 

กองบังคับการปราบปราม การกระทำผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี

คู่มือการใช้งานระบบรับแจ้งความออนไลน์ เฉพาะคดีอาชญากรรมทาเทคโนโลยี

อ้างอิงจาก  ไทยรัฐออนไลน์  

                   กองบังคับการปราบปราม การกระทำผิดเกี่ยวกับอาชญากรรมทางเทคโนโลยี

 หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

Digital forensics:P2CO-P2C Certified Operator

Computer Operator Course & Certification

This introductory certification is designed for those just getting started with Paraben's E3:P2C.  This course is designed to focus on the skills used with hard drive, email, and media examination. 

The computer operator course is designed to get you started using the E3 Forensic Platform with computer-related evidence.

Course Details

• Online Course
• 4 hours
• Includes lectures and lab
• P2CO certification included

Content Analysis

Email 

Picture

 Let's Test Your Skills

 P2CO Exam

เพิมเติม:PARABEN E3 FORENSIC PLATFORM FREE EDITION

Referents:parabenacademy

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud