Digital forensic examiners are investigators who are experts in gathering, recovering, analyzing, and presenting data evidence from computers and other digital media related to computer-based .They might work on cases concerning identity theft, electronic fraud,investigation of material found in digital devices ,electronic evidence, often in relation to cyber crimes.
We have got informed that a hacker managed to get into our internal network after pivoiting through the web platform that runs in public internet. He managed to bypass our small product stocks logging platform and then he got our costumer database file. We believe that only one of our costumers was targeted. Can you find out who the customer was?
$UsnJrnl เป็นไฟล์ที่บันทึกเมื่อมีการเปลี่ยนแปลงไฟล์และไดเรกทอรี เป็นคุณลักษณะของระบบไฟล์ Windows (NT file system (NTFS) ซึ่งเก็บบันทึกการเปลี่ยนแปลงที่เกิดขึ้นกับ volume ข้อมูลนี้มีประโยชน์ในการระบุไฟล์ที่สงสัย (เช่นมัลแวร์) ที่มีอยู่ในระบบไฟล์หรือ $ MFT Introduction The NTFS change journal ($UsnJrnl) is an operating system file that records when changes are made to files and directories. The change journal is located at $Extend\$UsnJrnl. The journal contains two alternate data streams: $UsnJrnl:$J - Contains the actual journal entries $UsnJrnl:$MAX - contains metadata about the $UsnJrnl The $UsnJrnl:$J contains useful information for the forensic investigator as detailed below: File/directory name File/directory attributes USN Reason Time of activity USN reference number MFT reference number MFT parent reference number Security ID Source info
ทดสอบวิเคราะห์ข้อมูลใน $UsnJrnl
- Re-loader Activator
- OSForensics
- NTFS Journal Viewer
- Virus total
- Windows Defender
Step 1. ทำการ Re-loader Activator เพื่อ activate windows
Step 2. กด Activate และวิเคราะห์ดูว่ามีเหตุการณ์อะไรขึ้นบน Windows
Step 3. ใช้ Windows defender scan พบว่า KMS-R@1nHook.exe เป็นมัลแวร์ ติดตั้งอยู่ใน Windows
OSForensics™ includes an $UsnJrnl viewer that parses and displays the log records stored in the NTFS $UsnJrnl volume change journal. This information is useful for identifying suspect files (eg. malware) that no longer exist in the file system or $MFT. The USN journal is updated whenever changes to files and directories are made to a volume including:
3. Run Commnad .\LECmd.exe -f "C:\Users\UserName\AppData\Roaming\Microsoft\Windows\Recent\201 - Let_s dig new memories.lnk"
- File size of the linked file = 25,314 - Working Directory: F:\18 Computer Forensics\CTF\dfchallenge.org\201 - Let_s dig new memories Target ID information
Link Information -- ระบุรายละเอียดตำแหน่งของไฟล์ต้นฉบับ Volume name and serial number Label: 2019_2T Serial number: 0C5D7EA3 Local path: F:\18 Computer Forensics\CTF\dfchallenge.org\201 - Let_s dig new memories
เมื่อมีการ เปิดไฟล์ 201 - Let_s dig new memories.docx ครั้งที่ 1 Source File: C:\Users\UserName-\AppData\Roaming\Microsoft\Windows\Recent\201 - Let_s dig new memories.lnk Create Date 2020-06-26 Modified Date 2020-06-26 เมื่อมีการเปิดไฟล์ ค่า Modified จะมีการบันทึกค่าล่าสุด
เมื่อมีการ เปิดไฟล์ 201 - Let_s dig new memories.docx ครั้งที่ 2 Source File: C:\Users\UserName-\AppData\Roaming\Microsoft\Windows\Recent\201 - Let_s dig new memories.lnk Create Date 2020-06-26 Modified Date 2020-07-13 เมื่อมีการ เปิดไฟล์อีกครั้ง ค่า Modified จะมีการบันทึกค่าล่าสุด
Computer name Mac Address
4. Run Command Export to CSV File. \LECmd.exe -d "C:\Users\Training-4\AppData\Roaming\Microsoft\Windows\Recent" --csv "c:\temp1"
LNK files are a relatively simple but valuable artifact for the forensics investigator. They are shortcut files that link to an application or file commonly found on a user’s desktop, or throughout a system and end with an .LNK extension. LNK files can be created by the user, or automatically by the Windows operating system. Each has their own value and meaning. Windows-created LNK files are generated when a user opens a local or remote file or document, giving investigators valuable information on a suspect’s activity.
Why are LNK Files Important to Your Digital Forensics Investigation?
LNK files are excellent artifacts for forensic investigators who are trying to find files that may no longer exist on the system they’re examining. The files might have been wiped or deleted, stored on a USB or network share, so although the file might no longer be there, the LNK files associated with the original file will still exist (and reveal valuable information as to what was executed on the system).
Credit :www.magnetforensics Windows Shortcut File (LNK)
.jpg)
.jpg "Digital Forensics:Seized Forensic data collection")
%20(1).jpg "Digital Forensics:Seized Forensic data collection")
.jpg "Digital Forensics:Seized Forensic data collection")
