Digital Forensic:CompTIA Cybersecurity Analyst (CySA+)

• Cyber-Incident Response: Summarize the incident recovery and post-incident response process

Domain 3: Cyber Incident Response

• Phases of an incident response
• Creating an incident response team
• How to classify an incident
• Analyzing network events
• Basics of Digital Forensics

Exam objec tives covered in this

chapter :

✓✓ 3.1 Given a scenario, distinguish threat data or behavior

to determine the impact of an incident.

■■ Threat classification

■■ Factors contributing to incident severity and prioritization

✓✓ 3.2 Given a scenario, prepare a toolkit and use

appropriate forensics tools during an investigation.

■■ Forensics kit

■■ Forensic investigation suite

✓✓ 3.3 Explain the importance of communication during the

incident response process.

■■ Stakeholders

■■ Purpose of communication processes

■■ Role-based responsibilities

✓✓ 3.4 Given a scenario, analyze common symptoms to select

the best course of action to support incident response.

■■ Common network-related symptoms

■■ Common host-related symptoms

■■ Common application-related symptoms

✓✓ 3.5 Summarize the incident recovery and post-incident

response process.

■■ Containment techniques

■■ Eradication techniques

■■ Validation

■■ Corrective actions

■■ Incident summary report

Lab Exercises

Create a Disk Image

In this exercise you will use dd to create a disk image and then verify the checksum of

the image.

Part 1: Boot a Kali Linux system and mount a drive

1. Start your Kali Linux virtual machine.

2. Select a USB thumb drive that is formatted as FAT32 to make an image of for this

practice session. A smaller drive will be faster to image, and you should make sure you

image a drive smaller than the space you have available for your Kali Linux system.

3. In the Devices menu for the running Kali virtual machine, select USB and then the

drive you have inserted. The device should now show up on your Kali Linux desktop.

4. Verify that you can navigate to the drive from the command line. Open a terminal

window, then navigate to /dev/disk/by-label, and make sure you see the name of the

thumb drive you have mounted.

Part 2: Clone the drive

1. Create a temporary working directory for your volume by running

mkdir ~/tmp

in your terminal window. This will create a directory called tmp in your home

directory.

2. Create an MD5 checksum of the volume you intend to clone in your home directory:

md5sum /dev/disk/by-label/[label of your drive] > ~/exercise7_1_original.md5

MD5= 027bcfd18c10718550b9dae5adfa0208

DD

• Standard Linux and UNIX tool
• Can clones drives using bit-by-bit copy

3. Clone the volume or disk:

dd if=/dev/disk/by-label/[label of your drive] of=~/tmp/exercise7_1_disk.img bs=64k

4. Once this completes, verify the integrity of the image using MD5:

md5sum ~/tmp/exercise7_1_disk.img > ~/exercise7_1_clone.md5

5. Now compare the MD5 files. You can do that by using the more command to view the

files, or you can record the values here:

MD5= 027bcfd18c10718550b9dae5adfa0208

DD command

Refer: CompTIA CySA+ Practice Tests: Exam CS0-002, 2nd Edition

           CompTIA CySA+ Study Guide Exam CS0-002 2nd Edition

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

DumpIt

DumpIt  is one of the most widely used lightweight CLI tools for capturing physical volatile memory (RAM) on Windows systems during incident response and digital forensic investigations.

Step-by-Step Execution Guide

1.Prepare External Drive:Prevents evidence contamination.

Download DumpIt.exe and place it onto a clean, forensically formatted external USB drive (e.g., drive letter G:).

Navigate to Tool Directory

2.Open Elevated Command Prompt

Interactive Mode: Simply run DumpIt.exe and type y when prompted to confirm memory capture.

3.Verify Hash and Log File

CertUtil -hashfile E:\Evidence\HOSTNAME_RAM.raw SHA256

4.Output Comparison & Next Steps

Output File   > Auto-generates file named [HOSTNAME]-[TIMESTAMP].raw in tool folder

Once the memory dump file is acquired, you can proceed to offline memory forensics analysis using tools like Volatility 3 or MemProcFS to extract process trees, network connections, injected DLLs, and encryption keys.

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#DataBreachCheck #คิดก่อนPrompt #AISecurity #NCSA2026

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD

Digital Forensics: TryHackMe Forensics writeup.

This challenge is based on Memory Forensics

This is a memory dump of compromised system, do some forensics kung-fu to explore the inside.

Task 1: Information gather

#volatility imageinfo -f Desktop/victim.raw 

Looking for ‘SearchIndexer’ PID 

#volatility -f Desktop/victim.raw  --profile=Win7SP1x64 pslist | grep SearchIndexer

This information is stored by Windows using two registry keys called ShellBags.

#volatility -f victim.raw --profile=Win7SP1x64 shellbags

Last accessed directory

The ‘deleted_file’ is the last directory accessed by the user.

Task 2: Search for malicious processes

Let ‘s scan the open port using the following command

First we need to find a suspicious open port. Use netscan to find out open ports:

#volatility -f Desktop/victim.raw --profile=Win7SP1x64 netscan

PID  1368,2464  with multiple ports which look suspicious

How about dump the process and check with Virus total?

1820.dmp   1820 shows malicious sign. 2 security vendors and no sandboxes flagged this file as malicious

Task 3: Indicators of compromise (IOC)

We can dump the memory using the following command.

#volatility -f victim.raw -p <malicious PID> --profile=Win7SP1x64 memdump <Directory to save the file>

# strings Desktop/malware/1820.dmp | grep '\<www\.go....\.ru\>'

# strings Desktop/malware/1820.dmp | grep '\<www\.i....\.com\>'

# strings Desktop/malware/1820.dmp | grep '\<www\.ic......\.com\>'

# strings Desktop/malware/1820.dmp | grep '\<202\....\.233\....\>'

# strings Desktop/malware/1820.dmp | grep '\<...\.200\...\.164\>'

# strings Desktop/malware/1820.dmp | grep '\<209\.190\....\....\>'

To check with the environment variable from the memory image

#volatility Desktop/victim.raw -p 2464 --profile=Win7SP1x64 envars

You've completed the room! 

Credit: tryhackme , deskel , jarilaurila 

อ่านเพิ่ม Memory Forensics

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud

DIGITAL FORENSICS:CCTV Forensics  Disk-to-Disk (clone) duplication

·         Dissembling HD from CCTV machine and Duplicate to the Blank HD by TD2 

Tableau Forensic Duplicator Disk-to-Disk (clone)

·      Save Log for Hash and none errors confirmation. 

·         Put the Blank HD into CCTV machine and check, the result has shown that it can replay and record accordingly.

--- The scenario shows that we can use this method to clone the source and then acquire the hash log for integrity purposes. --

--- Hence, following the practice above, we can extract the video content from CCTV evidence. However, it is essential to gain requirements from the client because it helps to shorten the process. --

--- If we can bring the CCTV machine along with the evidence source, we can produce a potential result. --

อ่านเพิ่มเติม  Tableau Forensic Duplicator.

                     โปรแกรมตรวจพิสูจน์กล้องวงจรปิด

Credit: Examiner Opal (Digital Forensic Technician)

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

Digital Forensics:การเก็บพยานหลักฐานทางดิจิทัล (Digital Evidence Collection)

การเก็บพยานหลักฐานพยานหลักฐานทางดิจิทัลอื่นๆ

ข้อแนะนำเกี่ยวกับการนำส่งพยานหลักฐานเพื่อตรวจพิสูจน์

ตัวอย่างประเด็นคำถามในการตรวจพิสูจน์พยานหลักฐานทางดิจิทัล 

• มีไฟล์ภาพ รูปถ่าย หรือไฟล์วิดีโอที่มีลักษณะลามกอนาจาร/ลามกอนาจารตรงตาม ไฟล์ภาพหรือไฟล์วิดีโอที่ส่งมาด้วยนี้ ในวัตถุพยานหรือไม่ (อาจระบุค่าแฮซ (HashValue) ที่ต้องการ หรือภาพประกอบมาด้วย)
• มีไฟล์ภาพ การทำธุรกรรมทางการเงินในวัตถุพยานหรือไม่
• มีไฟล์ประเภท doc(x), xls(x), pdf ในวัตถุพยานหรือไม่
• มีไฟล์ที่ที่ปรากฏข้อความ “…” ในวัตถุพยานหรือไม่ (ระบุคำสำคัญที่ต้องการ)
• มีไฟล์ที่มีค่า Hash ตรงตามรายการที่ส่งมาด้วยนี้หรือไม่
• มีประวัติการเข้าถึงเว็บไซต์ ในวัตถุพยานหรือไม่ (ควรระบุ URLs หรือวันเวลาที่ต้องการ)
• มีประวัติการสนทนาผ่านโปรแกรม Messenger หรือ LINE หรือไม่ (อาจระบุชื่อที่ต้องการ)
• ข้อมูลการรับ-ส่งอีเมล ในวัตถุพยาน (อาจระบุชื่อผู้รับ-ส่ง หรือ ชื่ออีเมลที่ต้องการ)
• มีข้อมูลรายชื่อและเบอร์โทรศัพท์ในวัตถุพยานหรือไม่ (อาจระบุชื่อบุคคล หรือ เบอร์โทรศัพท์ที่ต้องการ)
• มีข้อมูลการโทรศัพท์ของวัตถุพยานหรือไม่ ข้อมูล การรับส่งข้อความสั้น (SMS) หรือ ข้อความสื่อผสม (MMS) ในวัตถุพยาน (อาจระบุชื่อบุคคล หรือ เบอร์โทรศัพท์ที่ต้องการ)
• สามารถกู้คืนไฟล์วิดีโอจากของกลางได้หรือไม่ (อาจระบุวันที่ เวลาที่ต้องการ)

การเก็บพยานหลักฐานจากเครื่องคอมพิวเตอร์

ควรจัดเก็บสายต่อหรืออุปกรณ์ต่อพ่วงมาด้วย

• ระบุรายละเอียดในเอกสารลำดับการครอบครองวัตถุพยาน
• เอกสารข้อมูลและลำดับการครอบครองวัตถุพยาน
• โดยบันทึกข้อมูลให้ครบถ้วน

การเก็บพยานหลักฐานจากโทรศัพท์

ห้ามถอดแบตเตอรี่ออกจากตัวเครื่อง

•  ระบุรายละเอียดในเอกสารลำดับการครอบครองวัตถุพยาน
• เอกสารข้อมูลและลำดับการครอบครองวัตถุพยาน
• โดยบันทึกข้อมูลให้ครบถ้วน

Credit: 29 มิถุนายน 2565 ,กองคุ้มครองแรงงานนอกระบบ, คู่มือการดำเนินคดี สำหรับคดีแรงงานเด็กและแรงงานบังคับ

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

DIGITAL FORENSICS:FILE HASH CHECK WITH VIRUSTOTAL

DIGITAL FORENSICS:File Hash Check with VirusTotal

How to install Didier Stevens “virustotal-search.py” script

วันนี่มาตรวจสอบ malware โดยไฟล์แฮช (malware hash list) จำนวนมากด้วย VirusTotal คุณจะต้องใช้คีย์ VirusTotal API มีเครื่องมือมากมาย แต่ถ้าคุณต้องการใช้เครื่องมือที่จะนำเข้าคีย์ API จากบัญชีของคุณ ตรวจสอบให้แน่ใจว่าเครื่องมือนี้ได้  Didier Stevens “virustotal-search.py” script

ขั้นแรกคุณต้องมี Python

1. Download latest version of Python 3
2. Install it – check usage for PATH environment variable and for easier future updates install to the root of your C: drive. Example for Python 3.10:

C:\Python310\

และ Download virustotal-search.py

3. Navigate to Didier Stevens virustotal-search.py Github page

4. On top of the page Right Click the [Raw] button and [Save link as]. Save the file in the place that you will find it later, for example:

C:\tools\virustotal-search\virustotal-search.py

5. Sign up for VirusTotal for free.
6. After you login to VT, click your profile button, then [API Key]. Copy this API key so you can use it later, maybe save to text file.
* Free VirusTotal Public API key can be used for 4 hash requests per minute and 500 hashes per day. Same goes for the script itself, it will not send more than 4 requests per minute. It was scripted that way and if you have a premium account with bigger quota, the script will still send 4 requests per minute. Keep that in mind. After your reach your daily quota of 500 requests with free account – VT will send you an email and the script will fail to send new requests until the next day.

How to use Didier Stevens “virustotal-search.py” script to bulk file hash check with VirusTotal

* This guide is for virustotal-search.py script version 1.1.6 and above, which uses python 3. If you want to use older versions for python 2 you will need also to install “poster” package with command: pip install poster.

ทำการเตรียม Hash list ที่เราเตรียมไว้ หรือท่านสามารถเอาตัวอย่างจาก  virusshare

1. Save all your file hashes to text file, example path:

C:\tools\virustotal-search\VirusShare.txt

2. Command line usage example:

virustotal-search.py List.txt -k <YourAPIKey> -s , -o Output.csv

Example with full paths from above:

"C:\tools\virustotal-search\virustotal-search.py" "C:\tools\virustotal-search\VirusShare.txt" -k <YourAPIKey> -s , -o "C:\tools\virustotal-search\Output.csv"

Command line Example if you did not select PATH variable usage and need to specify path to “python.exe”:

"C:\Python39\python.exe" "C:\tools\virustotal-search\virustotal-search.py" "C:\tools\virustotal-search\VirusShare.txt" -k <YourAPIKey> -s , -o "C:\tools\virustotal-search\Output.csv"

virustotal-search switches explanation

List.txt: The second argument for the script. Is any text file that holds the hash list.
-k: API key.
-s ,: Separator character between the columns. “,” (comma) is the character that is used in this case for regular CSV (comma separated values) document. The default setting without the “-s” switch is “;” (semicolon).
-o: Output csv file.

For help and more settings / switches you can use the -h switch.

virusshare lists of MD5 hashes

Output csv file.

สรุป

•  ท่านสามารถ scan virus  หลายไฟล์พร้อมกัน โดยการสร้างค่า hash  list ไป scan โดยใช้ เครื่องมือจาก Virustotal ได้

 

อ่านเพิ่มเติม: vtlookup

Reference

Optimization Core

Bulk File Hash Check with VirusTotal – Didier Stevens script

virustotal-search

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud