Digital Forensics:การรับฟังพยานเอกสารอิเล็กทรอนิกส์ (Electronic Document)

Digital Forensics:การรับฟังพยานเอกสารเอกสารอิเล็กทรอนิกส์ (Electronic Document)

การรับฟังพยานเอกสาร (Document)และเอกสารอิเล็กทรอนิกส์ (Electronic Document)

1. เอกสาร (Document) ที่สร้างขึ้นบน กระดาษ (Paper)

     ป.วิ.อาญา มาตรา 238 = ต้นฉบับ (Original), สำเนาเอกสาร (กรณีต้นฉบับสูญหาย), สำเนาเอกสารราชการ

2. เอกสารอิเล็กทรอนิกส์ (E – Document หรือเอกสารดิจิทัล Digital Document) ที่สร้างในระบบคอมพิวเตอร์ 

    พรบ.ธุรกรรมอิเล็กทรอนิกส์ฯ มาตรา 10 วรรค 1 – 2 = ใช้วิธีเชื่อถือได้รักษาความถูกต้อง ตั้งแต่สร้างเสร็จ + แสดงข้อความภายหลังได้ ให้ถือว่าได้มีการนำเสนอหรือเก็บรักษาเป็นเอกสารต้นฉบับตามกฎหมาย (Copy File* = Original)

3. เอกสารอิเล็กทรอนิกส์ (E – Document) ที่แปลงมาจากเอกสารกระดาษ (Paper)

    พรบ.ธุรกรรมอิเล็กทรอนิกส์ฯ มาตรา 12/1 ประกอบ 10 การจัดทำหรือแปลงเป็นเอกสารอิเล็กทรอนิกส์ ตามมาตรา 10 ให้ถือว่าได้มีการนำเสนอหรือเก็บรักษาเป็นเอกสารต้นฉบับตามกฎหมาย

4. สิ่งพิมพ์ออก (Print Out) เป็นเอกสารกระดาษ ที่พิมพ์ออกมาจากเอกสารอิเล็กทรอนิกส์ 

    พรบ.ธุรกรรมอิเล็กทรอนิกส์ฯ มาตรา 10 วรรคท้าย = ข้อความถูกต้องครบถ้วน + รับรองโดยหน่วยงานที่มีอำนาจ ให้ถือว่าสิ่งพิมพ์ออกดังกล่าวใช้แทนต้นฉบับได้ ยกเว้น ประกาศ คธอ.เรื่องการรับรองสิ่งพิมพ์ออก 2555 = เจ้าของข้อมูลฯ จัดพิมพ์ในระบบที่ควบคุมเอง ให้ถือว่าได้มีการรับรองสิ่งพิมพ์ออก โดยหน่วยงานรับรองสิ่งพิมพ์ออกและมีผลใช้แทนต้นฉบับ

อ่านเพิ่มเติม:

• ลูกจ้างลบข้อมูลคอมพิวเตอร์
• การดำเนินคดีและร่างฟ้อง กรณี ฟิชชิ่ง (PHISHING)
• ขั้นตอนการจัดเก็บพยานหลักฐาน
• กรณีศึกษาลูกจ้างออกจากบริษัทแล้ว ยังเข้าใช้อีเมลบริษัท เป็นการเข้าถึงข้อมูลคอมพิวเตอร์โดยมิชอบ

ที่มา:Facebook  Pakorn Dharmaroj ท่านอาจารย์ ปกรณ์ ธรรมโรจน์ สำนักงานอัยการสูงสุด

ขอขอบคุณ ท่านอาจารย์. ปกรณ์ ธรรมโรจน์ สำนักงานอัยการสูงสุด ขออนุญาตแชร์เป็นวิทยาทาน

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป

ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud #DigitalEvidence #CyberCrime #ElectronicDocument

Digital Forensics:SQLite Forensics with OSForensic

SQLite Database Browser

The SQLite Database (DB) Browser module allows the user to analyze the contents of SQLite database files. This module provides the ability to perform a deeper inspection of the contents and the ability to open BLOBs (binary data) with the Internal Viewer.

OSForensics™ 

includes an SQLite database viewer for databases stored in the SQLite file format. The SQLite database format is used by several platforms, such as the iPhone, Firefox and Chrome.

Step 1. SQLite Sample Database

 

Step 2.Click Other Devices available.. 

Step 3. Open  Sample Database (msgstore.db)

Step 4. Open  database ( msgstore.db) and find a message “Greetings, Tom”. When was this message received?

Step 5. Search Table

Step 6. Copy message received (1669655413313)

Step 7.  Unix Timestamp Conversion Tools

 Step 8. This answer is correct  11/28/2022 5:10:13 PM

Step 9. A few messages have been revoked from the same database (msgstore.db). When did it happen? Select all timestamps (UTC time) which apply. 

Hint: check the table “message_revoked” and use column conversion

Step 8.  Unix Timestamp Conversion Tools

Step 11. This answer is correct 

        8/26/2022 9:31:28 AM

        8/30/2022 2:39:00 PM

Analyze the contents of SQLite Database Files with OSForensics

Refer:SQLite Database Browser

อ่านเพิ่มเติม:  Timestamp

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

 Audit Checklist software II

วันนี้่มาเล่างานประจำที่ผมทำ คือการ Audit Checklist software เป็นปีที่ 17 จากตอนที่ 1 และได้ยกเลิกอุปกรณ์จัดเก็บข้อมูล  Floppy Disk  เนื่องจากตกยุคและไม่มีบริษัทผลิตแล้ว ต่อมาเมื่อกาลเวลาผ่านไป อุปกรณ์เก็บข้อมูลเปลี่ยนมาใข้ DVD  แผ่นดิจิทัลอเนกประสงค์ (Digital Versatile Disc)   และใช้ DVD-R หรือ ดีวีดี-อาร์ เป็นมาตรฐานดีวีดีซึ่งคิดค้น มีความจุ 4.7GB (กิกะไบต์)   คุณสมบัติจะคล้ายกับ DVD-ROM คือใช้เขียนได้ครั้งเดียว สำหรับเก็บหลักฐาน

เครื่องคอมพิวเตอร์โน๊ตบุ๊คที่ผมใช้ทำงานประจำ

อ่านเพิ่มเติม: Audit Checklist software

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น ช่วยเตือนความจำ

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์

Digital Forensics:Registry Forensics cheat sheet

Registry forensics is a branch of digital forensics focused on analyzing the Windows Registry, a hierarchical database used by the Microsoft Windows operating system to store configuration settings and options. The Registry contains information about user accounts, installed software, system settings, hardware configurations, and much more.

Registry forensics involves extracting and analyzing information from the Registry to gather evidence related to computer security incidents, investigations, or legal proceedings. This information can include user activities, system changes, malware traces, and other artifacts that can provide insights into the history and usage of a computer system.

Forensic analysts use specialized tools and techniques to access and parse Registry data, looking for patterns, anomalies, or suspicious entries that could indicate unauthorized access, malicious activity, or system compromise. By examining the Registry, investigators can reconstruct events, identify potential security breaches, and piece together a timeline of activities on a computer system.

อ่านเพิ่มเติม: Windows Registry

ที่มา: windows-registry-information

      Windows-Forensics-1

       Windows Registry

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง ADMIN เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD 

HEX & LITTLE ENDIAN CONVERTER

Digital Forensics:HEX & LITTLE ENDIAN CONVERTER 

วันนี้่จะมาแนะนำเครื่องมือสำหรับ  convert ค่า LITTLE ENDIAN To DEC

What is the first cluster for each file?

How many clusters are being used for each file?

The first cluster for the second file  is calculated like this:

Data run: 0x2285009107

91 07 > number of the first cluster (little endian)

= 1937 

HEX & LITTLE ENDIAN CONVERTER 

What is the first sector number for each non-resident file?

First sector = (First cluster no. * cluster size ) / sector size

Means, for the second file 

First sector = 1937 * 4096 / 512 = 15496

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

Digital Forensics:Analyzing Recycle Bin 

Analyzing Recycle Bin using Rifiut

C:\Users\...\Downloads\rifiuti2-0.7.0-win-x86_64>rifiuti-vista.exe -x -z

-o result.xml C:\$Recycle.Bin\S-1-5-21-56828990-623760515-1839852479-1001 

Analyzing Recycle Bin using FTK

อ่านเพิ่มเติม:  Windows Recycle Bin analyser

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics #digitalforensics #investigation #cybercrime #fraud

Digital Forensics:How to Aquire vmdk to dd using FTK Imager

วันนี้จะมาแนะนำการทำ Image file จาก vmdk  ให้เป็นไฟล์ DD โดยใช้ FTK Imager

VMDK (short for Virtual Machine Disk) is a file format that describes containers for virtual hard disk drives to be used in virtual machines like VMware Workstation or VirtualBox.

Initially developed by VMware for its proprietary^[1] virtual appliance products, VMDK became an open format^[2] with revision 5.0 in 2011, and is one of the disk formats used inside the Open Virtualization Format for virtual appliances.

Refer: https://en.wikipedia.org/wiki/VMDK

Requisites

Steps to create forensic image (vmdk ) using FTK Imager

Step 1: Download and extract FTK Imager lite version on Forensics Workstation 

Install FTK Imager on Forensics Workstation 

In this step we download FTK Imager lite version from their official website and extract the downloaded zip file on our Forensics Workstation . The lite version contains the only necessary files to run FTK Imager tool from the Forensics Workstation .

Step 2: Running FTK Imager exe from Forensics Workstation 

Step 3: Running FTK Imager for forensic image acquisition

To create a forensic image 1. Do one of the following:   Click File > Create Disk Image.   Click the Create Disk Image button on the Toolbar

Step 4: Selecting the Source to acquire image

In the Select Source dialog box, select the source you want to make an image of

Select File *.Vmdk

Step 5: Setting the acquired image destination and image file type

Step 6: Filling in the evidence item information

Step 7: Selecting image destination

Step 8:After the images are successfully created, the Drive/Image Verify Results box shows detailed image information, including MD5 and SHA1 check sums, and bad sectors. 

The Image Summary also includes the data you entered in the Evidence Item Information 

Refer:Booting a forensic image in VirtualBox with FTK Imager

Mount Disk Images (VDMK) With OSFMount

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WINDOWSFORENSIC #COMPUTERFORENSICS #DFIR #FORENSICS #DIGITALFORENSICS #COMPUTERFORENSIC #INVESTIGATION #CYBERCRIME #FRAUD #คดีอาชญากรรมคอมพิวเตอร์ #พยานหลักฐานดิจิทัล