Форум информационной безопасности - Codeby.net

Привет!

Не приходилось до этого пользоватся disassemble и вот появился повод - тема от 5h3ll.
В процессе пришлось перечитать кучу форумов и разбора реальных примеров, но попробую изложить в кратце.
Значить так:
Фёрст - скачиваем скрипт и сразу пробуем codeby, CodeBy, cODEbY, ybedoc, yBedoC, YbEDOc, codeby.net, codebynet и так далее...
Ноу лак, ноу кукумбер.
Секонд - запускаем
strings CodeBy-Simple-CTF
и смортим, нет ли чего интересного:

При расследовании инцидентов часто на экспертизу попадают usb накопители, но методы изъятия из ПК или ноутбуков делают эти устройства потом не читаемыми, как пример такого устройства pqi usb flash 256 мб, при подключении в систему выдает "форматировать диск"
Мы рассмотрим такие программы:

• GetDataBack Simple
• R-Studio
• BlackLight 2018 Release 2
• AccessData Forensic Toolkit FTK
• X-Ways Forensics
• Recovery Explorer Professional
• 7-Data_Recovery
• MiniToolPowerDataRecovery
• OntrackEasyRecovery
• Recover My Files
• ForensicsMaster
• DMDE - DM Disk Editor and Data Recovery Software

GetDataBack Simple программа нормально отобразила файлы и папки и была запущена

В Форензике история посещений страниц в интернете это неотъемлемая часть экспертиз, в этот раз мы рассмотрим только явные следы (удаленные и.т.п это отдельные темы для рассмотрений).
Немного теории (места хранения не удаленных данных):

Продолжение статей:
[Начало] Forensics Windows Registry
[Продолжение] Forensics Windows Registry - ntuser.dat
Иногда для получения полной картины все данные реестра нужно собрать в одно цело с которым будет удобнее рассматривать все варианты произошедшего или исследования следов/артефактов.
Дано:

1. ntuser.dat извлечён из криминалистического образа (dd, raw, e01, 001 и.т.д)
2. файлы реестра SAM, SECURITY, SOFTWARE, SYSTEM, DEFAULT, DRIVERS полученные IREC или Triage или скопированы из...

• [Начало] Forensics Windows Registry
• [Продолжение] Forensics Windows Registry - ntuser.dat
• [Дополнение] Forensics Windows Registry - расшифровка и отображение всех записей UserAssist (к второму пункту статьи "Forensics Windows Registry - ntuser.dat")
• [Дополнение] Forensics Windows Registry - история запуска программ (дополнение к статье "Forensics Windows Registry - ntuser.dat")
• Продолжение этих статей: Forensics Windows Registers all in one program

...

BlackArch Linux 2018.06.01 - операционная система для проведения тестирования на проникновение была выпущена с новыми образами ISO и OVA и набором высококачественных обновлений для пентестеров.

BlackArch Linux является одним из самых серьезных дистрибутивов пен-тестирования, основанного на мощном , который содержит около инструментов, предназначенных для взлома.

BlackArch Linux является одним из широко используемых дистрибутивов хакерами, тестировщиками на проникновение, и специалистами по безопасности для различных исследовательских целей в области безопасности.

Этот новый выпуск включает обновленную версию blackarch-installer (v0.7), ядро 4.16.12 и многие другие высококачественные улучшения.
BlackArch Linux содержит...

В Форензике Реестр может выявить огромное количество информации о злоумышленнике.
Информация, которая может быть найдена в реестре, включает:

• Пользователи и время последнего использования системы
• Последнее используемое программное обеспечение
• Любые устройства, подключенные к системе, включая уникальные идентификаторы флеш-накопителей, жестких дисков, телефонов, планшетов и.т.д.
• Когда система подключена к определенной точке беспроводного доступа
• Что и когда файлы были доступны
• Список любых поисков, выполненных в системе
• И многое, многое другое

Что такое Реестр Windows?
Согласно Microsoft, статья . Eще описание.
Реестр Windows - это «центральная иерархическая база данных», предназначенная "Для хранения информации, необходимой для настройки системы для одного или нескольких пользователей, приложений и аппаратных устройств.
Реестр...

Так вышло что общение с WebWare Team меня с подвигло к написанию данной статьи.

Характер взлома с предыдущим сбором информации и компьютерно техническая экспертиза да и подготовка malware и её же reverse engineering часто используют одни и те же параметры изучения.

Они все получают выгоду от знания методов друг друга. Все зависит от того в каких целях применяются инструменты, а многие из них применимы в всех перечисленных мною направлениях, только на разных этапах работы.

Хочу напомнить о многими забытых инструментах Марка Руссиновича, не зря Microsoft их купила у него, сделала на некоторые gui и на сегодняшний день их Updated: July 5, 2018 и ой как чувствую не зря.

Начал я из далека но разрешите Вам представить , а кому напомнить.

AccessChk - позволяет узнать, к каким типам пользователей и групп доступа относятся файлы...

Недавно я писал о том как Виртуализировать криминалистические образы в Windows так вот один из вариантов исследования в живую это осмотр файлов *.pf - файлы
появилась данная служба в Windows XP и до сих пор включая Windows 10 и Server 2016 работает, смотрим состояние в Registry Keys
Значения:

1. " 0" - Disabled
2. "1" - Application launch prefetching enabled
3. "2" - Boot prefetching enabled
4. "3" - Application launch and boot enabled (default)

Prefetcher наблюдает за запуском каждого приложения в течение первых 10 секунд. Наблюдение за процессом загрузки системы ограничено по времени и прекращается в следующих случаях:

• по истечении 30 секунд с момента...