OP Tanjawi: Técnicas forenses con fuego - Análisis Forense a VirtualBox

Hola, secuaces:

Este es otro de esos trabajos atascados en un rincón de los pendientes de publicar… y cuyo inicio se remonta a los primeros meses del año 2018… De hecho, el nombre original del proyecto era ‘OP Zanahoria’, en honor a la familia de ‘Follow the White Rabbit’, una banda de ‘peligrosos hackers’ a quienes les debo mucho. ¡Un gran abrazo desde esta parte de la pantalla, amigos!

Traté de buscar el momento adecuado para exponerlo, pero unas circunstancias y otras lo alargaron mucho en el tiempo, hasta que un día decidí presentarlo al primer CFP del Congreso de C1b3rwall, junto a Eduardo Sánchez Toril, en un diseño que presentaba un supuesto de ‘redteam’ combinado con otro de ‘blueteam’, resultando ganadores del mismo y teniendo la oportunidad de exponer dicho trabajo en el escenario.


Dice un buen amigo que, “si eres capaz de escribir sobre algo, es que lo has entendido. Y, si lo has entendido, eres capaz de contarlo. Por lo tanto, si eres capaz de contarlo, puedes hacer que otros lo entiendan. Así se hace la cadena del conocimiento.

Este trabajo en cuestión trata sobre el análisis forense de máquinas virtuales, montadas sobre VirtualBox.

Cada vez más, los hombres de Ley usamos la virtualización. La virtualización es una tecnología que presenta muchas ventajas a la hora de llevar a cabo una investigación. No hay duda de ello. Pero, esas ventajas, pueden llegar a convertirse, del mismo modo, en grandes inconvenientes, cuando alguien se enfrenta a ellas porque, los ‘chicos malos’, también, cada vez más, emplean esta tecnología de virtualización para llevar a cabo sus fechorías.

Antes de nada, prometo no extenderme en esta explicación, hay que saber qué es la virtualización, para qué sirve, qué hace y todas esas definiciones necesarias de leer y de entender. Hay mucho material publicado en relación a este concepto. Puedes leer grandes artículos sobre la virtualización. Pero yo he optado por usar un par de breves artículos que publicó Microsoft para ello:

¿Qué es la virtualización?

La virtualización crea un entorno informático simulado, o virtual, en lugar de un entorno físico. A menudo, incluye versiones de hardware, sistemas operativos, dispositivos de almacenamiento, etc., generadas por un equipo.

¿Qué es una máquina virtual?

Una máquina virtual es un archivo de PC, que suele denominarse “imagen”, que se comporta igual que un equipo real. Dicho de otro modo, es crear un equipo dentro de un equipo.

Volviendo al trabajo en cuestión… originalmente, trabajé sobre un Sistema Windows 7, sobre el que corría, con VirtualBox, una serie de máquinas virtuales, también sobre Windows 7. Cuando lo retomé por segunda vez, trabajé sobre un Sistema Windows 10, sobre el que corría, con VirtualBox, una serie de máquinas virtuales, sobre Windows 7. De la realización de las pruebas en un sistema y en otro, se produjeron una serie de resultados con alguna ligera diferencia. Todo ello, sobre un disco duro SATA, mecánico, de 80 GB. El objetivo que me propuse cuando comencé este proyecto era el de extraer, o localizar, el contenido de las máquinas virtuales utilizando, para ello, una serie de supuestos, que mencionaré a continuación.

Tengo que aclarar que la historia que se cuenta a continuación es, puramente, ficticia. Lo que viene siendo un poco de breve literatura.

En esa historia, se procede a la explotación de una operación policial, a la que he denominado ‘OP Tanjawi’, contra un delito de enaltecimiento del terrorismo salafista yihadista, de adoctrinamiento y auto adoctrinamiento, produciéndose la detención de un individuo y la incautación de diverso material digital, entre el que se encuentran múltiples discos duros con máquinas virtuales y diversos, muy diversos, dispositivos de almacenamiento USB.


Un consejo: Nunca, nunca, nunca, descartes ningún objeto, por ridículo que pueda parecer. (Te sorprenderías).

Introducción

Estamos procediendo con la explotación de una operación denominada ‘OP Tanjawi’, en la que tenemos, como principal investigado, a una persona que está realizando labores de enaltecimiento del terrorismo salafista yihadista y está llevando a cabo el auto adoctrinando y adoctrinamiento de terceras personas. Sabemos, por colaboradores externos de confianza, (sí, un chivato), que estas labores las está realizando por medio de dispositivos USB, que les facilita a esas terceras personas, insertando los mismos en su equipo, dentro de máquinas virtuales, para su posterior visionado, tanto en solitario, como en compañía de otros. Sabemos que la persona investigada tiene conocimientos sobre seguridad informática, por lo que se debe actuar con rapidez y cautela, (como siempre).

Hemos conseguido acceder a la vivienda derribando la puerta con el equipo operativo correspondiente… y observamos que la persona investigada está haciendo uso de su sistema...

-“Jefe, el equipo está encendido, ¿Qué hacemos?”.-
-“¡¡Valora!!”.-

Escenarios recreados

Se han recreado varios posibles escenarios usando, para ello, un sistema Windows 7 virtualizado bajo VirtualBox, sobre un equipo anfitrión con un sistema Windows 10. Todos los casos han sido recreados con el sistema anfitrión encendido. Como mencionaba anteriormente, el equipo informático tiene un disco duro SATA, mecánico, de 80 GB.

  1. Máquina virtual iniciada
    1. Sin cifrar
    2. Cifrada
  2. Máquina virtual parada
    1. Sin cifrar
    2. Cifrada
  3. Máquina virtual eliminada
    1. Sin cifrar
    2. Cifrada
  4. Máquina virtual eliminada y fragmentada
    1. Sin cifrar
    2. Cifrada 
Si ello fuera poco, dentro de estos escenarios, planteé otros relacionados a la forma de proceder con el equipo:
1. Proceder a la recolección de las evidencias volátiles, con el equipo físico encendido.
2.   Llevar a cabo el apagado normal del equipo físico.
3.   Desconectar el equipo físico de la red eléctrica.

(Para cada escenario, sin contar el original, se creó la correspondiente imagen forense del disco duro. Por lo que puedes imaginar, si realizas las cuentas oportunas, la cantidad de horas que tuvo que sufrir ese disco duro… y yo mismo).

En lo referente a las acciones efectuadas en el sistema, se ha procedido a:

  1. La inserción de un dispositivo USB en la máquina virtual
  2. El copiado de dos ficheros, desde el dispositivo USB a una carpeta del sistema virtualizado
  3. La extracción del dispositivo USB del sistema
  4. La visualización de un fichero de imagen, con nombre ‘Aplastando al enemigo.jpg
  5. La visualización de un archivo de vídeo, con nombre ‘Dentro del Khilfah.mp4
  6. Otro contenido disponible dentro del dispositivo USB, que no ha sido explorado.


Dado el volumen de datos con el que he trabajado, no voy a exponer todos los resultados obtenidos. Tan solo expondré aquellos que creo que son de interés. De lo contrario podría resultar un artículo mucho más extenso de lo que suele ser habitual.

A saber…

Windows tiene lados anti forenses. Windows escribe archivos, constantemente, en el disco duro. En los sistemas con Windows 7 esto ocurre en menor medida que en los sistemas con Windows 10 porque Windows 10 trabaja con más del doble de procesos que Windows 7.

Windows tiene programadas, por defecto, una serie de tareas de mantenimiento automático. Son muy peligrosas las tareas de ‘ScheduledDefrag’, que se encarga de la desfragmentación del disco duro, (sólo en los discos mecánicos), y ‘SilentCleanup’, que se encarga de la limpieza silenciosa del disco, cuando el espacio en disco es escaso. El mantenimiento automático se puede evitar desconectando la alimentación eléctrica del equipo, en el caso de que el mismo disponga de una batería.

Si el equipo se encuentra apagado, no hay que encenderlo. No debe caber duda alguna en ese caso. Si el equipo se encuentra encendido, hay que proceder a la captura de la memoria RAM, a las búsquedaa de unidades cifradas, ... ¿Siempre? La memoria es una mina de información, muy volátil, pero, ¿Siempre?

De momento, dejo esa pregunta en el aire.

En este caso, vamos a utilizar la herramienta Volatility para efectuar el análisis de la memoria RAM. Como siempre, cada caso necesitará del uso de una serie de plugins, o de otros. Vamos a utilizar los siguientes:

     mftparser
     dumpfiles
     vaddump

También vamos a llevar a cabo una recuperación de ficheros sobre la memoria RAM, usando la herramienta Foremost.

Una vez efectuado el volcado de la memoria RAM, hay que proceder a la creación de imágenes, (imágenes no es sólo una imagen), forenses del disco duro.

Con dichas imágenes forenses del disco duro vamos a realizar una extracción de ficheros de interés con la herramienta SleuthKit, que es un marco de trabajo con un conjunto de pequeñas utilidades que pueden procesar imágenes de disco. SleuthKit puede extraer tanto ficheros no eliminados como ficheros eliminados.

Dado que nos vamos a encontrar con máquinas virtuales cifradas, vamos a efectuar una fuerza bruta sobre dicha máquina, gracias a la inestimable ayuda de Guillermo Román Ferrero, al objeto de extraer su clave de cifrado.

Vamos a buscar discos duros virtuales alojados dentro del propio disco duro, dentro de la propia imagen forense.

Vamos a buscar un contenido específico, en bruto, llevando a cabo dicha búsqueda en toda la imagen forense del disco en busca de una cadena de texto que vamos a especificar.

Y la finalidad de todo este procedimiento es la detección de contenido ilícito, de indicios del mismo, o de posibles pruebas de eliminación de evidencias.

Análisis de memoria con Volatility, (mftparser)

Antes de comenzar con el análisis, propiamente dicho, del volcado de memoria RAM, éste debe ser identificado correctamente. Este proceso se realiza mediante el plugin kdbgscan, prestando atención a los valores que devuelven los campos ‘Build string (NtBuildLab)’ y ‘KdCopyDataBlock’, debiendo contener el campo ‘PsActiveProcessHead’, un valor distinto a cero.

Podríamos utilizar el plugin timeliner para efectuar una línea de tiempo, donde podríamos ver la ejecución de aplicaciones, las horas de conexiones de dispositivos al sistema y algunos otros datos. Pero timeliner sólo muestra información relativa al equipo anfitrión.

Si tenemos en cuenta que todo, en el sistema de archivos NTFS, es un fichero. Y si tenemos en cuenta que todo fichero, en el sistema de archivos NTFS, se graba en la MFT. Si a este hecho le añadimos que en la memoria se cargan todas las MFT de cualquier volumen montado en el sistema, nos encontramos con que podemos extraer contenido de cualquier dispositivo conectado, aunque no se haya explorado.

En la siguiente imagen podemos observar 3 MFT distintas. Nos encontramos con las MFT correspondientes al volumen 1 y al volumen 2. Y podemos apreciar la existencia de una MFT que se corresponde al ‘HarddiskVolume209’ y que pertenece a una máquina virtual.


Por ello vamos realizar una línea de tiempo sobre la(s) MFT.


¿Qué es la MFT? La MFT es la Tabla Maestra de Ficheros. Se podría decir, de un modo muy resumido, que es un índice que nos va a indicar en qué parte, o partes, del disco se encuentra alojado un determinado fichero y nos va a mostrar, además de otros muchos datos, todos los metadatos de ese fichero. Toda esta información se almacena en los registros de la MFT. Un registro para cada fichero.

Si ejecutamos:

     mftparser --output=body --output-file MFTParser.txt -D MFT
     mactime -b MFTParser.txt >> MFTParser.csv

Vamos a obtener una línea de tiempo de la(s) MFT, con un fichero ‘.csv’ tabulado y, además, vamos a descargar todo el contenido residente en ellas. Porque es posible encontrar datos residentes en la MFT. Ficheros que no ocupan espacio en disco.

Si ejecutamos:

     mftparser --output-file=/mnt/c/Results/mftparser.txt

Vamos a obtener una vista detallada de todo el contenido en toda(s) las MFT, ejecución de aplicaciones, nombres de usuario, rutas de las distintas máquinas virtuales, el nombre de las propias máquinas virtuales, las marcas de tiempo de las máquinas virtuales, contenido almacenado en las máquinas virtuales, …

De este modo, y a modo de ejemplo, podemos ver que el usuario ‘MC’ ha abierto un fichero de imagen, porque podemos obtener los documentos recientes.


O podemos ver que se encuentra alojado, dentro de la carpeta ‘Descargas’ del usuario ‘MC’, un vídeo con el nombre ‘Dentro del Khilfah.mp4’.


Incluso podemos obtener el contenido no explorado del propio dispositivo USB que hemos usado para recrear los escenarios, obteniendo nombres de carpetas y nombres de ficheros, con sus marcas de tiempo correspondientes.


Todo este contenido es el perteneciente a una máquina virtual. En resumen, podemos ver cualquier contenido de cualquier dispositivo, de cualquier volumen, que se encuentre o se haya encontrado en el sistema, se haya abierto y explorado, o no.

Análisis de memoria con Volatility, (dumpfiles)

La memoria RAM cachea, almacena, todos los ficheros que el usuario abre, pero también cachea ficheros que no han sido abiertos por el usuario. Este contenido se almacena de forma temporal. Así que podemos buscar qué ficheros están cargados en memoria, haciendo uso de ‘filescan’.

Que un fichero esté cargado en memoria no significa que pueda ser extraído. Recordemos que la memoria es muy volátil y está en constante cambio.

Podemos hacer uso de ‘dumpfiles’ para descargar los ficheros que estén cacheados en la memoria para extraer, por ejemplo, los logs de las máquinas virtuales y los ficheros de configuración de esas máquinas virtuales.

Si ejecutamos:

     dumpfiles -n -S Summary.txt -D Dumpfiles

Vamos a descargar todos los ficheros que se encuentren cacheados, almacenados, en memoria. En este caso, podemos encontrar, por ejemplo, el fichero de configuración del disco duro de la máquina virtual, ‘Win7x64.vmdk’.


Análisis de memoria con Volatility, (vaddump)

Podemos listar los procesos del sistema haciendo uso de ‘pslist’ para ver una lista de aplicaciones en ejecución, con su posición en memoria, su nombre, su ID, su proceso padre, …

Y con esa lista de procesos también obtenemos la fecha y hora de inicio y de salida de cada proceso, en caso de que no se encuentren activos en el momento de la adquisición.

Si se están ejecutando los procesos relacionados con VirtualBox, descargamos las páginas de memoria de esos procesos, haciendo uso de ‘vaddump’:

     vaddump -p (ID Process) -D Vaddump/

Y si los procesos relacionados con VirtualBox no se están ejecutando, vamos a descargar, de igual manera, las páginas de memoria del resto de procesos. ¿Por qué?

Porque los procesos tienen asignado un espacio privado de memoria, pero también tienen asignado un espacio en memoria que es compartido con otros procesos, y de ese modo se puede encontrar el mismo contenido en cualquiera de esos dos espacios de trabajo de memoria.

En el caso que nos ocupa vamos a extraer, a través de las páginas de memoria, contenido de la máquina virtual, con indicación de su posición en memoria y el proceso al que se corresponde.

De este modo, por ejemplo, podemos ver en varias ocasiones los dos ficheros alojados en la máquina virtual y podemos ver que han sido abiertos, incluso con su fecha de visualización.


Podemos ver el contenido de una carpeta del dispositivo USB.


Podemos ver que se ha reproducido un vídeo, pudiendo determinar el nombre del sistema de la máquina virtual y el usuario que lo ha reproducido.


Incluso podemos ver y extraer el fichero de configuración ‘.vbox de una máquina virtual, con su correspondiente clave de cifrado. 


Este fichero se puede reconstruir y puede ser descifrado.


Recuperación de ficheros en memoria, (Foremost)

La recuperación de ficheros es algo “fácil” de hacer y no requiere “demasiado tiempo”. Con el carving recuperamos ficheros a través de sus cabeceras, pies y estructuras de datos.

Pueden ser recuperados y extraídos, tanto ficheros completos como fragmentos de archivos. Podemos obtener vídeos, o fotogramas de vídeos, imágenes, documentos, … cualquier extensión que le indiquemos.


Como norma general, el carving se suele efectuar sobre las propias imágenes forenses creadas, sean de memoria o sean de disco. Pero en esta ocasión lo vamos a efectuar sobre el directorio de las páginas de memoria que hemos descargado antes. ¿Por qué? Por dos razones.

Primeramente, porque si efectuamos el carving sobre la imagen del volcado de memoria podemos obtener resultados que nos desconcierten, por decirlo de algún modo. Por ejemplo, si hemos insertado un dispositivo USB en el equipo para proceder con la correspondiente captura de la memoria RAM, y tenemos, además de la propia herramienta de captura de memoria, otras herramientas, vamos a obtener, por ejemplo, imágenes o fragmentos de esas otras herramientas. Es decir, que estamos contaminando la evidencia.


Si somos ‘retorcidos’, podríamos tener alojado en nuestro dispositivo USB, dispositivo con el que realizamos la captura de memoria, otro tipo de contenido ilícito para que, cuando se efectúe el carving sobre el volcado de memoria, aparezca ese contenido en los resultados obtenidos. Es decir, que podríamos involucrar a una persona, sin ser conscientes de ello. Y no somos retorcidos. Buscamos la verdad.

En segundo lugar, vamos a realizar el carving sobre las páginas de memoria porque, si lo realizamos sobre el volcado de memoria, puede que no seamos capaces de determinar su origen, mientras que si lo llevamos a cabo sobre las páginas de memoria sí podemos determinar que pertenece a un determinado proceso, una máquina virtual, y podemos determinar que ha sido visualizado y abierto en una franja horaria, entre el inicio y la salida del proceso relacionado a la máquina virtual.

Es decir que, si procedemos con el carving sobre el directorio de las páginas de memoria, podemos determinar la fuente de ese fichero.


En el caso que nos ocupa, podríamos comparar los resultados obtenidos con una base de datos, si contamos con ella, con otro contenido original. O podríamos prestar especial atención a la simbología. Un poco de OSINT no hace daño a nadie.

Análisis de la imagen de disco duro, (Máquina virtual no eliminada)

Ya se ha mencionado anteriormente que la memoria RAM es una mina de oro, en cuanto a la información que en ella se puede encontrar. Y también se ha mencionado que Windows tiene lados antiforenses, como las tareas de mantenimiento o el propio hecho de que Windows escriba constantemente ficheros en el disco duro. Este hecho último es muy dañino para un análisis forense, en cuanto a la recuperación y extracción de contenido eliminado en el sistema.

Debes saber que, una máquina virtual, tiene logs, que tiene ficheros de configuración, que tiene, al menos, un archivo de disco duro y que puede ser cifrada.

Por otro lado, debes saber que, un archivo de disco duro es un archivo, tiene una cabecera y que puede ser fragmentado. Igualmente, un archivo de disco se comporta como un disco duro, tiene una cabecera y contiene información.

Por todo ello, el tiempo es un factor muy crítico y por ello hay que saber cómo actuar en cada momento.

De este modo, si la máquina virtual no ha sido eliminada y no está cifrada, podemos montar la imagen forense del disco duro, para montar, después, el disco duro de la máquina virtual y podemos explorar y extraer el contenido alojado en esa máquina virtual.


Si la máquina virtual no ha sido eliminada y está cifrada, podemos montar la imagen forense del disco duro, extraer los ficheros de configuración y aplicar fuerza bruta, con la herramienta ‘vboxDieCracker-py’, sobre el fichero ‘.vbox’, que es quien almacena la clave de cifrado. Una vez extraída la clave de cifrado de la máquina virtual, podemos hacer una copia de dicha máquina virtual, configurarla en nuestro laboratorio y eliminar su cifrado para analizarlo como cualquier otro sistema.


Análisis de la imagen de disco duro, (Máquina virtual eliminada)

Si la máquina virtual ha sido eliminada, el registro correspondiente a ese fichero se marca como ‘Deleted’ en la MFT, pero su contenido, sus clústeres, permanecen intactos hasta que se sobreescriba su información.

Cuando Windows crea un fichero, asigna el número de registro más bajo en la MFT y asigna, de igual modo, los primeros clústeres que no estén asociados a ningún registro de la MFT.

¿Cuándo crea Windows un fichero? Basta situar el cursor del ratón sobre un icono para que lo haga. Por esta razón, sólo hay que tocar el sistema para las tareas básicas e imprescindibles.

El archivo del disco duro de la máquina virtual puede permanecer intacto en la imagen forense y se podría ver en la exploración de la misma imagen, siempre y cuando se den algunas condiciones. A saber, que el sistema no haya iniciado las tareas de mantenimiento, que el sistema sea desconectado rápidamente, cuando la máquina virtual ha sido eliminada y si no se ha sobrescrito ningún clúster asignado a ese fichero de disco duro de la máquina virtual.

Existen varias opciones para recuperar ese contenido, esa máquina virtual. Nosotros vamos a utilizar un marco de trabajo muy completo y potente, llamado The SleuthKit.

Podemos usar ‘fls’ para listar las entradas de la MFT y, después, haciendo uso de ‘icat’, podemos extraer el contenido que nos interese.


Análisis de la imagen de disco duro, (Máquina virtual eliminada y fragmentada)

Si la máquina virtual ha sido eliminada y los clústeres han sido sobrescritos… y la máquina virtual no se encontraba cifrada, podemos buscar discos duros dentro de la imagen forense del disco duro, haciendo uso de:

     xxd -c 256 imagen.dd | grep -i -P “00(([0-9A-F]8)|([1-9A-F]0))\s0000\s([0-9A-F]{4}\s){26}55aa\s\s”


Esa línea nos muestra el offset de inicio de cada uno de los discos duros, tanto físicos como virtuales, que se encuentren en la imagen forense de un disco duro. En este caso, tenemos el disco físico en primera posición, (en el offset 100), y 3 discos virtuales.

Con este dato podemos extraer manualmente el contenido desde el offset que nos interese, desde una posición en el disco duro, y proceder a su posterior estudio.

De igual manera, si la máquina virtual ha sido eliminada y los clústeres han sido sobrescritos… y la máquina no se encontraba cifrada, podemos buscar el contenido que deseemos y, en algunas ocasiones, extraerlo.

Quiero pensar que todos tenemos una lista con una serie de palabras clave para nuestras investigaciones.

     blkls -e -f ntfs -o 1126400 imagen.dd | egrep -abi ‘Aplastando|Khilfah|Enemigo’

Esa línea busca en la imagen forense del disco duro las palabras ‘Aplastando|Khilfah|Enemigo’ y, lo que vemos en este caso, son nombres de fichero, rutas y nombres de equipo y de usuario, de las palabras que he empleado en la búsqueda.


La búsqueda se puede efectuar tanto para nombre de ficheros como para el propio contenido.

En cualquier caso, el resultado nos llevará a una ubicación, que consiste en el byte exacto donde se encuentra ese contenido que hemos buscado. ¿Qué hacemos ahora?

Cogemos papel, lápiz y calculadora… porque en primer lugar vamos a determinar el offset de inicio de las particiones en la imagen forense del disco duro.

Para ello hacemos uso de ‘mmls’ sobre la imagen del disco duro.


Después tenemos que determinar el tamaño del sector y el tamaño del clúster del sistema de archivos. Operación que podemos llevar a cabo con ‘fsstat’.


En este caso, obtenemos que el tamaño del sector es de 512 bytes y el tamaño del clúster es de 4096 bytes, es decir, 8 sectores. Anotamos todos estos datos, porque tenemos un contenido de interés en el byte número 764.020.177.

Si un clúster equivale a 8 sectores y si un sector son 512 bytes, podemos buscar el clúster correspondiente a ese contenido con una pequeña fórmula, que consiste en dividir el número de bytes por 4096. (512 bytes por sector y 8 sectores por clúster).

     echo “764020177/(8*512)” | bc

Esta pequeña fórmula nos muestra que el clúster que contiene la información que nos interesa es el número 186528.

Pero esta función no devuelve valores decimales… ¡Mucho cuidado con los decimales!

Usemos una calculadora porque si el decimal del resultado es de un valor superior a 0,5 hay que añadir un clúster más al resultado. Por ejemplo, en este caso tenemos que 764.020.177 dividido por 4096 es igual a 186.528,36. Si en lugar de ser el decimal un valor de 0,36 fuera 0,56, el clúster no sería el número 186.528, si no el 186.529.


A través de ‘blkstat’, podemos determinar si el contenido de ese clúster está asociado a algún fichero o no está asociado a ningún fichero, según nos devuelva los valores de ‘Not allocated’ o ‘Allocated’.

Si el contenido de un clúster está asociado a algún fichero, podemos buscar ese fichero con el valor del clúster.

Podemos usar ‘ifind’ para ver si ese contenido está relacionado a los metadatos correspondientes en la MFT. ‘ifind’ puede producir dos resultados: ‘Inode not found’, que significa que no está asociado a ningún registro de la MFT, y un número, que se corresponde a un registro de un fichero grabado en la MFT.


Si obtenemos ese número de registro de la MFT, podemos usar ‘ffind’ para determinar el nombre de ese fichero.

Y con el número de registro de la MFT, podemos usar ‘icat’ para extraer ese fichero.


Conclusiones

  1. ¡¡Piensa rápido y actúa con cautela!!
  2. El tiempo es un factor crítico. No se debe actuar sin un plan. Hay que trabajar con una previsión, con los posibles supuestos que nos podamos encontrar.
  3. No hay que conectar nada que no sea absolutamente necesario para la correcta extracción de las evidencias.
  4. Una herramienta para cada dispositivo. No queremos contaminar nada que pueda echar por tierra todo el trabajo de una investigación.
  5. Si nos encontramos con un equipo que tenga batería, podemos desconectarlo que la corriente eléctrica para evitar que el sistema entre en la fase de mantenimiento.
  6. La adquisición de la memoria RAM es vital. ¿Siempre?
  7. Cualquier acción deja rastro y la ausencia de evidencias es una evidencia de que algo ha pasado, por lo que habría que buscar qué ha pasado.
  8. Básico, en cualquier caso, saber qué buscar, porque si no sabemos qué buscamos, no podemos saber dónde mirar y no podemos saber cómo mirar.
  9. Usa el cerebro y razona.

Herramientas utilizadas







Referencias
















Esto es todo.


spacer