PC Usage Viewer

Pointstone heeft een aantal handige tools. Eén van deze tools is "PC Usage Viewer". Op de pc waarop het programma wordt gestart toont het een grafisch overzicht van de tijden die de pc heeft aangestaan. Installatie is niet nodig. Het programma hoeft ook niet op de achtergrond mee te draaien, omdat de opstart en shutdown tijden standaard al door Windows worden opgeslagen in de eventlist. PC Usage Viewer interpreteert deze gegevens en kan ze op een aantal grafische manieren weergeven. Deze gegevens kunnen wel teruggaan tot het moment waarop de pc is aangeschaft! Als de eventlog echter een keer geleegd is zal PC Usage Viewer een stuk minder laten zien. De getoonde gegevens kunnen hierna als csv worden weggeschreven. Helaas is het programma niet geschikt om ook remote gegevens uit te kunnen lezen.





Overigens heeft Neuber Software eenzelfde soort programma dat wel remote de gegevens uit kan lezen. Helaas kan dit programma (ook freeware) maar 3 weken terugkijken. De Pro versie kijkt wel verder en kost slechts 9 dollar.

Microsoft heeft een commandline tool "Uptime" waarmee een tekstbestand gegenereerd kan worden met dezelfde informatie.

New Software lets Law Enforcement Patrol Peer-to-Peer Networks

OAK HILL, West Virginia. - March 28, 2008 – Zemerick Software, Inc. has announced
the availability of free computer software that lets law enforcement patrol peer-to-peer file sharing networks. This software, called Forensic P2P, joins other free software for law enforcement collectively known as SPEAR Forensics.
Forensic P2P lets officers search the Gnutella peer-to-peer network for files, such as music, image, and video files. Forensic P2P has all the features of popular file-sharing programs such as Bearshare and Limewire but with extra features designed specifically for use by law enforcement. Forensic P2P can integrate with the officers’ database of known illegal files to quickly highlight known illegal files in search results. Also, Forensic P2P can show the IP address and internet service provider information of users that are sharing files on the network.
Forensic P2P requires Windows XP or newer and is available for free to members of law enforcement at www.spearforensics.com.

CaseNotes

The last months I was looking for a manner to write things down. I've tried different programs for writing a forensic report. Surprisingly somebody, John Douglas, released a program in juli 2007 which does all the things I was searching for: CaseNotes from QCC Information Security


The purpose of CaseNotes is to provide a single lightweight application program to run on the Microsoft Windows platform to allow forensic analysts and examiners of any discipline to securely record their contemporaneous notes electronically.




The main features are:

- Flexible configuration of case meta-data (case details, like the reference number, etc.)
- Secure “write-once, read-many” style of case note data capture
- Full audit trail of case note data entry and meta data edits in a self contained log
- Tamper evident storage of data using internal MD5 hashes for all data entered
- No use of heavy database technologies – all you need is the program and your case file
- Use of AES 512bit encryption (optional) to further secure data in sensitive cases
- Storage of configuration information in a user editable text based .ini file
- Support for running multiple copies of CaseNotes at the same time
- Tested and works in languages other than English (Japanese, Russian, Greek, Italian, ...)
- Supports changing time zones and any standard Windows date or time format
- Tested on Windows XP, Server 2003 and Windows Vista. (sorry if you use a Mac)
It’s free! That means no dongles and no restrictions on how many copies you use!

Returnil Virtual System

http://www.returnilvirtualsystem.com/index.htm


Returnil Virtual System is a powerful technology that clones a copy of your System Partition in memory and can create a file based Virtual Partition where you can save documents, data, and files while using the System Protection feature. Returnil Virtual System protects your computer from harmful viruses, Spyware and unwanted programs, preserves your computer settings, and ensures your Internet Privacy. Simply restart your computer to erase all changes.


When the Returnil protection is ON, your Windows system is running on a virtual partition meaning that every single change in the system partition actually takes place in memory. Therefore, all data and modifications will be lost after your system reboots. By restarting you PC, Returnil will discard all attempted changes made to your System Partition while Protection is ON.

When the Returnil Protection is OFF, you can install or remove any programs, create documents, install security upgrades and software patches, alter configurations, and update user accounts. All changes in the system partition will remain following a reboot.

Features

The Returnil Virtual System:
> Keeps your System Partition safe when browsing the Internet
> Viruses, Trojans, Worms, Adware, Spyware, and unwanted content disappear with a simple reboot
> Enforces settings and protects your internet privacy
> Helps reduce overall disk wear by using memory rather than HDD cloning technology
> Saves you time, money, and lost hair by maintaining or improving peak computer performance
> Reduces or eliminates the need for routine disk de-fragmentation of your system partition
> Your spam filter is strong, but not infallible – Returnil will eliminate the consequences of opening infected e-mail and/or attachments
> Leaves absolutely no traces of computer activities
> Eliminates all activities even if your computer is powered-off or crashes
> Eliminates the danger of evaluating new software that does not require a reboot to install
> Offers stronger, simpler and smarter protection for your PC
> Seamless integration with supported Windows Operating Systems
> Easy to use, simple to configure, and the one tool in your arsenal that will be there to save the day when all else fails!

Harddisk investigations

De afgelopen weken heb ik voor enkele euro's wat harddisken opgekocht. Omdat werkelijk forensisch onderzoek van harddisken niet elke dag voorbij komt (althans in mijn branche), en het goed is om wat ervaring op te doen, leek het mij een goed idee om dat te doen op deze harddisken. Om de harddisken op een juiste wijze te kunnen onderzoeken hebben we natuurlijk bepaalde tools nodig. Om een harddisk aan te kunnen sluiten op de pc of laptop waar het forensisch onderzoek zal plaatsvinden kun je gebruik maken van een externe harddisk case. Deze kunnen meestal alleen maar 1 type harddisk aan, IDE of SATA. Je zult dus 2 verschillende cases moeten hebben. Een goed alternatief is een Kama Connect kabel. De kabel kan aangesloten worden op een USB poort, beschikt over zowel IDE als SATA aansluitingen EN de nodige stroomvoorziening, en omdat er niet gebruik wordt gemaakt van een kastje om de harddisk in te plaatsen is de kabel ook nog eens makkelijk mee te nemen. De prijs van het kabeltje is ongeveer 25 euro. Bij onderzoek van servers wordt het natuurlijk een heel ander verhaal, en zullen we een andere keer onder de loep nemen.

Elk onderzoek dat wordt uitgevoerd moet bij voorkeur plaatsvinden op een forensische kopie. Als je op de originele harddisk zelf gaat snuffelen loop je het risico bewijs te "beschadigen". Om een kopie te maken dien je te beschikken over een programma dat een bitstream kopie kan maken. Hiervoor zijn diverse programma's geschikt. Ik gebruik in dit geval FTK imager van Accessdata. FTK imager is te dowloaden van de site. Ze adviseren bij het imagen gebruik te maken van een hardwarematige writeblocker. Hiermee wordt ook weer voorkomen dat er bestanden worden aangepast op de originele schijf. Omdat ik op dit moment nog niet beschik over een hardwarematige writeblocker maak ik gebruik van een softwarematige writeblocker van Innovision. Een volledige versie is kosteloos te downloaden. Deze zorgt ervoor dat de USB poort alleen nog maar geschikt is om data te lezen en niets meer weg kan schrijven.

Schrijven
Voordat de schijf gekopieerd wordt beginnen we met een onderzoek van de uiterlijke kenmerken. Alle informatie dienen we op te schrijven, dus beginnen we met de buitenkant. Om alles gestructureerd te doen heb ik een formulier ontworpen. Dit formulier zorgt ervoor dat we in ieder geval elke keer weer dezelfde stappen ondernemen in ons onderzoek.

Sluit eerst de harddisk aan op de Kama Connect kabel.
NOG NIET AANSLUITEN OP DE USB POORT VAN DE PC/LAPTOP
Zet de stroom op de harddisk
Let op of de harddisk normaal spint of afwijkende geluiden maakt

Start op de pc/laptop eerst computerbeheer op. Zet het scherm op schijfbeheer. Hiermee kun je bij het aansluiten van de harddisk een goede indicatie krijgen over de status.

Nu kan de harddisk aangesloten worden op de USB poort.

De FTK Imager is makkelijk te bedienen.
File --> Create disk image
Selecteer "Physical Drive" --> volgende
Selecteer "\\.\PHYSICALDRIVE1 - ?????? USB Device(0 USB) --> voltooien (?=naam hd)
Add --> Raw(dd)--> volgende
Geef nu een plek op voor het image
Geef ook een naam op voor het image (geef het image een herkenbare naam)
Maak het vakje met 650 leeg (dit is voor als je naar cd wilt imagen)
Voltooien
Als je tijd genoeg hebt kun je de optie "Verify images after they are created" aan zetten. Hou er rekening mee dat dit het imageproces in tijd verdubbeld. Bij een oefenschijf niet nodig, maar bij een echt onderzoek wel!
Start

Afhankelijk van de status, de aanwezige hoeveelheid data en de grootte van de harddisk kan het imageproces enkele uren duren. Als de status "in orde" is zal het proces redelijk snel verlopen.



Na een succesvolle image gemaakt te hebben zie je drie bestanden:

- xxxxxxxxxx.001.csv filelist
- xxxxxxxxxx.001 image
- xxxxxxxxxx.001.txt summery oftewel informatiebestand

De originele harddisk kan nu worden verzegeld en opgeborgen.

De filelist kan ingelezen worden in excel en geeft een eerste goede indruk van de gevonden bestanden.

De summery kan worden uitgeprint en bij het onderzoeksrapport worden bewaard.

Information for C:\test:

Physical Evidentiary Item (Source) Information:
[Drive Geometry]
Cylinders: 524
Tracks per Cylinder: 255
Sectors per Track: 63
Bytes per Sector: 512
Sector Count: 8.421.840
[Physical Drive Information]
Drive Model: ST34313A USB Device
Drive Interface Type: USB
Source data size: 4112 MB
Sector count: 8421840
[Computed Hashes]
MD5 checksum: a59adc7befe74a5c2280b481e4503ee3
SHA1 checksum: 8ef93d21bf0c03734124b39540585b1345f13b7b

Image Information:
Segment list:
C:\test.001


De volgende stap is ook weer afhankelijk van de aanwezige tools. Het is gebruikelijk een extra kopie van de image te maken. Hiermee voorkom je dat je een nieuwe image moet maken van het origineel als de kopie tijdens het onderzoek corrupt zou raken.
De image die ik nu heb gemaakt met FTK imager kan ingelezen worden in verschillende programma's. Het zou echter prettig zijn om door het bestand te kunnen browsen. Door het bestand te mounten, en op die manier aan te koppelen als nieuwe driveletter, kan dat. We doen dat met het programma P2 eXplorer van Paraben.



De tijdens het imagen gemaakte cvs file bevat 48820 records. Deze bevatten de volgende informatie:
Filename, Full Path, Size, Created, Modified, Accessed, Is deleted
Hiermee kunnen we een goede indicatie krijgen van de aanwezige bestanden.

Vervolgens kijken we naar de gemounte schijf. Een eerste blik kan ons al veel vertellen.

Door de eigenschappen op te vragen zien we in dit geval:

capaciteit : 4.311.949.312 bytes (4.01 Gb)
gebruikt : 4.105.465.856 bytes (3.82 Gb)
beschikbaar : 206.483.456 bytes (196 Mb)

Een volle schijf dus...

De root:

--- Folder: E:\ ---
Name Size Type Changed
compaq [Folder] Bestandsmap 11-1-2006 8:09
Documents and Settings [Folder] Bestandsmap 23-11-2005 12:13
My Download Files [Folder] Bestandsmap 11-1-2006 8:09
My Downloads [Folder] Bestandsmap 2-3-2006 12:22
My Games [Folder] Bestandsmap 11-1-2006 8:05
Program Files [Folder] Bestandsmap 23-11-2005 9:30
Setup [Folder] Bestandsmap 11-1-2006 8:10
temp [Folder] Bestandsmap 23-1-2006 20:53
ustat [Folder] Bestandsmap 29-6-2005 14:58
WINDOWS [Folder] Bestandsmap 23-5-2006 9:51
AUTOEXEC.BAT 0 bytes MS-DOS-batchbestand 19-12-2004 2:18
Bc520rtl.dll 224,50 kB Toepassingsuitbreiding 25-3-1997 5:02
bds52.dll 90,51 kB Toepassingsuitbreiding 25-3-1997 5:02
Bivbx30.dll 103,50 kB Toepassingsuitbreiding 28-6-1996 15:25
CONFIG.SYS 0 bytes Systeembestand 19-12-2004 2:18
MsnHandWriting.dll 44,00 kB Toepassingsuitbreiding 1-2-2005 19:45
owl52.dll 1,06 MB Toepassingsuitbreiding 25-3-1997 5:02
PCM_rtl.dll 76,41 kB Toepassingsuitbreiding 10-4-1999 15:14
PCM_Time.dll 3,01 kB Toepassingsuitbreiding 9-4-1999 20:37
StubInstaller.exe 680,00 kB Toepassing 15-9-2005 18:54
UNWISE.EXE 239,77 kB Toepassing 24-9-1998 11:33
--- 10 folders, 11 files (2,48 MB). ---

Totally 10 folders and 11 files (2,48 MB).


De Pagefile.sys en de hiberfile.sys geven het tijdstip aan waarop de disk voor het laatst als normaal besturingssysteem aan is geweest.
De boot.ini inhoud laat zien dat de disk als enkelvoudig besturingssysteem aanwezig is geweest.

[boot loader]
timeout=30
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

De map "Documents and Settings" laat 6 accounts zien:

--- Folder: E:\Documents and Settings\ ---

Administrator [Folder] Bestandsmap 27-1-2005 22:31
All Users [Folder] Bestandsmap 28-1-2005 21:53
Default User [Folder] Bestandsmap 28-1-2005 21:53
k.......... [Folder] Bestandsmap 27-10-2005 17:15
l.......... [Folder] Bestandsmap 25-1-2006 11:12
LocalService [Folder] Bestandsmap 19-12-2004 2:31
m.......... [Folder] Bestandsmap 27-10-2005 15:21
NetworkService [Folder] Bestandsmap 19-12-2004 2:30
o.......... [Folder] Bestandsmap 27-10-2005 17:07

Uit privacy overwegingen heb ik de namen van de gebruikersaccounts aangepast.