Aut opsy es un sof t war e que se ut i l i zapar aanál i si sf or ense de i mágenes de di scos Esunai nt er f azdec ódi goabi er t oygr at u i t oqueper mi t er ea l i z arbús quedasya ná l i s i s duros. d ep ar t i c i o ne soi mág en esd ed i s c os . L ah er r a mi mi en t aAu t o ps ypu edef u nc i on are nd i f e r en t e ss i s t ema so pe r a t i v o sc omo : Li nux Wi nd ows MacOSx Fr eeBSD Or i g i n al me nt esees c r i b i óenl e ngu aj ePe r l yac t ua l me nt es eh ac ambi a dosucó di g oaJ a v a c oni n t e r f a zg r á fi ca ,a un qu ee s t av e r s i ó ns ol oc o r r eenWi n do ws ,e nl a sd emá sp l a t af o r ma s t i eneunai nt er f azweb. • • • •
yl ai nt er f azgr áfi cadeSl eut hk i ty Aut ops ye sunapl a t a f or madea ná l i s i sf or e ns edi gi t a l o t r a s her r ami en t as f or ens es di gi t al es .Es ut i l i z ado porg obi er nos y e nt i dades publ i c as y p r i v a da s ,p orf u er z a sd es e gu r i d adc o mop mo ol i c i a l e symi l i t a r e s ,a de ma ma sd ep r o f e s i o na l e sy p er i t o si n f o r má t i c o sp ar ai n v e s t i g arl oq ue o c ur r i óe nu no r d en ad or .De s pu és d ea l g ún i n c i d en t ec o mou mo na t a qu eou naf a l l as ep ue den av e ga re nd i s p os i t i v o sd ea l ma c en ami e nt o p ar ar e c up er a rar c h i v o s ,b us c a rma ma ni p ul a c i o ne sd es i s t e ma ma ,r e c up er a rf o t o s ,i má ge ne so v í d eo s. Pr i me r od eb er e mo mo si n s t a l a rAut o ps yenLi n uxv i e nee nl o sr e po s i t o r i o s,e nWi n do wsl op ued es d es c a r g ard es d ea qu í : DESCARGAR AUTOPSY
Ene st et ut or i alv er emo sl ai .Abr i mosauna v ent ana de nst al aci ón de Aut opsyen Li nux t er mi nal yes c r i bi mosl oss i gui ent ec omandos :
1.I nst al amo moself r ame mewor kTSK •
1
sudo apt-get get install install sleuthkit
2.Luegoi nst al amo mosAut opsy •
1
apt-get get autopsy autopsy
El f r ame wor kTSKc ont i e neel c onj u nt odel asl i br er í a syl osmó módul osques epuedenut i l i z ar par ades ar r ol l arpl ugi n syc omandospar aper i c i asdei nf or mát i c af or en se.El f r ame wor kTSK esunai nt e r f azdel í neadecomando squeut i l i z adi f er ent esmó mó dul ospar aana l i z ari máge ne s d ed i s c o.
Ac o nt i n ua c i ó np od emo si n i c i a rl aa pl i c a c i ó nd es d eu na v e n t a na d et e r mi n alme di a nt ee l c omand o: •
1
sudo autopsy
A c ont i nuac i ón v amos a c ual qui er nav egador y es c r i bi mos l a URLht q u en osi n di c aAu t o ps yq uef u nc i o na r ác o mou mo ns e r v i d or t p: / / l ocal host : 9 99 9/ aut opsy mi e nt r a sl ot e ng amo sej e cu t a nd o.
An t e sd ec o nt i n ua rn e c es i t a mo st e ne rl ai ma ge nd ea l g un osdi s p os i t i v o sb i e np od emo sh ac e r una i magen de nuest r o di sco o podemos obt eneri mágenes de ej empl o en I nt er net ,por ej empl o en el si t i o webht t p: / / df t t . s our c ef or ge. net / podemos baj ar var i as i mágenes que pr es ent andi s t i nt ospr obl emaspar aanal i z ar . Po de mo sba j a rp ore j e mp l oa l g un ad el a ss i g ui e nt ei má ge ne s . Est ai magendepr uebaesunsi st emadear chi vosNTFSdeWi ndwosXPcon JPEG Sear ch: 1 0i má ge ne sj p ge nd i s t i n t o sd i r e ct o r i o s.L asi má ge ne si n cl u y en a r c hi v o sc on e x t e ns i o ne s i n co r r e ct o s ,i mág en esi n c r u s t a da se nz i pyar c hi v o sd eWo r d .Aq uíp od r emo st r ab aj a re nl a r e c u pe r a c i ó nd ei má ge ne s .Po de mo sdescar garJPEG Sear chdesdeaquí . ai magendel apr uebaesunsi st emadear chi vosNTFS 6MB conocho NTFS Undel et e:Est ar c hi v osbor r a dos ,dosdi r e ct or i osbor r ado s,yunas ec uen ci adedat osal t er nat i v ael i mi nado. L os a r c hi v o sv a n de s de a r c hi v o sr e s i d en t e s ,ar c h i v o si n di v i d ua l e s de r a c i mo ,y v a r i o s f r a gme nt o s .No h aye s t r u c t u r a sd ed at o ss e mo di fi c a r o ne ne s t ep r o c es op ar af r u s t r a rl a r ecuper aci ón.Fuer on cr eados en Wi ndows XP,el i mi nado en XP,y l ai magen en Li nux. Pod emos descar garNTFSUndel et edesdeaquí . Tambi én podemos cr earuna i magen de di sc o desde Li nux av er i guamos cual es son l as par t i c i o ne sc onl oss i gui ent esc omando s: •
1
sudo fdisk -l
Po re j e mpl o ,pa r ah ac eru nac o pi ae x ac t ad el ap ar t i c i ó ndea r r a nq ue ,q uep od emo su t i l i z ar c omou na r c hi v odec o pi ad es eg ur i d ad ,u t i l i z amo sl o ss i g ui e nt e sc oma nd os : •
1
dd
if
=
/dev/paritcion-a-resguardar
of =
/home/directorio/copia-
particion.img
Enes t ec as os er ál apar t i c i ónpr i nc i pal : •
1
dd if = /dev/sda1 of = / home/miusuario/particion-sda1-HDD.img
T a mb i é np od emo su t i l i z a rs o f t wa r ec o moCl onez i l l a qu ee sunpr o gr a map ar ac r e arp ar t i c i o ne s ydei mág ene sd ed i s c o,c o pi a sdes e gu r i da dyl ar e c up er a ci ó nd es i s t e maap ar t i rd eu n backup.
Un av e zqu et e ne mo sl ai ma genpa r ar e al i z a rn ue st r ai n v es t i g ac i ó nf o r en sev amo saAu t o ps y , par aes t et ut or i al ut i l i z ar emos NTSFUndel et e. L ai n t e r f a zdeAut o ps yn osp er mi t ea na l i z a rv ar i o sc as osc ond i s t i n t a si má ge ne sei n cl u so v ar i osi nv es t i gador es ,acont i nuac i ónhac emosc l i c kenel bot ón New CaseoNuevoCas o.
Sen osa br i r ál ap an t a l l ap ar ac r e aru nc a s od on dea s i g na r e mo se ln omb r ed e lc a s o ,s i n espaci os ya que est e nombr e se conv er t i r á en una car pet a donde se al macenar al a i nf o r ma ci ó nr e co l e ct a dae nl ai n v es t i g ac i ó n.Ene s t ec a soe ln omb r es er aEmp r e sa SA,l ue go a ña di mo su nad es c r i p c i ó nd elc a s o,t a mb i é na ña di r e mo sl o sn omb r e sd el o si n v e s t i g ad or e sa c a r g od el c a s o ,l u eg oh ac e mo sc l i c ke nNe wCa s e . Ve r e mo sun ap an t a l l ad on des eno si n f o r maq ues ehac r e ad ou nac a r p e t ap a r ae lc a s oyu n di r ec t or i odeconfi gur ac i ones .
Ac on t i n ua ci ó nc r ea r e mo se lh os t ,e sd ec i rd ar e mo sd ea l t al o sd at o sd ele qu i p ooi ma gena i nv es t i gar .
Añ ad i r e mo se ln omb r ed elh os t ,u nad es c r i p c i ó n,l ah or ag mte nc a s od es e rd eo t r op aí s , p od emo sa ña di re lh or a r i odede s f a ser e spe c t oal o r d en ad ort a mb i é nye x i s t e nb as esded at o s q uec on t i e nenha sh esd ea r c hi v o sma l i c i o s osc o no ci d os . Si quer emo sut i l i z arunab as ededat os ,po demosut i l i z arelNI STNSRL par ade t ec t arar c hi v os c o n oc i d os .L ab a s ed ed at o sd el aNat i on alSof t war eRef er enc eLi br ar y q u ec o n t i e neh a s he s dequepuedenserbuenosomal osdependi endodecomol oshayancl asi ficado. Po re j e mp l o ,l ae x i s t en c i ad eu nd et e r mi n ad os o f t wa r ep ue des e rr e c on oc i d oyAut o ps yt r a t aa l osar chi vosqueseencuent r anenelNSRLcomoconoci doybuenoonor econocer l oyno
e s p ec i fi c a rs ie sbu en ooma l o .T a mb i é np o de mo si mp l e me nt a ru naba s ed ed at o squ ei g no r e al osar c hi v osc on oc i dos . Alfi nal i z arha cemo sc l i c kenADD HOST yv amo sal apant al l aq uenosmue st r a,eldi r ec t o r i o p ar ae s t eh os t ,de nt r od el mi s moc a sop ode mo st en erv a r i o sh os tp ar aa na l i z ar .
Ac on t i nu ac i ó na c ce de mo sa ll i s t a dod eh os tp ar ae st ec a soe np ar t i c ul a ryas í comenzarl a or e vi s aral gúnhos t . i n ve st i ga ci óns obr eal gúnhos t
Ha c e mo sc l i c ke nn ue s t r oh os tPC0 31yac o n t i n ua c i ó nh ac e mo sc l i c ken OK,s enosabr i r á u nap an t a l l ad on dea ña di r e mo sl ai ma ge nd elh os t ,p ar ae l l oh ac e mo sc l i c ke n ADD I MAGE
FI LE.
Ac o nt i n ua c i ó nb us c a r e mo sl ai ma ge ns e gú nl ac ar p et ado nd el at e ng amo s :
Po de mo sh ac e rc l i c kd er e c h o ys e l e c c i o na rl ao pc i ó n Copi ,l u eg ov a mo sal ap an t a l l a ar deañadi yha ce mo sc l i c kde r e c hoyop ci ó nPeg are st ono sa ña di r ál ar u t ad ela r c h i v o rhost i ma gen ,t a mb i é np ode mo se s cr i b i r l o .
Ademas i ndi car emos elt i po de i magen sies un di sco o una par t i ci ón y elmét odo de i mpor t ac i ón ,l ai mag enpuedese ri mpo r t adaaAut op sydes des uubi c ac i ónac t ual u t i l i z an doun enl ac es i mbó l i c o,c opi ánd ol a ,omo vi éndol a. Ela r c h i v od ei ma ge nd eb et e ne rp e r mi s od el e c t u r as i n od ar áe r r o rc u a nd oh ag amo sc l i c k enNEXT ( Si gui ent e) Ene st ec a sol au t i l i z amo sl ai ma ge nc r e an dou nac o pi a , s iu t i l i z amo se lSy ml i n kq uee se n enl aceadondeseencuent r al ai magenpodemost enercomopr obl emaquepodr í amosdañar l ai ma ge n,s il ac o pi a mo ss eh ar áu nac o pi ae ne ld i r e c t o r i od elc a s o,p er oo c up ar e mo sma s l ugar ,r ecor demosquel osar chi vosqueusamossondemosqueocupanunos150Megabyt es, u nai ma ge nr ea ld eu no r d en ad orounse r v i d orp od r í aoc u pa rv a r i o sGi g ab y t e s. A cont i nuaci ón nos muest r a al gunos det al l es de l ai magen que añadi mos ynos per mi t e c al c ul aroi gnor arl ai nt egr i dadmedi ant e checksum MD5.
Fi n al me nt eh ac e mo sc l i c ke nADD oAñ ad i rp a r ai ral ap an t al l afi n ald on den osi n di c aq ue fi na l i z oe lp r o c es oypu l s amo sOK par ai ral apant al l adehos tpar aes t ec as o.
A cont i nuaci ón sel ecc i onamos el hos t en est e cas ot enemos uno y hacemos cl i ck enAna p ar ac ome nz a re la ná l i s i sdel ai mag en .No sa br el ap an t a l l ad ea ná l i s i syv a mo s l i z e aI par av eri nf or mac i ó ndel s i s t ema. ma geDe t a i l s
Enest ecasopodemosverqueset r at adeunapar t i ci ónNTFSdeWi ndwosXP,ydemásdat os d elt a ma ñod ed i s c oys e c t o r e s .L ue gop od emo si ra Fi av erl aes t r uc t ur ade l eAnal y si s,par ar c hi v osydi r ec t or i os .
Ve mo sd en t r odel o sd i r e ct o r i o s eld i r e ct o r i oBoo tq ue c o nt i e nel o sl ogd e bo ot eo d ee sa p ar t i c i ó n,s ih ac emo su nc l i c kv e r e mo se ll o g yp od r e mo sv e r l oe nd i s t i n t o sf o r ma t o sc o mo ASCI I ,He x adec i mal yt e xt o,e nes t ec as ov emosel s i gui ent ee r r or : Adi skr eader r oroccur r ed-NTLDRi smi ssi ng
Elar chi voNTLDR deWi ndowsXP esuncomponent eesenci aldelsect ordear r anque yel i ni c i odeWi ndo wsXP .El or d en ado rn os ei ni c i ar á,not er mi n ar ad eboo t ears ies ea r c hi v oes t á dañado. Ac o nt i n ua c i ó ns ih ac e mo su nc l i c ke ne le nl a c ed i re nl ac o l u mn a Type,podr emosnavegar porl osdi r ec t or i osyverar c hi v osel i mi nadospar at r at arder ec uper al os .
El anál i si s f or ense i nf or mát i co per mi t e l a i dent i ficaci ón y descubr i mi ent o de mágenes de di sc osdur os,memor i as i nf or maci ón r el evant e en f uent es de dat oscomo i USB,c a p t u r a sdet r á fi c od er e d,ov ol c a d osd eme mo r i ad ec o mp u t a do r a s . Resumi endot odo l or eal i zado conAut opsypodemosr eabr i run casoyaque vaquedando g ua r d ad ol oq ueh ac e mo sob i e nc r e aru nn ue v oc a s o ,d on deu nc a s oc o n t i e nev a r i o sh o s to e qu i p o sop ar t i c i o ne sd eu na u ni d ad l ó gi c aq ue c o n t e nd r át o do l or e l a c i o na do a l a i nv es t i gac i ón. Po rl ot a nt o ,a lc r e aru nc a so s ei ng r e s ai n f o r ma c i ón c o mo s un omb r ei d en t i fi c at o r i o yl a p er s on aq uei n v es t i g ar ál o sd at o s .Els i g ui e nt ep as oc o ns i s t eena so ci a ra lc as ou noomá s h os t ,l o sc u a l e ss ec o r r e s p on de nc o nl a si má ge ne sq uev a mo sas o me t e raa n ál i s i s ,ou na i ma genf o r en s eq ues eh aa dq ui r i d op r e v i a men t ed el o r d en ad oros e r v i d oras era na l i z ad o. Ac o nt i n ua c i ó nc e r r a mo se s t ec a s oh ac i e nd oc l i c kenCl o s eyl u eg oe nCl o s eh os t ,yv amo s a ña di ru nn ue v oh os tde nt r od elc a so ,p ar ae l l on ec e si t a mo sl ai ma ge n JPEG Sear ma ge n ch,i q ueme nc i o na mo sa n t e r i o r me nt e .
Hacemoscl i ckenADD HOST p ar aa ña di ru nn ue v oh os tq uev a mo saa na l i z a r ,e ne s t ec a s o b us c a r e mo si má ge n esp er d i d a sod añ ad ase nu no r d en ad ord el á r e ad ed i s e ñ og r á fi c o .
De s pu ésdea ña di re lh os t ,d eb emo sa ña di rl ai ma ge nc o mol oh i c i mo sa nt e r i o r me nt e .
De sp ué sd et e r mi n are lp r o ce sov a mo sa ll i s t ad od eh os td i s po ni b l e sp ar ae st ec a so .
Ac ont i n uac i ó ns el e cc i onamosel h os tai n v es t i g aryhac emosc l i c ken OK.
Luegohacemosuncl i ckenAnal ar ac ome nz arl av i s t ad el ap ar t i c i ó n.Ene s t ec a sos e yzep t r a t ad eu n ap ar t i c i ó n Wi n do wsXP ,c o nu ns i s t e mad ea r c h i v o sNTFS c o nu nt o t a ld e1 0 i má g en e sJ PG e ne lmi s mo .L a si má ge ne si n c l u y e na r c h i v o sc o ne x t e ns i o ne si n c o r r e c t o s , i má ge ne si n c r u s t a da se nz i pyar c h i v o sd eWo r dyf a l l o sq ued eb er e mo se nc o nt r a ryr e pa r a r par ar e cup er ares osa r c hi v os . Elo bj e t i v od ee s t ai ma ge nd ep ar t i c i ó ne sp r o ba rl a sc a pa c i d ad es d el a sh er r a mi e nt a s aut omat i zadasquebuscani mágenesJPG. Re c o r r e mo sl o sd i r e c t o r i o s yp od emo sv e re nl ac o l u mn ai z q ui e r d aa ba j ou nb o t ó n ALL p ar aqueno smue s t r et o do sl o sar c hi v o sbo r r ad os . DELETEFI LES
T a mb i é np od emo se x po r t a ryd es c a r g ara r c h i v o sp ar aa na l i z a r l o so r e c up er a r l o sh ac i e nd o c l i c kenel e nl a cequ eq ue r emo sd es c ar g ar ,yl u eg oh ac e mo scl i c ken Export Dent r oencont r ar emosunai magenyal gunosar chi vosdedat os.Tambi énpodr emosbuscar p al a br a sde s deKeyWor comoext ensi onesdear chi voscomodocopr ogr amasque dSea r ch p ue da nf u nc i o na rc omocr a ck ,v i r u soc ual qu i e rc os aqu ep ue dapa r e ce re x t r añ a. Todosl ha c i e nd o os r esul t ados obt eni dospueden serexpor t adosadocument os HTML c l i c kenl osl i nkRepor dec adat i podev i s t aASCI ,He x ade ci malot e x t o,par al ap r es ent a ci ón t deuni nf or meanues t r osc l i e nt e sopar al l e v aru nabas ededat osdei n ci denc i as .
