Wir stoßen immer wieder auf die Fragestellung, ob jemand auf seinem Rechner einen TrueCrypt-Container verwendet hat. Der erste Reflex bei unerfahrenen Forensikern schwankt dann oft zwischen nackter Panik und völliger Mutlosigkeit. Es ist natürlich nicht gesagt, dass man immer Zugriff auf Daten in einem TrueCrypt-Container hat, aber ich möchte hier gern ein paar Hinweise geben, um vielleicht doch erfolgreich zu sein und mehr Informationen über den Container zu erlangen. Weiterlesen…
Schlagwort: Registry
Neuerungen zur Registry-Forensik mit X-Ways Forensics
In Ergänzung zu hier und hier nun noch ein Hinweis zu neuen Registry-Forensik-Funktionen von X-Ways Forensics 15.9, welches kurz nach unserem Artikel veröffentlicht wurde: Weiterlesen…
mehr Infos zu Windows-Registry-Forensik
In iX 01/2011 ist ein Artikel zur forensischen Analyse der Windows-Registry erschienen. Maßgeblicher Autor ist Alexander Sigel, ein Kollege aus meinem Forensik-Team . Aus Platzgründen haben es leider nicht alle Informationen in den Artikel geschafft. Diese finden sich nun hier. Weiterlesen…
iX-Artikel: Windows-Registry-Forensik
In iX 01/2011 ist ein Artikel zur forensischen Analyse der Windows-Registry erschienen. Maßgeblicher Autor des Artikels „Registry als Datenfundgrube“ ist Alexander Sigel aus meinem Forensic Technology Team. Die im Artikel erwähnten weiterführenden Informationen finden sich hier.
USB-Geräte analysieren
Die Registry eines Windows-Systems bietet eine Vielzahl von wertvollen Informationen. So auch für die Analyse der an ein Windows-System angeschlossenen USB-Geräte. Zusätzlich zu den relevanten Hardwareinformationen kann man aus der Auswertung der setupapi.log und den User Assist Keys weitere wesentliche Erkenntnisse erlangen. Weiterlesen…
RegRipper in neuer Version [update]
Harlan Carvey hat Version 2.0A seines Tools RegRipper veröffentlicht. Mit RegRipper kann man sehr komfortabel diverse Registry-Keys analysieren. Besonderes Augenmerk liegt hier bei den MRU- und UA-Keys, die gerade bei der Analyse von nutzungsspuren wichtig sind. Neben der GUI-Version rrb.exe gibt es nun auch eine CLI-Version rli.exe, die etwas handlicher ist und auch in eigene Skripte einbaubar ist. Weiterlesen…