Mit dem kostenlosen Werkzeug PEiD kann man eine erste Analyse einer unbekannten Binärdatei durchführen. Das Tool liefert sehr viele Informationen über ausführbare Dateien. Es werden über 450 unterschiedliche „Packer“ und Compiler erkannt. Über eine Plugin-Schnittstelle können Weiterlesen…
Schlagwort: Live Response
Windows Page File Analyse
Jesse Kornblum (Entwickler von md5deep, ssdep und foremost) hat ein kleines Programm namens Clear Memory veröffentlicht. Damit wird die Analyse des Virtuellen Arbeitsspeichers von Windowssystemen erleichtet. Einmal gestartet, werden die Memory Pages des physikalischen Hauptspeichers in das Page File übertragen. Damit steigt die Chance, dort dann mehr Bestandteile des Hauptspeichers für eine spätere Analyse zu finden. Besser ist natürlich ein Hauptspeicherabbild, aber man kann ja nicht alles haben. 😉
Update 11.11.2006 15:20 Weiterlesen…
Process Monitor von Microsoft
Microsoft hat hat nun das erste Tool nach der Übernahme von Sysinternals veröffentlicht, dass auf den erfolgreichen Sysinternals Werkzeugen Regmon sowie Filemon basiert und Process Monitor heisst. Der wesentliche Vorteil für die Live Response ist sicherlich darin zu sehen, nun nur noch mit einem Werkzeug alle wesentlichen Daten eines Windows-Systems zu sammeln. Ein weniger „invasives“ Arbeiten ist damit möglich.
Das Programm Weiterlesen…
Helix 1.8 ist raus!
Die von vielen Ermittlungsteams (auch wir verwenden diese) häufig eingesetzte Incident Response & Forensics Live CD Helix ist aktualisiert worden. Version 1.8 ist seit letzter Woche unter http://www.e-fense.com/helix/ kostenlos beziehbar. Helix besteht aus einem Windows-Teil und einem Live Linux-Teil, der auf Knoppix basiert.
Neben der Aktualisierung der Tools, wurde PTFinder von Weiterlesen…
Live View: von dd nach VMware
Die Carnegie Mellon University veröffentlicht das Tool Live View. Mit diesem in Java geschriebenen Werkzeug kann man aus einem Raw dd-Image eine VMware Virtual Machine erzeugen. Damit ist es möglich, ein verdächtiges System in einer geschützten Umgebung zu booten. Weiterlesen…
neue Methode zur RAM-Analyse
Auf dem diesjährigen Digital Forensics Research Workshop (DRFWS) stellte Andreas Schuster einige sehr interressante Ermittlungsansätze zur Sammlung flüchtiger Daten bei der Live-Response von verdächtigen Windows-Systemen vor.
Er nutzt hauptsächlich Strukturen der Speicherverwaltung des Windows-Kernels und seiner Objekte, um beim sequenziellen Durchsuchen eines Arbeitsspeicher-Abbildes Verwaltungsinformationen zu Prozessen und Threads zu identifizieren. Weiterlesen…
Microsoft kauft Sysinternals
Winternals und Sysinternals an Microsoft verkauft
Ich habe mich ja nun nicht nur an dieser Stelle lobend über die wirklich sinnvollen Werkzeuge von Sysinternals.com geäußert. Seien es nun Pstools, Process Explorer, Autoruns, Rootkit Revealer oder File- bzw. Regmon, diese Freewaretools sind sehr wichtige und kompakte Helferlein bei der forensischen Analyse eines laufenden verdächtigen Weiterlesen…