Forensische Analyse von TrueCrypt-Containern

Wir stoßen immer wieder auf die Fragestellung, ob jemand auf seinem Rechner einen TrueCrypt-Container verwendet hat. Der erste Reflex bei unerfahrenen Forensikern schwankt dann oft zwischen nackter Panik und völliger Mutlosigkeit. Es ist natürlich nicht gesagt, dass man immer Zugriff auf Daten in einem TrueCrypt-Container hat, aber ich möchte hier gern ein paar Hinweise geben, um vielleicht doch erfolgreich zu sein und mehr Informationen über den Container zu erlangen. Weiterlesen...

mehr Infos zu Windows-Registry-Forensik

In iX 01/2011 ist ein Artikel zur forensischen Analyse der Windows-Registry erschienen. Maßgeblicher Autor ist Alexander Sigel, ein Kollege aus meinem Forensik-Team . Aus Platzgründen haben es leider nicht alle Informationen in den Artikel geschafft. Diese finden sich nun hier.  Weiterlesen...

iX-Artikel: Windows-Registry-Forensik

In iX 01/2011 ist ein Artikel zur forensischen Analyse der Windows-Registry erschienen. Maßgeblicher Autor des Artikels „Registry als Datenfundgrube“ ist Alexander Sigel aus meinem Forensic Technology Team. Die im Artikel erwähnten weiterführenden Informationen finden sich hier.

USB-Geräte analysieren

Die Registry eines Windows-Systems bietet eine Vielzahl von wertvollen Informationen. So auch für die Analyse der an ein Windows-System angeschlossenen USB-Geräte. Zusätzlich zu den relevanten Hardwareinformationen kann man aus der Auswertung der setupapi.log und den User Assist Keys weitere wesentliche Erkenntnisse erlangen. Weiterlesen…

RegRipper in neuer Version [update]

iconHarlan Carvey hat Version 2.0A seines Tools RegRipper veröffentlicht. Mit RegRipper kann man sehr komfortabel diverse Registry-Keys analysieren. Besonderes Augenmerk liegt hier bei den MRU- und UA-Keys, die gerade bei der Analyse von nutzungsspuren wichtig sind. Neben der GUI-Version rrb.exe gibt es nun auch eine CLI-Version rli.exe, die etwas handlicher ist und auch in eigene Skripte einbaubar ist. Weiterlesen...