GetData hat ihr Werkzeug Mount Image Pro v2 um eine Komponente der Firma MD5 Ltd. ergänzt, die das Booten von forensischen Kopien in einer VMware-Umgebung ermöglicht. Hierbei ist nicht nur das bereits vom kostenlosen LiveView unterstützte Weiterlesen…
Schlagwort: Live Response
iX-Artikel: zu Live View und EnCase 6
In Ausgabe 04/2007 der iX wurden zwei Forensik-Artikel veröffentlicht. In einem Artikel beschreibe ich ausführlich, wie man aus einem mit dd erstellten Datenträgerimage mit Live View eine lauffähige VMware Virtual Machine erstellt, um das verdächtige System dann zur Laufzeit analysieren zu können.
Die neue Version von EnCase (6.2) Weiterlesen…
c’t Artikel: „Auf frischer Tat ertappen – Spurensicherung am lebenden Objekt“
In c’t 05/2007 erschien – nach langen Wehen – ein Artikel von mir zum Thema „Live Response“. Neben den klassischen Live-Response-Themen habe ich mich ausführlich der RAM-Analyse gewidmet.
Ich hoffe, dass ich wegen des Faustkeilvergleichs nicht bei der nächsten Gelegenheit ein Bier ausgeben muß, aber auch dies werde ich mit Würde und ebenfalls großem Durst ertragen. 😉
Die Tools Weiterlesen…
Testimages für forensische RAM-Analyse
Jesse Kornblum und Brian Carrier haben wieder ein paar Testimages für die RAM-Analyse veröffentlicht. Damit ist es jedermann möglich, Werkzeuge und Methoden zur forensischen Analyse von Hauptspeicherinhalten zu erproben. Es gibt folgende unterschiedliche Server- und Notebook-Images: Weiterlesen…
Malware Analyse mit PEiD
Mit dem kostenlosen Werkzeug PEiD kann man eine erste Analyse einer unbekannten Binärdatei durchführen. Das Tool liefert sehr viele Informationen über ausführbare Dateien. Es werden über 450 unterschiedliche „Packer“ und Compiler erkannt. Über eine Plugin-Schnittstelle können Weiterlesen…
Windows Page File Analyse
Jesse Kornblum (Entwickler von md5deep, ssdep und foremost) hat ein kleines Programm namens Clear Memory veröffentlicht. Damit wird die Analyse des Virtuellen Arbeitsspeichers von Windowssystemen erleichtet. Einmal gestartet, werden die Memory Pages des physikalischen Hauptspeichers in das Page File übertragen. Damit steigt die Chance, dort dann mehr Bestandteile des Hauptspeichers für eine spätere Analyse zu finden. Besser ist natürlich ein Hauptspeicherabbild, aber man kann ja nicht alles haben. 😉
Update 11.11.2006 15:20 Weiterlesen…
Process Monitor von Microsoft
Microsoft hat hat nun das erste Tool nach der Übernahme von Sysinternals veröffentlicht, dass auf den erfolgreichen Sysinternals Werkzeugen Regmon sowie Filemon basiert und Process Monitor heisst. Der wesentliche Vorteil für die Live Response ist sicherlich darin zu sehen, nun nur noch mit einem Werkzeug alle wesentlichen Daten eines Windows-Systems zu sammeln. Ein weniger „invasives“ Arbeiten ist damit möglich.
Das Programm Weiterlesen…
Helix 1.8 ist raus!
Die von vielen Ermittlungsteams (auch wir verwenden diese) häufig eingesetzte Incident Response & Forensics Live CD Helix ist aktualisiert worden. Version 1.8 ist seit letzter Woche unter http://www.e-fense.com/helix/ kostenlos beziehbar. Helix besteht aus einem Windows-Teil und einem Live Linux-Teil, der auf Knoppix basiert.
Neben der Aktualisierung der Tools, wurde PTFinder von Weiterlesen…
Live View: von dd nach VMware
Die Carnegie Mellon University veröffentlicht das Tool Live View. Mit diesem in Java geschriebenen Werkzeug kann man aus einem Raw dd-Image eine VMware Virtual Machine erzeugen. Damit ist es möglich, ein verdächtiges System in einer geschützten Umgebung zu booten. Weiterlesen…
neue Methode zur RAM-Analyse
Auf dem diesjährigen Digital Forensics Research Workshop (DRFWS) stellte Andreas Schuster einige sehr interressante Ermittlungsansätze zur Sammlung flüchtiger Daten bei der Live-Response von verdächtigen Windows-Systemen vor.
Er nutzt hauptsächlich Strukturen der Speicherverwaltung des Windows-Kernels und seiner Objekte, um beim sequenziellen Durchsuchen eines Arbeitsspeicher-Abbildes Verwaltungsinformationen zu Prozessen und Threads zu identifizieren. Weiterlesen…