Форензика и OSINT

Доброго времени суток, в этой теме рассмотрим 2 вопроса: сколько раз телефон загружался(при включении или перезагрузке) с момента первой конфигурации и его аптайм.
Если вы ни разу не пользовались ADB или позабыли как, дальше есть инструкция где взять/как запустить/как подключить

1. Если у Вас нет ADB скачиваем и распаковываем SDK Platform tools. В составе SDK Platform tools идет новый adb и fastboot. Если у Вас есть ADB и Вы умеете им пользоватся переходим к пункту 6.
2. Скачиваем драйвера под телефон(это можно сделать в профильной ветке 4pda/xda).
3. Переходим в папку, где находится ADB (по дефолту \platform-tools_r28.0.2-windows\platform-tools).
4. Для запуска можно использовать 2 метода:
   1. Powershell: удобнее, т.к. можно запустить прям из папки с помощью сочетания "Shift + ПКМ" - "Открыть окно Powershell здесь". Но для запуска ADB в Powershell нужно добавлять ".\"перед командой(например, adb devices нужно запускать как .\adb devices). Так же из Powershell можно запустить стандартный cmd просто набрав cmd в Powershell и использовать...

Всем привет!

Работая с LaZagne и обновлять Python (а я всегда только последними версиями движков пользуюсь) после обновлений бывают ошибки и при первой работе с LaZagne тоже.

Рассмотрим те ошибки с которыми я столкнулся при работе с LaZagne на другой ОС (Windows 10).

Первая ошибка которая у меня возникла это нехватка модулей в Python для работы LaZagne:

Если видим ошибку такого роду с недостачей модуля, то просто с помощью консоли (cmd) выполняем следующую команду:


Если видим, что "pip" говорит что ему нужно обновление то обновляем его командой как на скриншоте выше:
И запускаем еще раз LaZagne:


Видим, что не хватает модуля "rsa" и устанавливаем нужный модуль:


И запускаем еще раз LaZagne, видим что нужен еще модуль "pypykatz".

Устанавливаем его:


И после всего проделанного LaZagne работает:...

Всем привет!
Попал мне в руки образ смартфона ZTE BLADE V8 сделанный с помощью UFED версии 7.36.0.109.
Файл образа сформированный с расширением UDF, но Cellebrite Reader_7.18.0.106 может открывать файлы с расширением UFDR.
Для того чтобы экспортировать файл UDF в UFDR нам поможет MOBILedit Forensic Express .
Приступим первым делом открываем MOBILedit Forensic Express
Далее кликаем Start и видим следующее:
Так как физически смартфон не подключен и у нас есть только его образ то нужно как-то подгрузить его образ и переформатировать в нужный нам. Для этого выбираем пункт меню Import data и увидим следующее:
В открывшемся окне импорта данных выбираем пункт меню Cellebrite UFD(так образ смартфона у нас как раз в формате UFD), в открывшемся меню выбираем нашу папку с...

Цель PowerForensics - предоставить всеобъемлющую среду для криминалистического анализа жесткого диска.
PowerForensics в настоящее время поддерживает файловые системы NTFS и FAT, и началась работа над поддержкой расширенной файловой системы и HFS+.
Командлеты
[SPOILER="New Technology...

USB Detective - платное ПО для поиска информации о подключаемых устройствах USB для Windows систем

• Обрабатывает артефакты USB-устройств от Windows XP до Windows 10
• Поддержка работающей системы, отдельных файлов, папок и обработки логических дисков
• Обрабатывает несколько версий всех принятых артефактов
• Источник каждого идентифицированного значения сохраняется для последующего представления отчетов и документации
• Используйте последние изменения в Windows 10, чтобы получить еще больше информации об устройстве
• Визуально представленные уровни согласованности меток времени

Введение - Форензика альтернативного потока данных (Zone.Identifier) в NTFS
Альтернативные потоки данных (англ. Alternate Data Streams, ADS) — метаданные, связанные с объектом файловой системы NTFS.

Рассмотрим ПО которое поможет увидеть ADS:

Stream Detector v1.2

ADS Spy


NTFS Stream Explorer

Рассмотрим как работают дорогие решения для вскрытия паролей. Возможности Elcomsoft Distributed Password Recovery
Рассмотрим на примере зашифрованного диска с помощью BitLocker. Нам понадобится Elcomsoft Forensic Disk Decryptor для получения данных для дальнейшего восстановления пароля







Теперь полученный файл мы будем Атаковать программой Elcomsoft Distributed Password Recovery,
открываем полученный файл EDPR (Elcomsoft Distributed Password Recovery) мне известен пароль и по этому я оставил перебирать по маске только первый символ



иконка замочка уже зелёного цвета, это значит пароль подобран, в вкладке "Результат"



С этим рассмотрим еще один вариант, если есть в руках файл hiberfil.sys той системы (может там зашифрован только раздел, а не весь диск)

Выбираем



[ATTACH type="full"...