Un file #thumbs.db viene generato automaticamente ogni volta che un utente visualizza una cartella in modalità "thumbs" o "filmstrip". Il file crea un insieme di piccole immagini (non più di 96×96 pixel), note come miniature, per tutte le immagini presenti in una cartella.
Lo scopo di questo file è accelerare il tempo necessario per visualizzare una cartella in modalità thumbs creando una miniatura memorizzata nella cache di ciascuna immagine in modo che #Windows non debba crearne una nuova ogni volta. I file indicizzati in un file Thumbs.db includono file di immagine come JPEG, BMP, GIF e PNG, file di immagine di documenti come TIFF e PDF, file video come AVI e MOV, file di presentazione come PPT e alcune pagine Web HTML .
Il file Thumbs.db contiene quindi le miniature delle immagini, queste spesso rimangono sul computer di una persona anche dopo aver eliminato il file immagine stesso. Molte persone non riescono a eliminare il file Thumbs.db perché è un "file nascosto", il che significa che è visualizzabile solo in una directory quando l'opzione "Mostra file nascosti" è attivata.

I dati Thumbs.db sono archiviati nel "OLE Compound Document", il che significa che il contenuto del file non può essere visualizzato senza conoscenze o software specialistici. Tuttavia, gli esperti di informatica forense sono in grado di convertire i dati archiviati all'interno di un file Thumbs.db in una forma leggibile, estraendo ciascuna delle immagini in miniatura, insieme a informazioni come il nome del file originale e la data in cui ciascuna miniatura è stata scritta l'ultima volta.
Sono disponibili numerosi strumenti che possono essere utilizzati per estrarre e visualizzare i dati in un file Thumbs.db. Questi includono ad esempio le soluzioni di 'Encase' o 'AccessData FTK', che offrono una semplice interfaccia utente per visualizzare le miniature all'interno dei file Thumbs.db.

Le prove estratte dai file Thumbs.db possono avere un peso significativo nei casi giudiziari. Ad esempio, nel dicembre 2008, un uomo norvegese, Martin Stenstadvolden, si è dichiarato colpevole di aver scaricato materiale pedopornografico dopo che l'analisi forense del computer ha rivelato miniature di immagini illecite memorizzate nella cache, di cui credeva di aver cancellato ogni traccia. Con l'enorme quantità di informazioni su Internet che aumenta ogni giorno di più e le nuove tecnologie che producono modi sempre più illeciti di condividere immagini indecenti, l'informatica forense rappresenta uno strumento sempre più vitale nell'arsenale delle forze dell'ordine.

#cybersecurity #ethicalhacker #malware #forensic #analisiforense #penetrationtester

I file LNK, denominati Shortcut o scorciatoie, sono un artefatto relativamente semplice ma prezioso per l'investigatore forense. Sono file di collegamento che si collegano a un'applicazione o a un file e terminano con un'estensione .LNK. I file LNK possono essere creati dall'utente o automaticamente dal sistema operativo Windows.
Quando sono creati da Windows vengono generati quando un utente apre un file o un documento locale o remoto, fornendo agli investigatori informazioni preziose sull'attività di un sospetto.
Questi sono eccellenti artefatti per gli investigatori forensi che stanno cercando di trovare file che potrebbero non esistere più sul sistema che stanno esaminando. I file potrebbero essere stati cancellati, archiviati su una USB o una condivisione di rete, quindi anche se il file potrebbe non essere più presente, i file LNK associati al file originale continueranno a esistere (e riveleranno informazioni preziose su ciò che è stato eseguito sul file sistema).
Attenzione però, perchè non tutti questi artefatti contengono le stesse informazioni, che posso variare da uno all'altro.
I file LNK in genere contengono i seguenti elementi di valore probatorio:

• Il percorso originale del file
• tempo MAC del file originale; non solo un file LNK conterrà timestamp per il file LNK stesso, ma conterrà anche orari MAC per il
• file collegato all'interno dei suoi metadati
• Informazioni sul volume e sul sistema in cui è archiviato il file LNK. Ciò includerà il nome del volume, il numero di serie, il nome
• NetBIOS e l'indirizzo MAC dell'host in cui è archiviato il file collegato
• Dettagli di rete se il file è stato archiviato su una condivisione di rete o su un computer remoto
• Dimensione file del file collegato

Un utile tool per analizzarli è LECmd.exe di Eric Zimmerman

Le tecniche #antiforensics si riferiscono a qualsiasi strategia o software per contrastare un'indagine informatica. I criminali informatici possono alterare le prove modificando l'intestazione o i metadati o alterando l'intestazione da .jpg a .mp3 per indurre un analista (poco accorto) a credere che si tratti di un file audio.
I criminali informatici utilizzano tecniche anti-forensi per falsificare il rapporto sulle prove della scientifica informatica, portando gli investigatori forensi su una pista investigativa sbagliata. Pertanto, diventa un compito arduo per l'investigatore forense recuperare qualsiasi prova dalla scena del crimine. Il processo di indagine forense richiede molto tempo per identificare queste tecniche anti-forensi.

Le tecniche antiforensi sono utilizzate per:

• Eliminare le prove del crimine informatico
  Compromettere i rapporti dell'analista forense
  Eliminare o modificare i record di registro delle attività dell'attaccante

Per esempio una tecnica potrebbe essere quella di cambiare volontariamente i timestaps dei file in modo da alterare la timeline per invalidare una prova scientifica o portare a conclusioni sbagliate.

Spesso e volentieri mi ritrovo a dover rivedere alcune ricerche effettuate sul web con uno specifico motore di ricerca, il più delle volte non ricordo il contesto oppure la giusta frase o termine usato nella ricerca.

MyLastSearch della NirSoft ci da una mano, permette la scansione della cache e dei file di cronologia del browser Web e individua tutte le query di ricerca effettuate con i motori di ricerca più popolari (Google, Yahoo e MSN) e con i siti di social networking più diffusi (Twitter, Facebook, MySpace).

Le query di ricerca effettuate vengono visualizzate in una tabella, è possibile salvarla in un file di testo/html/xml.

La Digital Forensics è di sicuro un argomento molto complesso, ed uno degli obbiettivi dell’analisi è sicuramente il Filesystem.

Diversi livelli di analisi possono essere compiute su di esso, vi riporto indicazioni sulla parte dei metadati, appunto Metadata Layer.

Un esempio di questo è lo spazio non allocato lo “slack space”. Il più importante di queste è, la MFT (Master File Table), corrispondente al file $mft, questo contiene un record per ogni file e directory contenuti all’interno del volume e per ognuno di essi una serie di attributi.

L’analisi di questa parte è possibile tramite l’acquisizione dell’immagine del disco, uno strumento utile a ciò è FTK Imager.

Ecco alcuni degli attributi ed una breve descrizione, importanti per l’analisi:

• $DATA, contenuto del file.
• $STANDARD_INFORMATION, contiene I valori MAC (Modified, Accessed, Changed) del file.
• $FILE_NAME, contiene il nome del file, riferimenti alla directory di appartenenza.

Ovviamente un esempio di analisi completa la troviamo nel corso di analisi forense.