forense-autopsy

KO | EN

gitlite — search

#javascript #python #hacktoberfest #react #ai #typescript #llm #go #golang #android #machine-learning #rust #deep-learning #linux

forense-autopsy

★ 23 Open GitHub ↗

Se trata de un análisis forense de un caso real, que por medio de una imagen, se obtiene una serie de datos que ayudan a una investigación.

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

# Análisis Forense Digital de un caso real con Autopsy
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/autopsy_logo.gif?w=400&zoom=2">

En el Magíster de la universidad Central de Chile, tuvimos un ejercicio bien interesante que me gustaría compartir con ustedes. Se trata de un análisis forense de un caso real, que por medio de una imagen, se obtiene una serie de datos que ayudan a una investigación.

El ejercicio resuelto , difiere un poco de lo que me toco a mí resolver ya que no encontré la imagen con la que yo trabaje en el curso del Magíster, pero encontré el mismo ejemplo en una pagina de desafíos forenses por lo que deberia dar los mismos resultados.

# Herramientas utilizadas
 En el desarrollo práctico de este ejercicio serán utilizadas las siguientes herramientas especializadas para el análisis forense.

- Autopsy
- VMware Workstation 12 Pro
- Kali Linux ver 2.0
- Md5sum
- Archive Manager(Descompresión)

# Desarrollo del Ejercicio

El desafió es analizar un disquete recuperado y contestar algunas preguntas. Para esto tendrás que leer un informe de la policía  simulando una investigación en el mundo real. Además tendrás un poco de información de antecedentes y algunas pruebas.
```sh
wget https://raw.githubusercontent.com/SVelizDonoso/forense-autopsy/master/report.txt
```
A continuación se muestra la imagen del disquete dd recuperado. Esta es la imagen que proporcionará las respuestas del caso.
```sh
wget https://github.com/SVelizDonoso/forense-autopsy/raw/master/image.zip
```
 Descargar: image.zip MD5 = b676147f63923e1f428131d59b1d6a72 (image.zip)
 
 # Preguntas a Resolver en el caso:
 - ¿Quién es el proveedor de marihuana de Joe Jacobs y cuál es su dirección?
-  ¿Qué dato clave está disponible dentro del archivo coverpage.jpg?
-  ¿Qué otras escuelas secundarios (si hay) adicionales a Smith Hill, frecuenta Joe Jacobs?
-  Para cada archivo recuperado, ¿qué proceso fue adelantado por el sospechoso para ocultarlo en el disco?
-  ¿Qué proceso realizó Ud. como investigador para examinar con éxito el contenido completo de cada archivo?
-  ¿Puede decir qué programa fue usado para crear el archivo coverpage.jpg? ¿Cómo lo puede probar?

# DEMOSTRACIÓN PRÁCTICA DEL EJERCICIO FORENSE

El siguiente punto detalla las actividades realizadas paso a paso para obtener las respuestas a las preguntas del punto anterior, nuevamente explico que el nombre del archivo y firma md5 con la que trabajo yo  es distinta, por lo que recomiendo seguir el ejercicio como una guia y ustedes hacer el ejercicio con el archico que les indique descargar.

Para comenzar con la investigación. Se descarga una imagen con el nombre wetransfer-680dbd.zip 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura114.jpg"> 
 
 Una vez descargado el archivo se procede a calcular su hash md5 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura213.jpg">

Ahora creamos una copia del archivo para trabajar con él y no contaminar la evidencia principal. 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura33.jpg">

Calculamos el md5 del archivo copiaevidencia.zip para verificar que estamos trabajando con una copia original de la evidencia. 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura42.jpg">

Para trabajar con la imagen, vamos a descomprimir copiaevidencia.zip 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura52.jpg"> 
Damos Click en Open With Archive Manager 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura61.jpg"> 
Damos Click en Extract y vemos que tenemos un archivo que se llama image, la cual será la imagen sobre la cual trabajaremos. 
 <img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura72.jpg"> 
Procedemos a calcular su HASH md5 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura82.jpg">

Ahora vamos a trabajar esta imagen sobre una herramienta especializada en análisis forense. Para completar este paso abrimos una terminal y escribimos el comando autopsy. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura93.jpg"> 
Copiamos la URL que nos indican el programa y la pegamos en nuestro navegador con el siguiente resultado. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura103.jpg"> 
Para iniciar un caso con autopsy damos Click sobre el botón que dice Open Case. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura115.jpg"> 
Una vez realizada esta tarea, nos aparecerá la siguiente pantalla 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura122.jpg"> 
Ahora damos Click sobre el botón New Case 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura132.jpg"> 
Y procedemos a llenar los datos del formulario. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura142.jpg"> 
Damos Click en New Case nuevamente y nos aparecerá la siguiente pantalla 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura152.jpg"> 
Ahora vamos a dar Click en ADD HOST 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura162.jpg"> 
Llenamos los campos del formulario y aceptamos. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura172.jpg"> 
Al agregar el nuevo host, nos aparecerá la siguiente pantalla 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura183.jpg"> 
Ahora nos queda agregar la evidencia a revisar. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura193.jpg"> 
Ahora damos Click en Next. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura202.jpg"> 
seleccionamos Volume System Type Dos 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura214.jpg"> 
Damos Ok.

Ahora procedemos a completar el formulario. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura222.jpg"> 
Seleccionamos calcular Hash y comprobamos la integridad de nuestra evidencia. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura242.jpg"> 
Damos Ok y comienza el inicio del análisis ya que tenemos la evidencia cargada en nuestro sistema con los procedimientos forenses adecuados.

Esta es la pantalla del inicio de análisis. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura252.jpg"> 
Para comenzar damos Click en el link Details y procedemos a crear los índices de búsqueda.

Imagen antes de los índices de búsqueda: 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura262.jpg"> 
Para trabajar con la imagen damos Click sobre los botones Extract String y Extract Unallocated.

Después de este proceso de verificación damos Click sobre el botón Close que se encuentra al final del formulario y nos salimos de esta pantalla. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura271.jpg"> 
Ahora volvemos a verificar como quedo la imagen después de trabajar sobre ella. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura281.jpg"> 
Si el paso anterior lo seguimos bien deberíamos estar en la siguiente pantalla nuevamente. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura291.jpg"> 
Ahora Damos Click sobre el botón Analyze 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura301.jpg"> 
Y damos Click en el botón Image Details 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura311.jpg"> 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura321.jpg"> 
Con esto verificamos el tamaño del cluster, direcciones de memoria, metadatos y informacion volumen, FAT contents nos indica los sectores que contienen datos del diskett.

Ahora damos click en el boton que dice File Analyze y nos deberia llegar a la siguiente Pantalla 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura331.jpg"> 
# Examinar cada uno de los archivos.
 
 
Archivo Cover page.jpgc 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura34.jpg"> 
Damos click en HEX DISPLAY y verificamos que este archivo no es reconocido como un .jpeg , ya que si fuese de esta forma tendría los valores en HEX FF D8. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura35.jpg"> 
Ahora Vamos a visualizar los metadatos de esta imagen dando click en Meta 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura36.jpg?w=68&zoom=2"> 
Tendremos la siguiente información en pantalla. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura37.jpg"> 
La evidencia nos señala la siguiente inconsistencia:

El archivo posee un tamaño de 15585 bytes, sin embargo sólo se tiene un sector de 451 bytes asignado sobre 512 bytes correspondiente al tamaño de los sectores en FAT 12.

Procedemos entonces al cálculo del archivo: 
- Tamaño archivo 15585 bytes
- Tamaño FAT 12 512 bytes
- Sectores a Ocupar = (Tamaño archivo + Tamaño FAT -1) / Tamaño FAT

Es decir: (15585 + 511) /512= 31

Por lo tanto, debemos ocupar 31 sectores para reconstruir la imagen.

Ahora procedemos a buscar una firma JPEG JFIF desde el sector 451 en sentido inverso, es decir, primero revisar el sector 451, después 450, después 449 hasta llegar al sector 73 donde encontramos una coincidencia con el contenido JI IF. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura38.jpg"> 
Como en el análisis FAT CONTENTS encontramos 31 sectores, significa que desde el inicio de la imagen debemos comenzar de sector 72 + 31 esto nos 103, es decir, del sector 73 al 103. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura39.jpg"> 
Damos click en View e inmediatamente el sistema reconoce el conjunto de byte donde se encuentra grabada la imagen en el disco que pertenecen a el archivo JPEG. Ahora procedemos a extraer la imagen dando Click en Export Content 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura40.jpg"> 
Nos aparecerá la siguiente Imagen. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura411.jpg"> 
Damos Click en Save File y Cambiamos la imagen de .raw a .jpeg 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura421.jpg"> 
Guardamos el archivo y Damos Click sobre la imagen y visualizamos el contenido. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura43.jpg"> 
 
 
Análisis Archivo Jimmy Jungle.doc 
En la primera visualización Autopsy, reconoce este archivo como eliminado y de extensión .doc 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura44.jpg"> 
Ahora procedemos a verificar los metadatos del archivo dando Click sobre el link Meta. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura45.jpg"> 
Verificamos sus datos para proceder al cálculo del número de bloques necesarios para extraer el archivo 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura46.jpg"> 
Entonces procedemos al Cálculo del archivo: 
Números de sectores del archivo
- Desde sector 32
- Hasta Sector 72

Numero de sectores 72 – 32 = 40

Con los datos obtenidos vamos al bloque 33, completamos el formulario y damos Click a View 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura47.jpg"> 
La operación anterior debería haber mostrado la siguiente pantalla. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura48.jpg"> 
Damos Click en Export Contents 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura49.jpg"> 
Damos Click en Guardar archivo 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura50.jpg"> 
Cambiamos de extensión raw a Doc y guardamos 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura511.jpg"> 
Y damos Click sobre el para verificar el contenido. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura521.jpg"> 
 
Análisis Archivo Schedueld Visits.exe 
Damos Click sobre el archivo y verificamos los resultados entregados por la aplicación. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura53.jpg"> 
Ingresamos a Verificar sus metadatos. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura54.jpg"> 
Resultados de la apantalla metadatos 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura55.jpg"> 
En la pantalla nos indica que el tamaño del archivo es de 1000 y que utiliza dos sectores 104 y 105.

Entonces procedemos al Cálculo del archivo: 
Números de sectores del archivo: 
Desde sector 103 à Hasta Sector 105

Numero de sectores 103 – 105 = 2

Con los datos obtenidos vamos al bloque 2, completamos el formulario y damos Click a View

Procedemos a calcular el archivo 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura56.jpg"> 
Según los datos del bloque 104 y 105 indica que hay un archivo de nombre Scheduled Visits.xls 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura57.jpg"> 
Ahora damos Click a Export Contents 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura58.jpg"> 
Guardamos el archivo con extensión .zip y procedemos a extraer contenidos. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura59.jpg"> 
La siguiente imagen nos demuestra que el archivo esta corrupto por lo que nos hacen falta más bloques para lograr crear el contenido.

Como tuvimos este tipo de problemas al encontrar que el archivo no estaba completo, revisamos la evidencia y descubrimos que desde el bloque 106 a 108 estaban resto de otro archivo y tiene la coincidencia que también lleva adentro el archivo Scheduled Visits.xls 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura60.jpg"> 
Entonces ya con esta información procedemos a extraer desde el bloque 104 a 108, nuevamente damos Click a Export Contents 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura611.jpg"> 
el siguiente nombre para diferenciar de la descarga anterior y damos Click a guardar 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura62.jpg"> 
Procedemos a extraer el contenido y verificamos que adentro de este archivo encontramos un archivo con nombre Scheduled Visits.xls 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura63.jpg"> 
Lo extraemos y verificamos su contenido. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura64.jpg"> 
Nos damos cuenta que para exportar el archivo se necesita una clave.

Al no saber dónde encontrar la clave, nuevamente verificamos las evidencias obtenidas. El primer paso es revisar desde el archivo jpeg y luego el doc para ver si pasamos por alto algún dato relevante que nos pueda indicar si la contraseña se encuentra dentro del diskette.

Comenzamos revisando el archivo jpeg y nos dimos cuenta que al final de la imagen existe la palabra pw que hace referencia a password. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura65.jpg"> 
Pasamos el contenido de HEX a string para visualizar mejor el contenido y vemos que dice pw=goodtimes 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura67.jpg"> 
Procedemos a ingresar esta clave, primero ingresaremos en el archivo zip goodtimes y si esta contraseña no sirve, ingresaremos el texto completo pw=goodtimes 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura68.jpg"> 
Nos indica que la extracción fue realizada con éxito 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura69.jpg"> 
Y damos doble Click para verificar su contenido. 
<img src="https://cybersecuritylaboratory.files.wordpress.com/2016/09/captura70.jpg">

# Respuestas al Caso

¿Quién es el proveedor de marihuana de Joe Jacobs y cuál es su dirección?

El proveedor es Jimmy Jungle. La dirección es 626 Jungle Ave, Apt 2, Jungle, NY 11111.

¿Qué dato clave está disponible dentro del archivo coverpage.jpg?

Dentro del archivo “coverpage.jpg”, en la parte final de las unidades de asignación del archivo se encuentra el texto “pw=gootimes” el cual corresponde a la contraseña del archivo protegido “Scheduled Visit.exe”.

¿Qué otras escuelas secundarios (si hay) adicionales a Smith Hill, frecuenta Joe Jacobs? Frecuenta los siguientes establecimientos secundarios adicionales:

- Key High School (B)
- Leetch High School (C)
- Birard High School (D)
- Richter High School (E)
- Hull High School (F)

Para cada archivo recuperado, ¿qué proceso fue adelantado por el sospechoso para ocultarlo en el disco?

Borrado de archivo “Jimmy Jungle.doc” Compresión, protección por contraseña y cambio de extensión del archivo “Schedule Visits.exe”.

¿Qué proceso realizó Ud. como investigador para examinar con éxito el contenido completo de cada archivo?

Recuperación y visualización directa con herramienta Autopsy del archivo “Jimmy Jungle.doc” Extracción con la herramienta Archive Manager a partir de la correcta estructura del directorio FAT12 del archivo “Scheduled Visits.exe”. Descompresión mediante herramienta Winzip y utilización de Excel para visualizar la planilla.

¿Puede decir qué programa fue usado para crear el archivo coverpage.jpg? ¿Cómo lo puede probar?

Se puede deducir que el archivo fue creado mediante una aplicación de Microsoft que maneje conversión de formatos gráficos o escaneo de imágenes. Esta hipótesis se puede probar (en parte para descartar), convirtiendo un archivo BMP a JPG con cualquier otra herramienta distinta a las mencionadas, corroborando así que no es posible generar bloques de comentarios. 
 
 
# Autor
@svelizdonoso https://github.com/SVelizDonoso/

forense-autopsy

Explore Similar Repositories

Was this content helpful?

Recent Feedback

Download README