Wpis z mikrobloga

Co o Tobie wiadomo dzięki informatyce śledczej? #od0dopentestera
Listę odwiedzanych stron można odczytać nie tylko na podstawie ciasteczek czy historii przeglądarki, ale także za pomocą plików tymczasowych. Jeśli używasz Chrome'a możesz użyć programu ChromeCacheView.
Eksplorator pod Windowsem czasami tworzy miniaturki plików graficznych. Znajdują się one w plikach thumbcache. W sprzyjających okolicznościach można tam znaleźć usunięty obrazek.
Jeżeli korzystasz z przywracania systemu, to co jakiś czas tworzony jest punkt przywracania. Zawiera on historyczne wersje plików z dysku. W ten sposób można próbować odzyskać zaszyfrowane pliki.
Windows przechowuje listę urządzeń USB, które były podpięte do komputera. Widać nie tylko nazwę urządzenia, ale także jego numer seryjny oraz czas podpięcia.
Listy szybkiego dostępu pozwalają określić jakie pliki były niedawno otwierane/edytowane. Część z nich jest widoczna w zakładce "szybki dostęp" w eksploratorze plików. Więcej informacji zobaczysz za pomocą programu JumpListsView.
Listę uruchamianych programów znajdziesz w rejestrze systemu. Sprawdź gałąź: HKCU\Software\Microsoft\Windows\ CurrentVersion\Explorer\UserAssist. Dane są tam zakodowane algorytmem rot13.
Podobne informacje znajdują się w plikach z rozszerzeniem .pf w katalogu c:\Windows\Prefetch. Program PECmd pokaże Ci kiedy uruchamiano dany program oraz z jakich plików on korzystał.
Informacje o poczynaniach użytkownika znajdziesz też w historii aktywności (Windows+Tab). Narzędzie WxTCmd wygeneruje plik CSV z czasem uruchomienia oraz długością trwania danej akcji.
Listę ostatnich 4096 komend wykonanych z poziomu powershella znajdziesz w pliku: C:\Users\*\AppData\Roaming\Microsoft\Windows\ PowerShell\PSReadline\ConsoleHost_history.txt.
Na stronie Mojej Aktywności Google zobaczysz swoje zapytania do wyszukiwarki a także filmy na YouTube, które oglądałeś będąc zalogowanym na swoje konto.
Twoja aktywność poza Facebookiem to lista stron, które odwiedziłeś, a które korzystają z integracji z tym serwisem. Ilość witryn zależy w głównej mierze od tego czy korzystasz z Adblocka.
Niektóre usługi VPN mogą przechowywać logi, na podstawie których można Cię odnaleźć. Różne państwa posiadają różne przepisy odnośnie retencji danych. Retencja danych to rutynowe zatrzymywanie przez operatorów informacji o tym, kto, z kim i kiedy łączył się (lub próbował połączyć) za pomocą środków komunikacji elektronicznej.
Czasami firma może zostać zobowiązana aby nie informować swoich użytkowników o tym, że jej infrastruktura jest przeszukiwana. Warrant canary to próba obejścia tego problemu. Tworzy się dokument, w którym zapisuje się, że jak na razie wszystko jest w porządku. Jeśli nagle plik przestaje być uaktualniany, to można zastanawiać się - czy coś jest nie tak.
Sprawdź jak Twój VPN reaguje w przypadku nagłego rozłączenia. Czy Internet jest wtedy odłączany? Czy program posiada tak zwany kill switch? Przez to wpadł jeden z administratorów Wall Street Marketu.
DNS leak to sytuacja kiedy zapytania do serwera DNS nie są wysyłane przez łącze VPN. Możesz mieć wtedy złudne poczucie anonimowości. Ruch jest zaszyfrowany, ale widać z jakimi stronami próbujesz się połączyć dzięki zapytaniom do serwera DNS.
Sieć TOR również jest narażona na pewne ataki. Twój usługodawca Internetu nie wie co robisz używając TORa. Ale wie, że korzystasz z tego narzędzia. Tak wpadł Eldo Kim - student Harvardu, który doprowadził do ewakuacji uczelni. Pogróżki wysyłał przy pomocy TORa, będąc równocześnie podłączonym do uczelnianej sieci WIFI. W momencie otrzymania maila, administratorzy sprawdzili, że tylko on korzystał wtedy z anonimowej sieci. Stał się pierwszym podejrzanym. Służby nie miały twardych dowodów, ale student przyznał się do zarzucanych mu czynów podczas przesłuchania.

Więcej o opowiadam w filmie: Informatyka śledcza.

PS. Jeśli materiał Ci się spodobał - tutaj link do Wykopu.

Jeśli interesujesz się bezpieczeństwem - sprawdź mój zbiór stron powiązanych z security i newsletter.

#technologia #nauka #ciekawostki #informatyka #gruparatowaniapoziomu #nauka
  • 100
Listę odwiedzanych stron można odczytać nie tylko na podstawie ciasteczek czy historii przeglądarki, ale także za pomocą plików tymczasowych. Jeśli używasz Chrome'a możesz użyć programu ChromeCacheView.


@KacperSzurek: a jeśli ktoś wejdzie w ustawienia i zaznaczy, ze chce skasować zarówno ciasteczka, historię jak i cache to jest jeszcze w cmd ipconfig /displaydns
Chyba jestem bezpieczny .
Jedyne co z opisywanych rzeczy udało mi się wyciągnąć to lista poleceń powershella i lista urządzeń USB , reszta nie wyciągnęła z mojego systemu żadnych istotnych informacji xD

Z resztą żeby dostać się do mojego systemu ktoś najpierw musiał by złamać szyfrowanie VeraCrypt-em (albo pójść na skróty i przewiercić mi kolana)
@melatonin2803:

Mistrzu a czy dasz taki spis ale ale jak to wszystko ukryć w cholerę ? Powiedzmy psy mi jutro wjeżdżają i bym chciał zablokować kompa da radę czy zostanę format ?


Najlepiej chyba mieć zaszyfrowany dysk Veracryptem z opcją hidden volume. Działa to na takiej samej zasadzie jak w sprzętowych portfelach kryptowalutowych, tj. masz 2 hasła. Jak wpiszesz hasło X, to logujesz się do swojego systemu. Jak wpiszesz hasło Y,
Pytanie, czy i jakie dane google udostępni na żądanie policji. Całkiem możliwe, że na swoich serwerach i tak wszystko trzyma.


@NieBendePrasowac: google nie jest skłonny za bardzo do udostępniania danych polskiemu wymiarowi sprawiedliwości. Dane o które występuje nasz wymiar musza też być penalizowane w USA.

specjalistów z KGP,


@asperger15k: że kogo? Żarty się Ciebie trzymają.

@Fonzie: a po co tak się spinasz? Zaszyfrowany dysk, logowanie tylko za pomocą klucza
Hashtag #od0dopentestera ma się nijak do nagłówka o informatyce śledczej. Pentester jest stricte związany z cybersecurity, tj. ze znajdowaniem podatności w rozwiązaniach IT. Zaś informatyka śledcza to dziedzina ultra niszowa i słabo płatna, bo wykorzystywana głównie przez budżetówkę (organy ścigania), w celu pozyskiwania dowodów w procesach dochodzeniowo-śledczych, sądowych - wiążą się z tym określone procedury zabezpieczania sprzętu (np. wyłączenie komputera poprzez wyciągnięcie wtyczki zamiast zamykania go z poziomu systemu, blokery WE/WY na
@Fonzie: widzisz VC zaszyfrujesz określone zasoby. Da się grzebać po logach, plikach temp i szukać czegoś.
Klucz 2FA (koszt ok 200PLN) i zaszyfrowany dysk to sytuacja w której nawet nie zajrzą do zawartości komputera.

Szyfrowanie uniemożliwia boot z obcego nośnika i przejrzenie zawartości. 2FA blokuje możliwość zalogowania nawet jeżeli znasz login i hasło.
Taka kombinacja to nie tylko naszych "speców" kładzie ale i także światowych. Po prostu koszt uzyskania dostępu jest
@Bad_Wolf: Jak ktoś ma się zajmować terroryzmem to odpali system z płyty cd/DVD i załaduje to do ramu żeby chodziło normalnie, w sumie to te rzeczy wypisane przez opa to śledczy mogą odczytać u wykopka który grozi śmiercią Jarkowi
Najlepiej chyba mieć zaszyfrowany dysk Veracryptem z opcją hidden volume. Działa to na takiej samej zasadzie jak w sprzętowych portfelach kryptowalutowych, tj. masz 2 hasła. Jak wpiszesz hasło X, to logujesz się do swojego systemu. Jak wpiszesz hasło Y, to logujesz się do osobnego systemu, na którym nie ma nic podejrzanego. Jak służby wymuszą podanie hasła do veracrypta, to podajesz Y.


@Kliko: A jak to się ma do wielkości kontenera/partycji? Bo