Mot-clé : investigation

Encase Forensic 8 – sortie fin juin

Aujourd’hui, lors de la grand messe annuelle à Vegas, à laquelle je n’ai pas eu le plaisir d’assister cette année, Guidance Software a annoncé la sortie fin juin de la nouvelle version du logiciel d’investigation numérique Encase Forensic v8.

Parmi les améliorations, GSI a mis en avance une amélioration de la gestion des cas, du reporting, et aussi l’intégration d’une nouvelle fonctionnalité, les hashes du projet VIC, qui permettent de référencer, sur la base de signatures numériques les victimes mineures d’abus sexuels. De cette façon les investigateurs pourront se concentrer sur l’identification des victimes qui ne sont pas déjà connues.

Encase 8 intégrera également de nouvelles conditions, un support accru des artéfacts internet, et verra ses fonctionnalités de création de signets améliorée.

Extraction des données d’un Iphone sous Mac

iphoneVous avez peut être par le passé eu besoin d’extraire les données d’un Iphone sans disposer de logiciel spécifique pour le faire.

Sachez qu’il est possible d’extraire ces précieuses données à l’aide de logiciels gratuit ou/et open-source sous MAC ou windows, en préservant au mieux l’intégrité de la mémoire de l’Iphone.

Copie physique de disques sous Ubuntu

airLorsque l’on travaille dans le milieu du « computer forensic », une des étapes fondamentales est la copie des supports numériques de stockage. Il est en effet primordial de pouvoir copier des disques durs et des clés usb (entre autres) en assurant l’intégrité des données qui sont contenues sur ces supports. Il est essentiel que le support original ne fasse l’objet d’aucune modification pendant l’étape qui consiste à le dupliquer.

Analyse des logs Skype avec SkypeLogView

skypelogviewLes clients de messagerie instantanée sont maintenant devenus omni-présents sur les systèmes récents. La plupart des ordinateurs que j’ai eu l’occasion d’analyser récemment comptaient au moins un d’entre-eux installé (MSN, AIM, yahoo messenger …).

Un des plus utilisés à l’heure actuelle est skype, avec lequel l’utilisateur peut téléphoner, chatter de manière écrite, ou encore transmettre et recevoir des fichiers. Les communications s’effectuant par Skype étant chiffrées, les logs de ce logiciel peuvent revêtir une importance prépondérante pour l’investigateur numérique.

Disques non reconnus avec un bloqueur tableau

maxtor_200903101d6215

Si les disques SATA ne posent aucun problème avec les bloqueurs en écriture TABLEAU eSATA Forensic Bridge (T35es),  j’ai été confronté à plusieurs reprises, à des disques IDE non reconnus lors de l’examen des supports de stockage d’une machine.

J’ai d’abord cru à un problème de fonctionnement des disques en question. Mais quelques tests ont permis de mettre en évidence un fonctionnement un peu singulier des bloqueurs tableau.

En effet, certains disques durs IDE (de plusieurs marques différentes) ne sont pas vus par le bloqueur tableau T35es (Le voyant IDE detect ne s’affiche même pas). Il est important dans ce cas là, de vérifier le paramétrage du disque dur. Effectivement, le disque dur étant connecté seul sur la nappe du tableau, il pourrait paraître évident de le configurer en maître voire en esclave. Or, c’est justement ce point qui pose problème.