incibe_toma_evidencias_analisis_forense

Recommendations

Info

perteneciente a alguna botnet, es recomendable redirigir eltráfico del equipo a una vlan aislada sin salida a Internet.Un caso práctico corresponde a un equipo en el que el acceso a internet funcionaba conextrema lentitud y se realizó una captura del tráfico de red. En un posterior análisis se observóla Ilustración 13:Ilustración 13: Envío masivo de SpamEl equipo enviaba masivamente emails de spam como la Ilustración 14:Ilustración 14: Email de SpamToma de evidencias en entornos Windows 34
En algunos de los correos se observó que se adjuntaba un fichero con nombre newbos3.exeque correspondía a un malware catalogado como Adware/SystemTool.5.3.4. Registro de WindowsEl registro almacena información de gran interés para un investigador forense (programas quese cargan al iniciar el equipo, perfiles de usuario, configuraciones de acceso a redesinalámbricas, histórico de dispositivos USB conectados al equipo, etc.) por lo que es necesariorealizar una copia del mismo para su posterior análisis.En la siguiente tabla se pueden visualizar las claves de registro junto con la información quecontienen.Tabla 2: Entradas del registro e información que contienen [9].Clave de registro Abreviatura Información que contieneHKEY_CLASSES_ROOTHKEY_CURRENT_USERHKEY_LOCAL_MACHINEHKEY_USERSHKEY_CURRENT_CONFIGHKCRHKCUHKMLHKUHKCCGarantiza que cuando abra unarchivo con el Explorador deWindows se abrirá el programacorrecto.Configuración del usuario que hainiciado sesión.Información de configuraciónespecífica del equipo (para cualquierusuario).Perfiles de usuario cargadosactivamente en el equipo.Información acerca del perfil dehardware que utiliza el equipo localcuando se inicia el sistema.Para exportarlas se deben ejecutar las siguientes instrucciones (Estructura: reg exportClave\Subclave fichero):reg export HKEY_CLASSES_ROOT "HKCR-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"reg export HKEY_CURRENT_USER "HKCU-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"reg export HKEY_LOCAL_MACHINE "HKLM-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"reg export HKEY_USERS "HKU-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"reg export HKEY_CURRENT_CONFIG "HKCC-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"Toma de evidencias en entornos Windows 35
Page 2 and 3: AutorAsier Martínez RetenagaEsta g
Page 5 and 6: ANEXO 1 - PERSONAS DE CONTACTO 72AN
Page 7 and 8: 2 INTRODUCCIÓN AL ANÁLISIS FORENS
Page 9 and 10: 2.3. CARACTERÍSTICASEl procedimien
Page 11 and 12: Tráfico de red. Procesos del
Page 13 and 14: 3 TIPOLOGÍAS DE UN INCIDENTEExiste
Page 15 and 16: • Propiedad intelectual: La vulne
Page 17 and 18: 4.1.2. Acciones que deben evitarseS
Page 19 and 20: 4.5. CONCLUSIONESA la hora de reali
Page 21 and 22: contrastados con el fin de que ases
Page 23 and 24: por ello que, como indica el RFC 32
Page 25 and 26: ordenador, si es uno de sobremesa,
Page 27 and 28: paginación, por lo que la persona
Page 29 and 30: PsServiceVolatilityhttp://technet.m
Page 31 and 32: Ilustración 8: Conexiones NetBIOS
Page 33: 5.3.3.7. Tráfico de redIlustració
Page 37 and 38: eg export "HKEY_LOCAL_MACHINE\Syste
Page 39 and 40: Ilustración 16: Listado de redes W
Page 42 and 43: Un caso práctico corresponde a un
Page 44 and 45: O bien, ejecutar el siguiente archi
Page 46 and 47: MUICacheViewhttp://www.nirsoft.net/
Page 48 and 49: 5.3.4.13. Software instalado.Ilustr
Page 50 and 51: copy %UserProfile%\Configuracion lo
Page 52 and 53: para infectar a un gran número de
Page 54 and 55: EDD.exe > "VolumenesEncriptados-%da
Page 56 and 57: WinDDClonezillaOSFClonehttp://sourc
Page 58 and 59: En los tres casos descritos, indepe
Page 60 and 61: %WinDir%\system32\spool\printers ca
Page 62 and 63: 5.4.8.4. Otros logsExisten otra ser
Page 64 and 65: Ilustración 30: Estructura de los
Page 66 and 67: En el caso de Windows 7/8, dentro d
Page 68 and 69: 6 RESUMENComo se ha indicado al pri
Page 70 and 71: 8 REFERENCIAS[1] Using IOC (Indicat
Page 72 and 73: ANEXO 1 - PERSONAS DE CONTACTONúme
Page 74 and 75: PERSONAS DE CONTACTOListado de pers
Page 76 and 77: ___________________________________
Page 78 and 79: ÍNDICE DE ILUSTRACIONESIlustració
Page 80: ÍNDICE DE TABLASTabla 1: Listado d

incibe_toma_evidencias_analisis_forense

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?