incibe_toma_evidencias_analisis_forense

Recommendations

Info

5.3.4.13. Software instalado.Ilustración 23: Ficheros abiertos recientementeWindows almacena en el registro el listado del software instalado junto con su información.Para exportar esta información se debe ejecutar la siguiente instrucción:reg export"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall""SoftwareInstalado-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.reg"5.3.5. ContraseñasEn ciertos incidentes puede resultar muy útil conocer los diferentes nombres de usuario ycontraseñas almacenadas en el equipo, así que es recomendable su recopilación siempre ycuando se haya obtenido previamente una autorización expresa, y se traten de acuerdo a lalegislación vigente sobre protección de datos.Existen multitud de contraseñas que pueden estar almacenadas en el equipo, de diferentesservicios como correo electrónico, banca online, servicios de compra-venta, etc. y un grannúmero de programas para recopilarlas. A continuación se indican una selección de los máshabituales:Toma de <strong>evidencias</strong> en entornos Windows 48
• WebBrowserPassView 39 : Recopila las contraseñas almacenadas en los principalesnavegadores: Internet Explorer (Versión 4.0 - 10.0), Mozilla Firefox (todas las versiones),Google Chrome, Safari, y Opera.WebBrowserPassView /stab "ContraseñasNavegadores-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"• Network Password Recovery 40 : Recopila las contraseñas correspondientes a losrecursos de red a los que está conectado el usuario actual.Netpass /stab "NetworkPasswordRecovery-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"• Mail PassView 41 : Recopila las contraseñas de los principales gestores de correo.mailpv /stab "MailPassView-%date:~6,4%%date:~3,2%%date:~0,2%-%time:~0,2%%time:~3,2%.txt"5.3.6. Información cacheada en los navegadores (direcciones, historial dedescargas)• En el caso de Google Chrome se debe copiar el fichero Web data mediante el siguientecomando:Windows XPcopy %UserProfile%\Configuracion local\Datos deprograma\Google\Chrome\User Data\Default\Web Data WebDataWindows 7/8copy %UserProfile%\AppData\Local\Google\Chrome\User Data\Default\WebData WebDataDicho fichero corresponde a una base de datos en formato SQLITE que puede ser visualizadamediante diferentes utilidades como SQLite Database Browser 42 . En el propio directorio esposible localizar diferentes ficheros que almacenan información como los marcadores o elhistorial, entre otros, por lo que puede resultar interesante realizar una copia completa delmismo dependiendo del incidente.• En el caso de Mozilla Firefox se debe copiar el fichero formhistory.sqlite mediante elsiguiente comando:Windows XP39http://www.nirsoft.net/utils/web_browser_password.html40http://www.nirsoft.net/utils/network_password_recovery.html41http://www.nirsoft.net/utils/mailpv.html42http://sourceforge.net/projects/sqlitebrowser/Toma de <strong>evidencias</strong> en entornos Windows 49
Page 2 and 3: AutorAsier Martínez RetenagaEsta g
Page 5 and 6: ANEXO 1 - PERSONAS DE CONTACTO 72AN
Page 7 and 8: 2 INTRODUCCIÓN AL ANÁLISIS FORENS
Page 9 and 10: 2.3. CARACTERÍSTICASEl procedimien
Page 11 and 12: Tráfico de red. Procesos del
Page 13 and 14: 3 TIPOLOGÍAS DE UN INCIDENTEExiste
Page 15 and 16: • Propiedad intelectual: La vulne
Page 17 and 18: 4.1.2. Acciones que deben evitarseS
Page 19 and 20: 4.5. CONCLUSIONESA la hora de reali
Page 21 and 22: contrastados con el fin de que ases
Page 23 and 24: por ello que, como indica el RFC 32
Page 25 and 26: ordenador, si es uno de sobremesa,
Page 27 and 28: paginación, por lo que la persona
Page 29 and 30: PsServiceVolatilityhttp://technet.m
Page 31 and 32: Ilustración 8: Conexiones NetBIOS
Page 33 and 34: 5.3.3.7. Tráfico de redIlustració
Page 35 and 36: En algunos de los correos se observ
Page 37 and 38: eg export "HKEY_LOCAL_MACHINE\Syste
Page 39 and 40: Ilustración 16: Listado de redes W
Page 42 and 43: Un caso práctico corresponde a un
Page 44 and 45: O bien, ejecutar el siguiente archi
Page 46 and 47: MUICacheViewhttp://www.nirsoft.net/
Page 50 and 51: copy %UserProfile%\Configuracion lo
Page 52 and 53: para infectar a un gran número de
Page 54 and 55: EDD.exe > "VolumenesEncriptados-%da
Page 56 and 57: WinDDClonezillaOSFClonehttp://sourc
Page 58 and 59: En los tres casos descritos, indepe
Page 60 and 61: %WinDir%\system32\spool\printers ca
Page 62 and 63: 5.4.8.4. Otros logsExisten otra ser
Page 64 and 65: Ilustración 30: Estructura de los
Page 66 and 67: En el caso de Windows 7/8, dentro d
Page 68 and 69: 6 RESUMENComo se ha indicado al pri
Page 70 and 71: 8 REFERENCIAS[1] Using IOC (Indicat
Page 72 and 73: ANEXO 1 - PERSONAS DE CONTACTONúme
Page 74 and 75: PERSONAS DE CONTACTOListado de pers
Page 76 and 77: ___________________________________
Page 78 and 79: ÍNDICE DE ILUSTRACIONESIlustració
Page 80: ÍNDICE DE TABLASTabla 1: Listado d

incibe_toma_evidencias_analisis_forense

Create successful ePaper yourself

Delete template?

Save as template?