La clé du départ: les meilleurs logiciels et matériels pour la criminalistique informatique

Voici à quoi ressemblait une des cartes de visite d'Igor Mikhailov, spécialiste du Laboratoire de criminalistique informatique Group-IB. Sur celui-ci sont les clés matérielles des programmes que l'expert a utilisé lors de la conduite des examens médico-légaux. Le coût de ces logiciels dépasse à lui seul 2 millions de roubles, et il existe encore des logiciels gratuits et d'autres produits commerciaux. Quels outils choisir pour travailler? Surtout pour les lecteurs Habr, Igor Mikhailov a décidé de parler des meilleurs logiciels et matériels pour la criminalistique informatique.

L'auteur est Igor Mikhailov, spécialiste du Laboratoire de criminalistique informatique Group-IB.

Valise du cybercriminel

L'informatique judiciaire examine une grande variété d'appareils numériques et de sources de données. Au cours de la recherche, des logiciels et du matériel peuvent être utilisés - beaucoup d'entre eux sont chers. Toutes les entreprises, et encore moins un spécialiste individuel, ne peuvent pas se permettre de telles dépenses. Chez Group-IB, nous n'économisons pas sur les outils, ce qui nous permet de mener des recherches de manière efficace et efficiente.

Naturellement, la liste des programmes de mon classement est différente de celle globale. Cela est dû à la fois aux particularités régionales - par exemple, certains programmes étrangers ne peuvent pas extraire des données des messagers russes, et en général ils ne sont pas amis avec la langue russe (dans les tâches de recherche) - et aux restrictions à l'exportation, à cause desquelles les spécialistes russes ne sont pas en mesure d'utiliser le monde entier Arsenal d'outils similaires.

Médecine légale mobile, matériel

Cellebrite UFED Touch 2 est un produit initialement développé pour une utilisation sur le terrain. Conceptuellement divisé en deux parties:
· Tablette de marque Cellebrite UFED Touch 2 (ou UFED 4PC - logiciel analogique de Cellebrite UFED Touch 2 installé sur un ordinateur ou un ordinateur portable spécialisé): utilisé uniquement pour extraire des données
· UFED Physical Analyzer - une partie logicielle conçue pour analyser les données extraites des appareils mobiles.

Le concept d'utilisation de l'équipement suppose qu'en utilisant Cellebrite UFED Touch 2, un spécialiste extrait les données sur le terrain, puis les analyse en laboratoire à l'aide de l'analyseur physique UFED. En conséquence, la version de laboratoire est deux produits logiciels indépendants - UFED 4PC et UFED Physical Analyzer - installés sur l'ordinateur du chercheur. Aujourd'hui, ce complexe permet l'extraction de données depuis autant d'appareils mobiles que possible. Pendant l'analyse, une partie des données peut être perdue par le programme UFED Physical Analyzer. En effet, dans les nouvelles versions du programme, d'anciens bogues apparaissent périodiquement, qui semblent être corrigés, mais pour une raison quelconque, ils réapparaissent. Par conséquent, il est recommandé de contrôler l'exhaustivité de l'analyse des données effectuée par le programme UFED Physical Analyzer.

MSAB XRY / MSAB XRY Field est un analogue des produits Cellebrite développés par la société suédoise Micro Systemation. Contrairement au paradigme de Cellebrite, Micro Systemation suggère que dans la plupart des cas, leurs produits seront utilisés sur des ordinateurs de bureau ou des ordinateurs portables. Un concentrateur USB de marque, appelé «rondelle» sur l'argot, et un ensemble d'adaptateurs et de câbles de données pour connecter divers appareils mobiles sont attachés au produit vendu. La société propose également des versions de MSAB XRY Field et de MSAB XRY Kiosk - des produits matériels conçus pour extraire des données à partir d'appareils mobiles, mis en œuvre sous la forme d'une tablette et d'un kiosque. Ce produit est moins courant en Russie que les produits Cellebrite. MSAB XRY a fait ses preuves lors de la récupération de données à partir d'appareils mobiles hérités.

À partir d'un certain moment, les solutions matérielles pour le chip-off (une méthode d'extraction de données directement à partir de puces de mémoire d'appareils mobiles), développées par la société polonaise Rusolut, ont commencé à être populaires . En utilisant cet équipement, vous pouvez récupérer des données à partir d'appareils mobiles endommagés ou d'appareils verrouillés avec un code PIN ou un mot de passe graphique. Rusolut propose plusieurs ensembles d'adaptateurs pour extraire des données de certains modèles d'appareils mobiles. Par exemple, un ensemble d'adaptateurs pour extraire des données de puces de mémoire, principalement utilisé dans les "téléphones chinois". Cependant, l'utilisation généralisée par les fabricants d'appareils mobiles du cryptage des données utilisateur dans les modèles haut de gamme a conduit au fait que cet équipement perd progressivement de sa pertinence. Il est possible d'extraire des données de la puce de mémoire, mais ce sera sous forme cryptée, et leur décryptage est une tâche non triviale.

Médecine légale mobile, logiciels

En observant le développement de la médecine légale mobile, vous pouvez facilement voir qu'au fur et à mesure que la fonctionnalité des appareils mobiles se développait, des programmes pour leur analyse se développaient également. Si auparavant la personne menant l'enquête, ou un autre client, se contentait des données de l'annuaire téléphonique, des SMS, des MMS, des appels, des fichiers graphiques et vidéo, maintenant le spécialiste est invité à extraire plus de données. En plus de ce qui précède, en règle générale, vous devez extraire:

• données de programmes de messagerie
• e-mail
• Historique de navigation sur Internet
• données de géolocalisation
• fichiers supprimés et autres informations supprimées

Et cette liste ne cesse de s'allonger. Tous ces types d'artefacts peuvent être extraits avec le logiciel décrit ci-dessous.

Oxygen Forensic Suite : c'est aujourd'hui l'un des meilleurs programmes pour analyser les données extraites des appareils mobiles. Si vous souhaitez extraire la quantité maximale de données d'un appareil mobile, utilisez ce programme. Les visualiseurs intégrés des bases de données SQLite et des fichiers plist vous permettent d'examiner plus en détail des bases de données SQLite et des fichiers plist spécifiques manuellement.

Initialement, le programme a été développé pour être utilisé sur des ordinateurs, donc l'utiliser sur un netbook ou une tablette (appareils avec une taille d'écran de 13 pouces ou moins) sera inconfortable.

Une caractéristique du programme est la liaison étroite des chemins le long desquels les fichiers sont situés - bases de données d'application. Autrement dit, si la structure de la base de données d'une application reste la même, mais la façon dont la base de données est située dans l'appareil mobile a changé, Oxygen Forensic Suite ignorera simplement une telle base de données pendant l'analyse. Par conséquent, l'étude de ces bases de données devra être effectuée manuellement, à l'aide du fichier de Mobile Oxygen Forensic Suite et des utilitaires auxiliaires.

Les résultats d'une étude d'un appareil mobile dans le programme Oxygen Forensic Suite:


La tendance de ces dernières années est le "mélange" de la fonctionnalité des programmes. Ainsi, les fabricants traditionnellement engagés dans le développement de programmes pour la médecine légale mobile introduisent des fonctionnalités dans leurs produits qui leur permettent d'étudier les disques durs. Les fabricants de programmes médico-légaux axés sur l'étude des disques durs, leur ajoutent les fonctionnalités nécessaires à l'étude des appareils mobiles. Les deux ajoutent des fonctionnalités pour extraire les données du stockage cloud, etc. Le résultat est des «programmes d'abattage» polyvalents qui peuvent être utilisés pour analyser les appareils mobiles, analyser les disques durs, récupérer les données du stockage cloud et analyser les données extraites de toutes ces sources.

Dans notre classement des programmes de médecine légale mobile, ces programmes occupent les deux places suivantes: Magnet AXIOM - le programme de la société canadienne Magnet Forensics, et Belkasoft Evidence Center - le développement de la société de Saint-Pétersbourg Belkasoft. Ces programmes, en termes de fonctionnalité d'extraction de données à partir d'appareils mobiles, sont bien entendu inférieurs aux logiciels et matériels décrits ci-dessus. Mais ils font bien leur analyse et peuvent être utilisés pour contrôler l'exhaustivité de l'extraction de divers types d'artefacts. Les deux programmes développent activement et augmentent rapidement leurs fonctionnalités dans le domaine de la recherche sur les appareils mobiles.

Fenêtre de sélection de la source de données mobile AXIOM:



Résultats d'une étude d'un appareil mobile par Belkasoft Evidence Center:

Médecine légale informatique, verrous d'enregistrement matériel

Tableau T35U est un bloqueur matériel de tableau qui vous permet de connecter en toute sécurité les disques durs étudiés à l'ordinateur du chercheur via USB3. Ce verrou possède des connecteurs qui vous permettent de connecter des disques durs via des interfaces IDE et SATA (et, s'il y a des adaptateurs, des disques durs avec d'autres types d'interfaces). Une caractéristique de ce bloqueur est la possibilité d'émuler des opérations de lecture-écriture. Cela peut être utile lors de l'examen de lecteurs infectés par des logiciels malveillants.

Wiebitech Forensic UltraDock v5 est un bloqueur matériel CRU. Possède des fonctionnalités similaires au bloqueur Tableau T35U. De plus, ce verrou peut être associé à un ordinateur de chercheur via un plus grand nombre d'interfaces (en plus de l'USB3, le couplage via les interfaces eSATA et FireWire est également disponible). Si un disque dur est connecté à ce verrou, dont l'accès est limité par le mot de passe ATA, un message apparaîtra sur l'écran du verrou. De plus, lorsqu'un disque dur avec une zone de technologie DCO (Device Configuration Overlay) est connecté, cette zone sera automatiquement déverrouillée afin qu'un spécialiste puisse y copier les données.

Les deux verrous d'enregistrement utilisent la connexion de bus USB3 comme connexion principale, ce qui offre des conditions de travail confortables au chercheur lors du clonage et de l'analyse des supports de stockage.

Informatique légale, logiciels

Des vieillards pour des situations insolites

Il y a 15 ans, les leaders incontestés de l'expertise informatique étaient Encase Forensics et AccessData FTK . Leur fonctionnalité s'est naturellement complétée et a permis d'extraire le nombre maximum de différents types d'artefacts des appareils étudiés. De nos jours, ces projets sont des étrangers au marché. La fonctionnalité actuelle d'Encase Forensics est loin derrière les exigences logicielles actuelles pour la recherche d'ordinateurs et de serveurs exécutant Windows. L'utilisation d'Encase Forensics reste pertinente dans les cas «non standard»: lorsque vous devez examiner des ordinateurs exécutant Mac OS OC ou un serveur exécutant Linux, extrayez des données à partir de formats de fichiers rares. Le langage macro Ensripts intégré à Encase Forensics contient une énorme bibliothèque de scripts prêts à l'emploi mis en œuvre par le fabricant et les passionnés: à l'aide de ceux-ci, il est possible d'analyser un grand nombre de systèmes d'exploitation et de fichiers différents.

AccessData FTK essaie de maintenir la fonctionnalité du produit au niveau requis, mais le temps de traitement des disques dépasse considérablement le temps raisonnable qu'un spécialiste moyen peut se permettre de consacrer à une telle étude.

Caractéristiques AccessData FTK:

• recherche par mot clé de très haut niveau
• analyse de divers cas, permettant d'identifier les relations dans les appareils saisis pour divers cas
• la possibilité de personnaliser vous-même l'interface du programme
• prise en charge des formats de fichiers rares (tels que les bases de données Lotus Notes)

Encase Forensics et AccessData FTK peuvent gérer d'énormes quantités de données brutes, mesurées en centaines de téraoctets.

Jeune et grandissant

Le leader incontesté de la criminalistique informatique est Magnet Axiom . Le programme ne se développe pas seulement progressivement, mais couvre des segments entiers avec des fonctionnalités supplémentaires: recherche sur les appareils mobiles, récupération à partir du stockage dans le cloud, recherche sur les appareils exécutant le système d'exploitation MacOS, etc. Le programme dispose d'une interface pratique et fonctionnelle dans laquelle tout est à portée de main et peut être utilisé pour enquêter sur les incidents de sécurité des informations liés à une infection par un logiciel malveillant sur les ordinateurs ou les appareils mobiles ou sur les fuites de données.

L'analogue russe de Magnet AXIOM est Belkasoft Evidence Center . Belkasoft Evidence Center vous permet d'extraire et d'analyser les données des appareils mobiles, du stockage cloud et des disques durs. Lors de l'analyse des disques durs, il est possible d'extraire des données des navigateurs Web, des chats, des informations sur les services cloud, de détecter des fichiers et des partitions cryptés, d'extraire des fichiers par une extension donnée, des données de géolocalisation, des e-mails, des données des systèmes de paiement et des réseaux sociaux, des miniatures, des fichiers système , journaux système, etc. Il a une fonctionnalité personnalisable flexible pour récupérer des données à distance.

Avantages du programme:

• une large gamme d'artefacts récupérés à partir de divers supports de stockage
• bon visualiseur de base de données SQLite intégré
• collecte de données à partir d'ordinateurs et de serveurs distants
• fonctionnalité intégrée pour vérifier les fichiers détectés sur Virustotal

Le programme de base est vendu pour un montant relativement faible. D'autres modules qui étendent les fonctionnalités de Belkasoft Evidence Center peuvent être achetés séparément. En plus de la configuration de base, il est fortement recommandé d'acheter le module «Systèmes de fichiers», sans lequel travailler avec le support étudié n'est pas toujours pratique dans le programme.

Les inconvénients du programme sont l'interface peu pratique et la non-évidence de l'exécution des actions individuelles dans le programme. Pour utiliser le programme efficacement, vous devez suivre une formation appropriée.

La fenêtre principale du programme Belkasoft Evidence Center, qui affiche des statistiques sur les artefacts médico-légaux trouvés lors de l'examen d'un périphérique spécifique:


Progressivement, le marché russe conquiert X-Ways Forensics . Ce programme est un couteau suisse de médecine légale. Polyvalent, précis, fiable et compact. Une caractéristique du programme est la vitesse élevée du traitement des données (par rapport aux autres programmes de cette catégorie) et la fonctionnalité optimale qui couvre les besoins de base d'un spécialiste en informatique légale. Le programme dispose d'un mécanisme intégré pour minimiser les résultats faussement positifs. Autrement dit, le chercheur, lors de la récupération de fichiers à partir d'un disque dur de 100 Go, ne voit pas 1 To de fichiers récupérés (dont la plupart sont de faux résultats positifs, comme c'est généralement le cas lors de l'utilisation de programmes de récupération), à savoir les fichiers qui ont été réellement récupérés.

Avec X-Ways Forensics, vous pouvez:

• rechercher et analyser les données de courrier électronique
• analyser l'historique des navigateurs Web, les journaux du système d'exploitation Windows et d'autres artefacts du système
• filtrer les résultats, éliminer les inutiles, ne laisser que des éléments utiles et pertinents
• construire une chronologie et voir l'activité pendant la période d'intérêt
• reconstruire des raids (RAID)
• monter des disques virtuels
• rechercher les logiciels malveillants

Ce programme a fait ses preuves dans l'analyse manuelle des disques durs extraits des DVR. En utilisant la fonctionnalité X-Tension, il est possible de connecter des modules tiers dans le programme.

Inconvénients de X-Ways Forensics:

• interface ascétique
• absence d'une visionneuse de base de données SQLite intégrée complète
• la nécessité d'une étude approfondie du programme: la mise en œuvre de certaines actions nécessaires pour obtenir le résultat nécessaire à un spécialiste n'est pas toujours évidente

Récupération de données, matériel

Actuellement, un seul fabricant de tels équipements domine le marché russe - ACELab , qui produit du matériel pour l'analyse, le diagnostic et la récupération des disques durs (PC-3000 Express, PC-3000 Portable, PC-3000 UDMA, PC-3000 SAS) , Disques SSD (complexe SSD PC-3000), lecteurs flash (complexe Flash PC-3000), RAID (complexes RAID PC-3000 Express, RAID UDMA PC-3000, RAID SAS PC-3000). La prédominance d'ACELab sur le marché des solutions matérielles pour la récupération de données est due à la haute qualité des produits ci-dessus et à la politique de prix d'ACELab, qui ne permet pas aux concurrents d'entrer sur ce marché.

Récupération de données, logiciel

Malgré le grand nombre de programmes de récupération différents, à la fois payants et gratuits, il est très difficile de trouver un programme qui restaurerait correctement et entièrement différents types de fichiers dans une variété de systèmes de fichiers. À ce jour, il n'y a que deux programmes qui ont approximativement les mêmes fonctionnalités qui permettent cela: R-Studio et UFS Explorer . Des milliers de programmes de récupération d'autres fabricants n'atteignent pas les programmes spécifiés dans leurs capacités fonctionnelles ou leur sont nettement inférieurs.

Logiciels libres

L'autopsie est un outil pratique pour analyser les ordinateurs exécutant le système d'exploitation Windows et les appareils mobiles exécutant le système d'exploitation Android. Possède une interface graphique. Il peut être utilisé pour enquêter sur des incidents informatiques.

Photorec est l'un des meilleurs logiciels gratuits de récupération de données. Une bonne alternative gratuite aux homologues rémunérés.

Eric Zimmerman Tools - un ensemble d'utilitaires gratuits, dont chacun vous permet d'explorer un artefact Windows particulier. Comme le montre la pratique, l'utilisation des outils Eric Zimmerman augmente l'efficacité d'un spécialiste pour répondre à un incident sur le terrain. Actuellement, ces utilitaires sont disponibles sous forme de progiciel - Kroll Artifact Parser and Extractor (KAPE).

Distributions basées sur Linux

SIFT est une distribution Linux développée et soutenue par l'organisation commerciale SANS Institute, spécialisée dans la formation de professionnels de la cybersécurité et dans les enquêtes sur les incidents. SIFT contient un grand nombre de versions actuelles de programmes gratuits qui peuvent être utilisés à la fois pour extraire des données de diverses sources et pour les analyser. SIFT est utilisé dans le cadre de la formation en entreprise et son contenu est constamment mis à jour. , , .

Kali Linux – Linux-, , . 2017 «Packt Publishing» .. (Shiva V. N Parasram) «Digital Forensics with Kali Linux». , , , , , .

, . , , .

Group-IB , .

Telegram- (https://t.me/Group_IB) , , -. , Group-IB , , , .

Group-IB Instagram www.instagram.com/group_ib
Twitter twitter.com/GroupIB

Group-IB — , - .