將此篇文章跟 Facebook 上的朋友分享將此篇文章跟 Plurk 上的朋友分享將此篇文章跟 Twitter 上的朋友分享列印轉寄
2018/8/21

APEC公定隱私個資保護體制 企業自律申驗取跨國標章

數位鑑識工具仍有極限 從非技術面突破技術盲點

Pieces0310
數位鑑識工具或有其侷限,加上智慧型犯罪手法通常也有滅證的成份在其中,鑑識人員在面對種種困難之時,仍須不畏艱難挑戰,不排除任何的可能性,掌握稍縱即逝的取證契機,唯有如此,才能順利地將所有參與犯行的不法之徒一網打盡。
話說軍方高層懷疑任職於某情報單位的S中校,已被對岸吸收且為其蒐集重要情資以獲取高額報酬。對S中校開始起疑是肇因於近年來該單位的部分計畫似已被對岸掌握,且巧合的是這些計畫S中校皆有參與其中,加上S中校妻子名下的帳戶陸續有大量金額匯入,令調查人員覺得十分可疑,因此將S中校列為重大懷疑對象之一。根據目前調查出的事證顯示,S中校涉嫌洩露軍機情節重大,因此決定收網以將相關涉案者一網打盡。

幹員們在登門之際,S中校並未立刻開門,約莫數分鐘之後才開門讓幹員入內,只見S中校從容不迫,似已做好準備接下來會發生的事。幹員們隨即表明來意並將其逮捕,連同處於開機狀態的筆電,手機等相關證物一併扣下帶回調查。

專案小組根據當時的現場狀況,研判S中校當時可能正在書房裡進行滅證。鑑識團隊便火速針對S中校所使用的筆電進行鑑識分析,令人感到訝異的是,筆電中除了一般的個人文件如讀書心得、日常開銷記錄之外,初步未發現所謂的機密情資。而在訊問過程中,S中校一派從容,矢口否認為對岸蒐集情資,始終堅稱自己是清白的,專案小組不敢大意,認為S中校是個心思縝密的智慧型罪犯,要格外小心應付才行。

找到一個執行檔但所有檔案已被刪除

當R一聽到在S中校的筆電未發現任何重要軍機時,便研判筆電裡應該還留存著滅證的相關跡證才是,便趕忙過來支援。果不其然,R在程式執行痕跡之中有了發現,這裡頭所記錄的資訊包含了運行過的執行檔名稱及其路徑,以及執行的頻繁程度等重要線索,據此便可查看當中是否有與案情相關的可疑執行檔,一個名為rm.exe的執行檔引起了R的注意,如圖1所示。


▲圖1 筆電內找到一個名為rm.exe的執行檔。


經檢視此檔案的內容屬性,其描述為「Secure file delete」,如圖2所示。R已猜到它本來的檔案名稱了,看來S中校的確在筆電裡動了些手腳。


▲圖2 rm.exe執行檔內容的描述為Secure file delete。


將該檔案匯出並於工作站上進行模擬測試,在DOS模式下執行得知其確為SDelete,如圖3所示,此即一款可以徹底刪除檔案的工具。


▲圖3 該檔案在DOS模式下執行得知其為SDelete。


R研判rm.exe即為S中校用以滅證的工具,即便筆電中確有發現可疑檔案的存取痕跡,也因檔案內容遭到抹除(Wipe),導致原有內容已被0值填充覆蓋,如圖4所示,便無法判斷該檔案是否與軍機有所關聯。


▲圖4 原有內容已被0值填充覆蓋。


機密檔案可能已上傳至百度網盤

R料定S中校在刪除機密檔案之前,必然早已經做好相關處理,才會放膽將其全數徹底刪除,不然的話,費盡千辛萬苦到手的軍機不就白白浪費。為了有效獲得更多線索,R便將證物映像檔進行活化(Bootup),以動態分析的方式來觀察S中校的筆電中還隱藏著什麼秘密。順利登入桌面後,一個畫面引起了R的注意,如圖5所示。


▲圖5 順利登入桌面後,出現百度網盤畫面。


這篇文章讓你覺得滿意不滿意
送出
相關文章
針對無人機做數位鑑識 萃取飛控序列號各式跡證
揮發性記憶體藏細節 找出帳密遏止數位犯罪
暗網深藏犯罪淵藪 TOR鑑識剝開洋蔥網路
MulVAL自動生成攻擊圖 安全弱點全面評估補強
行動鑑識雲端硬碟跡證 還原App遺留於手機資料
留言
顯示暱稱:
留言內容:
送出