Win-UFO v5.6 Update

Win-UFO v6.0 is out

 

Quelle: http://win-ufo.org/downloads.shtml

Bilder: kopiert aus dem Manuel

WIN-UFO
Windows Ultimate Forensics Outflow

DOWNLOAD: Win-UFO v5.6 Update
DATE: 01/15/2015
SIZE: 14.9 MB
LICENSE: Freeware
MD5 SUM:
d9e93ebb9f24d55db1150396cd67f3a1
SHA1 SUM:
8751ac4d54641e2987d732ec5584028ee4997611

Dieses Projekt hat die einschlägigen Tools unter einer Oberfläche zusammen gefasst.  Es kann ein automatisierter Bericht erstellt werden in dem alle Schritte auf dem Live-System protokolliert werden. Die Registry kann im laufenden Betrieb gesichert werden und natürlich kann auch ein RAM Dump erstellt werden. EDD ist ebenfalls vorhanden, sowie FTK-Imager. Insbesondere zum Einsatz in der virtuellen Maschine können auch von SB wertvolle erste Infos des Systems erlangt werden. Das Update setzt natürlich eine vorhandene Vollversion voraus.

Caseerstellung

Caseerstellung

 

 

Beispiel aus einer älteren Version

Beispiel aus einer älteren Version

 

 

DEFT Zero (beta) ready for download

VirtualBox 4.3.20 und M$ Windows 8.1 (GPT)…

Als ich die Changelogs gelesen habe, habe ich es nicht geglaubt/beachtet (wie oft wurde es schon behauptet und hat nie funktioniert)!

Erst, als mir ein entsprechendes Ticket (comment:12) dazu vor die Augen gekommen ist, habe ich es doch nochmal versucht:

VirtualBox unter Debian GNU/Linux 7.7 aktualisiert (selbstverständlich aus dem VirtualBox-Repository), per xmount ein EWF-Image (.E01) als RAW-Image zur Verfügung gestellt, mich als Datenträger für einen für heutige Desktops eher unüblichen entschieden (IDE – damit erübrigt sich seit M$ Windows 8 das bearbeiten der Registry) und gestartet.

Und siehe da, es funktioniert! 🙂

Arsenal Image Mounter Virtualisierung von E01 Imagen

Update vorhanden!

Seit dem Erscheinen von Arsenal Image Mounter gibt es eine weitere Möglichkeit ein E01 Image zu virtualisieren und gleichzeitig eine .vmdk zu erstellen, die nicht mehr auf das Image angewiesen ist. In diesem Beispiel wurde ein Win 8.1 Image verwendet.

Benötigte Software:

Arsenal Image Mounter: http://arsenalrecon.com/apps/image-mounter/

Paragon Virtualisierungstool z.B. Go Virtual 14 ( oder ähnliche Software, hier Kosten: 16,00 Euro)

https://www.paragon-software.de/de/home/go-virtual/

Installieren von AIM. Hierbei wird jetzt ein zusätzlicher SCSI-Treiber installiert, der die Besonderheit von dem Tool ausmacht.

Mit Admin-Rechten die „MountTool.exe starten.

aim1

Für gesplittete E01 Image ist diese Auswahl zu treffen.

Das Image wird „writeable“ eingebunden.

aim3

Der Mounter hängt immer sowohl logisch, als auch physikalisch ein.

Wie aber auch zu erkennen ist, wird das Image als Datenträger unter der Systemverwaltung von Windows erkannt.

aim5

Dies ist der entscheidende Unterschied zu FTK-Imager, weil jetzt auch andere Programme den Datenträger interpretieren können.

Weiterer Effekt ist, dass z.B. beim logischen Mounten von einem Bitlocker-Laufwerk eine Abfrage zum Eingeben des Schlüssels gemacht wird. Sehr interessant für XWays-User.

aim4

Paragon Go Virtual 14 starten.

Hier ist das Image als Arsenal Virtual Device auszuwählen, einschließlich aller Partitionen

para2

Durch die wenigen Einstellungen klicken.

Das Image wird jetzt virtualisiert.

Eine .vmdk wird geschrieben.

Eine .vmx wird geschrieben und angepasst.

para6

Damit ist die VM laufbereit.

Wir müssen jetzt nur noch die VM an unsere Bedürfnisse anpassen:

Netzwerk trennen

Tools instalieren

Benutzer zurücksetzen

etc.

 

vmx_win81

Also gar nicht schlecht diese Variante. Bei einem sehr großen Image, welches nur von uns selbst virtuell ausgewertet werden soll, bietet es sich an, das Image nur einzuhängen und die .vmx selbst zu verändern, um die VM lauffähig zu machen.

Festplatte in VirtualBox nachträglich vergrößern

Ouelle:

http://www.tecchannel.de/storage/tipps/2039511/festplatte_in_virtualbox_nachtraeglich_vergroessern/

Häufig reservieren Anwender beim Erstellen einer virtuellen Maschine zu wenig Kapazität für die Festplatte. Die spätere Anpassung in Oracles VirtualBox ist nicht so komfortabel wie bei den Konkurrenzprodukten von VMware. Unser Tipp zeigt, wie es auf der Kommandozeile funktioniert.
Lösung: Um die virtuelle Festplatte zu vergrößern, benötigt man das mit VirtualBox installierte Tool VBoxManage. Nachdem man die virtuelle Maschine ausgeschaltet hat,muss man unter Windows die Eingabeaufforderung beziehungsweise ein Terminal unter Linux öffnen.

Das Tool versteht verschiedene Parameter, um die Festplattengröße zu ändern. Im Programmverzeichnis von VirtualBox ruft man nun den folgenden Befehl auf:

VBoxManage.exe modifyhd <Pfad zur VDI-Datei> –resize <Größe in Megabyte>
Es sei hier angemerkt, dass dadurch nur die virtuelle Größe geändert wird, dh. ich habe mehr Platz für zukünftige Installationen. Die physikalische Belegung von Festplattenplatz entspricht auch weiterhin der tatsächlichen Belegung.
Dies wäre dann ein Beispiel für den kompletten Befeh lauf eine Vergrößerung auf 50 GB:

C:\Program Files\Oracle\VirtualBox>VBoxManage.exe modifyhd D:\MASCHINEN\VirtualB
oxClients\Win8.1_privat\Win8.1_privat.vdi –resize 50000

 

Moral von der Geschicht………geizt mit virtuellen Speicher nicht.

 

Arbeitsspeicheranalyse (ein möglicher Einstieg)…

Als ich die sinnvollen von den sinnfreien Twitter-Beiträgen getrennt habe, ist mir folgender Mitschnitt einer Präsentation über Volatility (von einem Projektmitglied) ins Auge gefallen.

Ich finde, es ist ein angenehmer (wenn man nur liest) und doch recht kompletter (wenn man auch zuhört) Einstieg in das „Wann und warum macht es Sinn, den Arbeitsspeicher zu analysieren“.

Viel Spaß beim konsumieren!

Wenn Malware sich analysiert fühlt…

Hier wird recht einfach und verständlich aufgezeigt, wie schlau Malware „von heute“ doch sein kann.

Wie man etwas dagegen tun kann, hat u. a. Michael Boman in seinem Blog geschrieben. Zieht man „Tante Google“ zu Rate, erschlagen einen förmlich die Tipps!

Und bei einem abschließendem Test könnte folgendes Projekt eine große Hilfe sein: Paranoider Fisch!?

Besonders sinnvoll ist ein solches „härten“ insb. in Bezug auf automatisierte Malware-Analyse z. B. per Cuckoo.

Happy hackin‘!

OS X Yosemite mit Paldin Edge bootbar

Am 15.10.2014 wurde OS X Version 10.10. veröffentlicht

Die gute Nachricht dazu, es ist auch mit Paladin Edge bootbar, die Vorgängerversion Paladin 5.02 funktioniert nicht. Diese Aussagen beziehen sich auf die von mir getestete Hardware:

MacBookPro7,1 und iMac12,2

 

http://sumuri.com/product-category/paladin/

Um „Edge“ auf einen USB-Stick zu bekommen, benutze ich, wie auch für alle anderen Live-Systeme die Software Rufus http://rufus.akeo.ie/

Der Vorteil von diesem System liegt in der sehr schnellen Kopiergeschwindigkeit und Zuverlässigkeit der Bootfähigkeit. Es gibt natürlich auch noch diverse andere Möglichkeiten einen Stick zu erstellen. Diese Anleitung wurde mit einem MacBookPro7,1 und einem  iMac12,2 getestet.Nach dem download von „Rufus“, mitlerweile in der Version 1.4.10 verfügbar, braucht es nur noch einen kompatiblen Stick. Meine Versuche waren mit Sandisk und Sharkoon erfolgreich.

rufus

Screenshot Rufus hier noch Vers. 1.4.9.506

Wie hier zu erkennen ist, konnte eine autorun.inf nicht erstellt werden. Das lässt sich umgehen, indem der Virenscanner beim Erstellen ausgestellt wird.

Nach dem wirklich sehr schnellen Kopiervorgang von 49 Sec. ,war es dass schon. Stick auswerfen, MacBook in den Bootmanager starten. Das erreicht Ihr mit dedrückter „Alt-Taste“ beim Starten. Jetzt nur den Stick auswählen und „Edge“ mit der richtigen KeyMap starten.

start_mac

MacBookPro7,1 mit SSD

edge_sreen

Paladin Edge Screenshot MacBook

Die Sicherung sollte dann am schnellsten über das Netzwerk funktionieren. Details dazu und noch ein paar nette Funktionen von Paladin, gibts beim „Virtualisierungslehrgang“.

Rollup Pack für Windows 8.1 legt VMware Workstation lahm

Ouelle: http://heise.de/-2426962

Wie auf heise.de berichtet wird: Das optionale Oktober-Rollup-Pack für Windows 8.1, das Microsoft über Windows Update verteilt, sorgt dafür, dass VMware 10 keine virtuellen Maschinen mehr starten kann.

Dies kann unmittelbare Folgen bei einer Image-Virtualisierung von 8.1 haben. Ob dieser Bug nur in der Vers. 10 von VmWare ist oder auch die Vers.9 betrifft, werden wir spätestens beim „Virtualisierungslehrgang“ testen.

UPDATE: 29.10.2014

VmWare Vers. 10 ist raus, d.h. es wird von mir bei der Virtualisierung von E01 Image nicht mehr verwendet. Ich arbeite nur noch mit der Vers. 9, da ein RW Mapping mit der Vers. 10 nicht möglich ist. Abzuwarten wäre dann die Version 11, die ab Dezember 2014 erscheint. Die Version 9.xx kann übrigens auch Win 8.1 verarbeiten.