Fuga de información

[pic 1]

[pic 2]

Contenido

1. ¿Cuál es el hash (SHA1) de los dispositivos analizados?        4

2. ¿Qué sistema operativo tenía el equipo instalado? ¿En qué fecha y en qué hora se instaló? ¿Quién es el propietario del sistema?        4

3. ¿Cuál es el ajuste horario del equipo?        4

4. Enumere todas las cuentas de usuario del sistema (excepto las propias del Sistema Operativo como: Administrator, Guest, etc.)        4

5. ¿Quién fue el último usuario en iniciar sesión en el equipo?        4

6. ¿Cuándo fue la última fecha y hora de apagado del equipo?        5

7. ¿Cuál fue la última dirección IP asignada al equipo? ¿Se asignó por DHCP?        5

8. ¿Qué aplicaciones instaladas tenía el equipo?        5

9. ¿Qué navegadores de Internet se utilizaban?        6

10. ¿A qué sitios web se accedió y en qué hora?        6

11. ¿Qué búsquedas se realizaron a través de los buscadores de Internet?        7

12. ¿Qué búsquedas realizó el usuario a través de la barra de búsqueda del explorador de Windows?        7

13. ¿Qué aplicación utilizaba para el envío y la recepción de correos electrónicos?        8

14. ¿Qué cuentas de correo se encontraban configuradas?        8

15. ¿Qué dispositivos de almacenamiento externo se conectaron al equipo?        8

16. ¿Cuál es la dirección IP de la unidad de red compartida de la empresa?        8

17. Enumere todos los archivos que se abrieron en la unidad de red de la empresa.        8

18. Encuentre en el PC rastros relacionados con los servicios en la nube (nombre del servicio, archivos de registro...).        9

19. ¿Qué archivos se eliminaron de Google Drive? (Sugerencia: busca un archivo de registro de transacciones de Google Drive).        10

20. Identificar la información de la cuenta utilizada para sincronizar Google Drive.        10

21. ¿Qué software se utilizó para grabar el CD?        10

22. ¿Cuándo grabó el sospechoso el CD?        10

23. Identifique todas las marcas de tiempo relacionadas con un archivo de renuncia (en formato DOCX) en el escritorio de Windows.        10

24. ¿Cómo y cuándo imprimió el sospechoso un archivo de renuncia?        11

25. ¿Dónde se encuentran los archivos de la aplicación Sticky Note (notas)? Identifique las notas almacenadas.        11

26. ¿Qué acciones se llevaron a cabo para complicar el análisis forense del equipo el día 25 de marzo de 2015?        11

27. Recupere los archivos borrados de los USB. ¿Hay algún archivo de interés?        12

28. ¿Qué archivos se copiaron del PC a los USB?        12

29. Recupere los archivos ocultos del CD. ¿Hay algún archivo de interés?        12

30. Examine la papelera de reciclaje del PC ¿Hay algún archivo de interés?        12

1. ¿Cuál es el hash (SHA1) de los dispositivos analizados?

Se utilizó el FTK Imager para obtener los hash SHA1 de cada una de las imágenes que se entregaron:

[Computer] Cfreds_2015_data_leakage_pc.E01:         afe5c9ab487bd47a8a9856b1371c2384d44fd785

[USB 1]   Cfreds_2015_data_leakage_rm#1.E01:                f6bb840e98dd7c325af45539313fc3978fff812c

[USB 2]         cfreds_2015_data_leakage_rm#2.E01:                 048961a85ca3eced8cc73f1517442d31d4dca0a3

[CD]:        cfreds_2015_data_leakage_rm#3.E01:                471d3eedca9add872fc0708297284e1960ff44f8

2. ¿Qué sistema operativo tenía el equipo instalado? ¿En qué fecha y en qué hora se instaló? ¿Quién es el propietario del sistema?

Por medio de Autopsy, en los datos de artefactos generados, ítem “Operating System Information”, se identificó el Sistema Operativo el cual es “Windows 7 Ultimate Service Pack 1” del propietario “informant”. En la herramienta “Windows Registry Recovery” en la ruta SOFTWARE / “Windows Installation” igualmente se confirma la anterior información y se encuentra la fecha y hora de instalación la cual es el “22/03/2015 2:34:26 pm”.

3. ¿Cuál es el ajuste horario del equipo?

De Autopsy se descargó la carpeta Config de la ruta “Windows/System32”. Se instaló la herramienta “Windows Register Recovery” que permite leer los archivos de registro obtenidos; se cargó el archivo “SYSTEM” que se encontraba en la carpeta Config. Posterior, en la opción “Raw Data” en la ruta “ControlSet001/Control/TimeZoneInformation” se identificó la cadena “TimeZoneKeyName” con el valor “Eastern Standard Time” el cual corresponde al ajuste horario del equipo.

4. Enumere todas las cuentas de usuario del sistema (excepto las propias del Sistema Operativo como: Administrator, Guest, etc.)

En Autopsy, en los datos de artefactos generados, ítem “OS Accounts”, se identificaron las siguientes cuentas de usuario del sistema: Informant, Admin11, Temporary, ITechTeam.

5. ¿Quién fue el último usuario en iniciar sesión en el equipo?

En Autopsy, en los datos de artefactos generados, ítem “OS Accounts”, se analizaron los metadatos y se validó la información del “Last login” para lo cual, el último usuario en iniciar sesión fue “Informant” con fecha y hora del “2015-03-25 08:06:08 COT”.

...