Что скрывают ярлыки?

Как гласят толковые словари, форенсика - современная наука о раскрытии инцидентов, связанных с компьютерной информацией, исследовании цифровых доказательств, методах поиска, получения и закрепления таких доказательств. И действительно, невероятно сложно удалить все следы работы за компьютером, чтобы профессионал не смог их обнаружить. Сегодня я покажу вам, что скрывают такие, на первый взгляд, безобидные объекты, как ярлыки недавно открытых документов.

При открытии любого файла, будь то электронная книга, текст или изображение, ссылка на него сохраняется в списке недавних документов в виде LNK-файла. Эти файлы находятся на системном диске в папке C:\Users\{пользователь}\AppData\Roaming\Microsoft\Windows\Recent. Давайте посмотрим, какая информация в них записана. Для исследования нам потребуется бесплатная программа Windows File Analyzer.


Запускаем программу, в меню инструментов выбираем "Analyze Shortcuts". Windows File Analyzer автоматически выбирает папку с ярлыками недавних документов, но вы можете выбрать нужный вам путь. Через пару секунд в списке появляется вся информация, которая содержится во всех просканированных LNK-файлах.


Как вы видите, в ярлыках записывается информация о дате и времени доступа к файлам, размер документа с точностью до байта, тип диска, с которого был открыт документ, метка и серийный номер диска, а также MAC-адрес удаленного ресурса, если документ был открыт по сети.


Теперь давайте представим ситуацию, что сидя за вашим компьютером, кто-то открыл со своей флешки некий документ, поработал с ним и ушел. Требуется доказать, что это был именно тот человек. В списке ярлыков у нас осталась метка тома флешки и ее серийный номер. С помощью сотрудников безопасности просим у подозреваемого предъявить флешку, затем самой обычной командой dir выводим список файлов. Что мы видим? Совпадает время доступа к папке на флешке и время работы с файлом, сохраненное в ярлыке. Совпадает метка тома (точнее, ее отсутствие) и серийный номер тома с данными из ярлыка. Таким образом, с очень большой долей вероятности можно предположить, что именно эта флешка была воткнута в ваш компьютер в указанное время. Аналогично определяется и MAC-адрес сетевого ресурса, если документ был открыт с другого компьютера.

Конечно, можно заморочиться, очистить историю документов или другими способами удалить ярлыки, низкоуровнево отформатировать флешку, поменять серийный номер тома или время доступа к файлам, еще как-нибудь замести следы. Но как и в любой экспертизе, в форенсике имеется достаточно других методов получения информации. Все зависит от заинтересованности заказчика и объема ресурсов, выделенных на расследование.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.