следующая тема »

[Igor Michailov]

Документация по EnCase:
Путеводитель по языку EnScript.

http://computer-forensics-lab.org/forum/index.php

[Igor Michailov]

Forensic Assistant v1.0. Авторы - А.А. Бежин, И.Ю. Юрин.

Программа предназначена для поиска и анализа криминалистически значимой информации: баз программ обмена сообщениями (ICQ, &RQ, Trillian, QIP, Miranda), баз почтовых программ (Outlook, TheBat!, Mail.ru Agent), системных журналов, индексных файлов (index.dat), кэша программ-браузеров (Internet Explorer, Opera) и т.д. Результаты представляются в табличной форме, с возможностью экспорта в текстовый файл или файл программы Excel. Функционал программы постоянно пополняется.

В программу включены все возможности программы "IndexDatScan" и "File Decoder", в ближайшее время в программу будет перенесен функционал из программ "OLE2 Analyser" и "File Analyser".

Статус программы: распространяется на коммерческой основе, по вопросам приобретения обращаться в Центр (info@nhtcu.ru).


DeFacto v1.0.10. Авторы - В.Г. Коршунов (ООО "ИнфоБис"), И.Ю. Юрин.

Программа "DeFacto" предназначена для инвентаризации программного обеспечения, которое было проинсталлировано на НЖМД. При этом анализируются как программные файлы на диске, так и файлы реестра, что позволяет выявлять ранее установленные, но некорректно (т.е. частично) удаленные программы. Анализируется реестр как активный (т.е. из-под загруженной ОС), так и пассивный (т.е. с подключенного диска). Результаты проверки представляются в виде таблицы, в которую сведены сведения об авторе, названии программы, ее рыночной стоимости, статусе (коммерческая, условно-бесплатная, бесплатная), и могут быть сохранены в файл. Определяются и дополнительные сведения - серийный номер, адрес регистрации, дата установки и другие. Имеется встроенный просмотрщик реестра (в том числе - неактивного), а также справочник по программному обеспечению.

Статус программы: распространяется на коммерческой основе, по вопросам приобретения обращаться в Центр (info@nhtcu.ru).

Источник: http://nhtcu.ru/

[Igor Michailov]

Источник: http://www.nhtcu.ru/teor_jur.html



Вышел в свет второй номер журнала "Компьютерно-техническая экспертиза" №1 (2) за 2008 год.

Содержание номера:

Слово редактора
Теория компьютерно-технической экспертизы

Денявский А.В. К вопросу о классификации современных электронных устройств и отнесении их к ЭВМ

Экспертное программное обеспечение

Коршунов В.Г. Программная реализация инструмента для аудита программного обеспечения

Экспертное аппаратное обеспечение

Марван Аль-Заруни. Знакомство с программаторами для мобильных телефонов и обсуждение их использования в судебных экспертизах мобильных телефонов (Перевод: Бочков Д.С., Капинус О.В., Михайлов И.Ю.)

Техническая документация

Марсел Бреувсма, Мартин де Йонг, Курт Клавер, Рональд ван дер Кнейф, Марк Рулофс. Судебное восстановление данных из флеш-памяти (Перевод: Бочков Д.С., Капинус О.В., Михайлов И.Ю.)

Из экспертной практики

Яковлев А.Н. Технико-криминалистическая характеристика мобильных телефонов как существенный фактор, предопределяющий особенности расследования некоторых видов преступлений и производства судебной компьютерной экспертизы
Грачев О.В., Пузов Р.А., Решетов И.С. Выявление криминалистически значимой информации при исследовании сотовых телефонов с измененными IMEI

Информационная безопасность

Быков А.В. Безопасность мобильных устройств на базе ОС Windows CE

Книжная полка

Юрин И.Ю. Комментарии к книге "Форензика - компьютерная криминалистика"
Обзор книжных новинок

Работа над ошибками
Из зала суда

[Igor Michailov]

http://www.guidancesoftware.ru - сайт разработчиков Encase на русском!!!

[Igor Michailov]

Авторы: Марсел Бреувсма, Мартин де Йонг, Курт Клавер, Рональд ван дер Кнейф и Марк Рулофс
Название: Судебное восстановление данных из флэш-памяти.

Современные судебные инструментальные средства для исследования встроенных систем, таких как мобильные телефоны и КПК, обычно выполняют извлечение данных на логическом уровне и не учитывают тип носителя во время анализа данных. В данной статье предлагается низкоуровневый подход для судебной экспертизы флэш-памяти, и описываются три низкоуровневых метода клонирования данных для создания полных копий памяти запоминающих устройств на базе флэш-памяти. Представлены результаты изучения файловых систем, в котором использовались карты памяти, имеющие USB – интерфейс, более чем 45 марок и моделей. Показаны способы создания полных копий их  флэш-памяти и действия, необходимые для преобразования извлечённых данных в формат, понятный обычным судебным инструментальным средствам для анализа носителей. Обсуждены артефакты, вызванные операциями характерными для флэш-памяти, типа: стирание блоков или «выравнивание изнашивания»; даны указания по расширенному восстановлению данных и анализу данных, извлеченных из флэш-памяти.

Подробнее : http://computer-forensics-lab.org/lib/?cid=159


Автор : Марван Аль-Заруни
Название: Знакомство с программаторами для мобильных телефонов и обсуждение их использования в судебных экспертизах мобильных телефонов.

В статье даётся обзор программаторов для мобильных телефонов, рассматривается их использование для обслуживания телефонов, их незаконное применение и их использование в судебных экспертизах мобильных телефонов. Обсуждаются виды программаторов и различия между ними. В статье также рассматриваются недостатки традиционного программного обеспечения для работы с мобильными телефонами и подчёркивается необходимость использования программаторов в судебных экспертизах мобильных телефонов для компенсации этих недостатков. Далее в статье анализируются проблемы и меры предосторожности при использовании программаторов в судебных экспертизах мобильных телефонов. Предлагаются способы тестирования программаторов и инструменты для анализа необработанных данных (шестнадцатеричных дампов памяти), полученных с мобильных телефонов с помощью программаторов.

Подробнее : http://computer-forensics-lab.org/lib/?cid=160


Название: Документация по Encase : Путеводитель по языку EnScript.

Что такое EnScript?
EnScript - это язык программирования , созданный для того, чтобы пользователь с некоторым знанием программирования мог применять EnCase в соответствии со своими потребностями, автоматизировать задачи и даже создавать полностью функциональные приложения. С момента своего появления во второй версии EnCase язык EnScript превратился в эффективный объектно-ориентированный язык с наследованием, виртуальными функциями, отражением типов и потоковой моделью. EnScript также поддерживает COM- библиотеки других приложений, позволяя автоматизировать задачи обработки документов и делая возможным удаленный поиск данных через DCOM ( распределенную компонентную объектную модель).

Подробнее : http://computer-forensics-lab.org/lib/?cid=161

[Igor Michailov]

Источник: http://www.nhtcu.ru/teor_jur.html



Вышел в свет третий номер журнала "Компьютерно-техническая экспертиза" №2 (3) за 2008 год.

Содержание номера:

Слово редактора

Теория компьютерно-технической экспертизы
* Яковлев А.Н. Организация данных на накопителе на жестких магнитных дисках на низком уровне
* Юрин И.Ю. Определение даты создания исполнимого PE-файла
* Капинус О.В., Михайлов И.Ю., Юрин И.Ю. Российские программы обмена короткими сообщениями: "Mail.ru Agent"
* Ахметзянов М.Л. Кардшаринг НТВ+
* Юрин И.Ю. Определение MAC-адресов сетевых устройств

Информационная безопасность
* Быков А.В. Уязвимости программного обеспечения при обработке PE-файлов

Хроника судебных дел

[Igor Michailov]

Russian IM- applications: «Mail.ru Agent»

Olga Kapinus, Igor Michailov, Igor Yurin

Introduction
For the last year we have received several messages from our foreign colleagues, in which they asked for help in the research of history, created by the IM-applications, which had been developed by the Russian manufacturers, such as «Mail.ru Agent», «Rambler ICQ», «IceIM», «QIP», «QIP Infinium», «&RQ», «&ML», etc.
There is practically no information about these programs in English and most widespread foreign programs for forensic researches do not support history formats of IM-applications created by the Russian developers.   The given cycle of articles aims at compensating of informational vacuum on methods and means of forensic research of the IM-applications, created by the Russian developers and widely used on the territory of the post-Soviet area as well as by the emigrants, natives of Russia, who live abroad and use IM-applications to communicate with their relatives, friends, acquaintances, who live in the homeland.

More… http://computer-forensics-lab.org/Forensic_Analysis_Mail_Ru_Agent.pdf

[Igor Michailov]

На сайте создан новый раздел, посвященный программным продуктам фирмы Oxygen Software ( www.oxygen-forensic.com/ru ).
http://computer-forensics-lab.org/lib/?rid=48

В разделе помещены статьи:
Мобильный Криминалист 2. Краткое описание продукта.
Описание программы Мобильный криминалист 2.
http://computer-forensics-lab.org/lib/?cid=165

Презентация. Извлечение информационных улик из телефонов, смартфонов и КПК.
Представлена интереснейшая информация по смартфонам. Советую прочитать всем желающим разбираться в теме судебного исследования мобильных телефонов и смартфонов.
http://computer-forensics-lab.org/lib/?cid=164

Список уникальных возможностей “Мобильного Криминалиста”
или "Почему эксперты и правоохранительные службы выбирают "Мобильный Криминалист 2"?
Описаны возможности программы Мобильный криминалист 2.
http://computer-forensics-lab.org/lib/?cid=163

Мобильный Криминалист 2. Установка и использование агента для подключения.
Мобильный криминалист 2 по хитрому внедряет Агента подключения. Мне не встречались другие судебные программные продукты, для исследования мобильных телефонов, которые это делают также.
http://computer-forensics-lab.org/lib/?cid=162

[guru]

а что есть новенького по расследованию компьютерного мошенничества в банках?
мне для сборника Транстелекомовского нужно.

[Igor Michailov]

К сожалению, у меня нет. Кроме того, что, по слухам, центральную полосу России захлестнула волна кардерства. Кардеров не просто много. Их очень много. П/о ловят иногда особо наглых или молодых и не опытных.

Спрошу у коллег. Если будет что-то новенькое - отпишу в личные сообщения.