Adblock Detected

Read

CAINE 6.0 "Dark Matter" - Distribution with a complete forensic environment

Read

CAINE (Computer Aided INvestigative Environment) is an Italian GNU/Linux live distribution created as a project of Digital Forensics. Currently the project manager is Nanni Bassetti.

CAINE offers a complete forensic environment that is organized to integrate existing software tools as software modules and to provide a friendly graphical interface.

The main design objectives that CAINE aims to guarantee are the following:

an interoperable environment that supports the digital investigator during the four phases of the digital investigation
a user friendly graphical interface
user friendly tools

CAINE represents fully the spirit of the Open Source philosophy, because the project is completely open, everyone could take the legacy of the previous developer or project manager. The distro is open source, the Windows side (Wintaylor) is open source and, the last but not the least, the distro is installable, so giving the opportunity to rebuild it in a new brand version, so giving a long life to this project ....

CHANGELOG CAINE 6.0 "Dark Matter"

Kernel 3.16.0-36
Based on Ubuntu 14.04.1 64BIT - UEFI/SECURE BOOT Ready!
Caine 6.0 on pendrive can boot on Uefi/Uefi+secure boot/Legacy Bios/Bios.
Caine 6.0 on DVD can boot on Legacy Bios/Bios.
SystemBack is the new installer.

ADDED/CHANGED:

fixed password request in polkit
fixed password request in textmode e tty
Bash bug fixed shellshock
mount policy always in ro and loop mode
fstrim disabled (enable uncommenting the row in /etc/cron.weekly/fstrim)
autopsy patched by Maxim Suhanov:
(HFS directories handling fixed,
Sun VTOC volume system handling fixed,
incorrect timestamps (that are equal to zero) are handled as 01/01/1970 00:00:00)
Gzrt
Img_map
QPhotorec (photorec gui)
Undbx
Ddrescueview
Gddrescue
Disktype
Peframe
Quickhash
BEViewer Bulk Extractor
Ddrutility
Ataraw
Frag_find
Log2timeline plaso - supertimeline
Tinfoleak
Inception memory dumper by firewire
Volatility
4n6-scripts
boot-repair
grub-customizer
Broadcom Corporation BCM4313 wireless card drivers

Download CAINE 6.0

Mobius - Forensic Framework written in Python/GTK

Read

FS-NyarL - Network Takeover & Forensic Analysis Tool

Read

Listado de Herramientas Forenses

Read

ADQUISICIÓN Y ANÁLISIS DE LA MEMORIA

Set de utilidades que permite la adquisición de la memoria ram para posteriormente hacer un análisis con ella.

pd Proccess Dumper - Convierte un proceso de la memoria a fichero.

FTK Imager - Permite entre otras cosas adquirir la memoria.

DumpIt - Realiza volcados de memoria a fichero.

Responder CE - Captura la memoria y permite analizarla.

Volatility - Analiza procesos y extrae información util para el analista.

RedLine - Captura la memoria y permite analizarla. Dispone de entrono gráfico.

Memorize - Captura la ram (Windows y OSX).

MONTAJE DE DISCOS

Utilidades para montar imágenes de disco o virtualizar unidades de forma que se tenga acceso al sistema de ficheros para posteriormente analizarla.

ImDisk - Controlador de disco virtual.

OSFMount - Permite montar imágenes de discos locales en Windows asignando una letra de unidad.

raw2vmdk - Utilidad en java que permite convertir raw/dd a .vmdk

FTK Imager - Comentada anteriormente, permite realizar montaje de discos.

vhdtool - Convertidor de formato raw/dd a .vhd permitiendo el montaje desde el administrador de discos de Windows .

LiveView - Utilidad en java que crea una máquina virtual de VMware partiendo de una imagen de disco.

MountImagePro - Permite montar imágenes de discos locales en Windows asignando una letra de unidad

CARVING Y HERRAMIENTAS DE DISCO

Recuperación de datos perdidos, borrados, búsqueda de patrones y ficheros con contenido determinado como por ejemplo imágenes, vídeos. Recuperación de particiones y tratamiento de estructuras de discos.

PhotoRec - Muy útil, permite la recuperación de imágenes y vídeo.

Scalpel -Independiente del sistema de archivos. Se puede personalizar los ficheros o directorios a recuperar.

RecoverRS - Recupera urls de acceso a sitios web y ficheros. Realiza carving directamente desde una imágen de disco.

NTFS Recovery - Permite recuperar datos y discos aún habiendo formateado el disco.

Recuva - Utilidad para la recuperación de ficheros borrados.

Raid Reconstructor - Recuperar datos de un RAID roto, tanto en raid 5 o raid 0. Incluso si no conocemos los parámetros RAID.

CNWrecovery - Recupera sectores corruptos e incorpora utilidades de carving.

Restoration - Utilidad para la recuperación de ficheros borrados.

Rstudio - Recuperación de datos de cualquier sistema de disco NTFS, NTFS5, ReFS, FAT12/16/32, exFAT, HFS/HFS+ (Macintosh), Little y Big Endian en sus distintas variaciones UFS1/UFS2 (FreeBSD/OpenBSD/NetBSD/Solaris) y particiones Ext2/Ext3/Ext4 FS.

Freerecover - Utilidad para la recuperación de ficheros borrados.

DMDE - Admite FAT12/16, FAT32, NTFS, y trabaja bajo Windows 98/ME/2K/XP/Vista/7/8 (GUI y consola), DOS (consola), Linux (Terminal) e incorpora utilidades de carving.

IEF - Internet Evidence Finder Realiza carving sobre una imagen de disco buscando mas de 230 aplicaciones como chat de google, Facebook, IOS, memoria ram, memoria virtual,etc.

Bulk_extractor - Permite extraer datos desde una imagen, carpeta o ficheros.

UTILIDADES PARA EL SISTEMA DE FICHEROS

Conjunto de herramientas para el análisis de datos y ficheros esenciales en la búsqueda de un incidente.

analyzeMFT - David Kovar's utilidad en python que permite extraer la MFT

MFT Extractor- Otra utilidad para la extracción de la MFT

INDXParse - Herramienta para los indices y fichero $I30.

MFT Tools (mft2csv, LogFileParser, etc.) Conjunto de utilidades para el acceso a la MFT

MFT_Parser - Extrae y analiza la MFT

Prefetch Parser - Extrae y analiza el directorio prefetch

Winprefectchview - Extrae y analiza el directorio prefetch

Fileassassin - Desbloquea ficheros bloqueados por los programas

ANÁLISIS DE MALWARE

PDF Tools de Didier Stevens.

PDFStreamDumper - Esta es una herramienta gratuita para el análisis PDFs maliciosos.

SWF Mastah - Programa en Python que extrae stream SWF de ficheros PDF.

Proccess explorer - Muestra información de los procesos.

Captura BAT - Permite la monitorización de la actividad del sistema o de un ejecutable.

Regshot - Crea snapshots del registro pudiendo comparar los cambios entre ellos

Bintext - Extrae el formato ASCII de un ejecutable o fichero.

LordPE - Herramienta para editar ciertas partes de los ejecutables y volcado de memoria de los procesos ejecutados.

Firebug - Analisis de aplicaciones web.

IDA Pro - Depurador de aplicaciones.

OllyDbg - Desemsamblador y depurador de aplicaciones o procesos.

Jsunpack-n - Emula la funcionalidad del navegador al visitar una URL. Su propósito es la detección de exploits

OfficeMalScanner - Es una herramienta forense cuyo objeto es buscar programas o ficheros maliciosos en Office.

Radare - Framework para el uso de ingeniería inversa.

FileInsight - Framework para el uso de ingeniería inversa.

Volatility Framework con los plugins malfind2 y apihooks.

shellcode2exe - Conversor de shellcodes en binarios.

FRAMEWORKS

Conjunto estandarizado de conceptos, prácticas y criterios en base a el análisis forense de un caso.

PTK - Busca ficheros, genera hash, dispone de rainbow tables. Analiza datos de un disco ya montado.

Log2timeline - Es un marco para la creación automática de un super línea de tiempo.

Plaso - Evolución de Log2timeline. Framework para la creación automática de un super línea de tiempo.

OSForensics - Busca ficheros, genera hash, dispone de rainbow tables. Analiza datos de un disco ya montado.

DFF - Framework con entorno gráfico para el análisis.

SANS SIFT Workstation - Magnifico Appliance de SANS. Lo utilizo muy a menudo.

Autopsy - Muy completo. Reescrito en java totalmente para Windows. Muy útil.

ANÁLISIS DEL REGISTRO DE WINDOWS

Permite obtener datos del registro como usuarios, permisos, ficheros ejecutados, información del sistema, direcciones IP, información de aplicaciones.

RegRipper - Es una aplicación para la extracción, la correlación, y mostrar la información del registro.

WRR - Permite obtener de forma gráfica datos del sistema, usuarios y aplicaciones partiendo del registro.

Shellbag Forensics Análisis de los shellbag de windows.

Registry Decoder - Extrae y realiza correlación aun estando encendida la máquina datos del registro.

HERRAMIENTAS DE RED

Todo lo relacionado con el tráfico de red, en busca de patrones anómalos, malware, conexiones sospechosas, identificación de ataques, etc.

WireShark - Herramienta para la captura y análisis de paquetes de red.

NetworkMiner - Herramienta forense para el descubrimiento de información de red.

Netwitness Investigator - Herramienta forense. La versión 'free edition' está limitado a 1GB de tráfico.

Network Appliance Forensic Toolkit - Conjunto de utilidades para la adquisición y análisis de la red.

Xplico - Extrae todo el contenido de datos de red (archivo pcap o adquisición en tiempo real). Es capaz de extraer todos los correos electrónicos que llevan los protocolos POP y SMTP, y todo el contenido realizado por el protocolo HTTP.

Snort - Detector de intrusos. Permite la captura de paquetes y su análisis.

Splunk - Es el motor para los datos y logs que generan los dispositivos, puestos y servidores. Indexa y aprovecha los datos de las generados por todos los sistemas e infraestructura de IT: ya sea física, virtual o en la nube.

AlientVault - Al igual que Splunk recolecta los datos y logs aplicándoles una capa de inteligencia para la detección de anomalías, intrusiones o fallos en la política de seguridad.

RECUPERACIÓN DE CONTRASEÑAS

Todo lo relacionado con la recuperación de contraseñas en Windows, por fuerza bruta, en formularios, en navegadores.

Ntpwedit - Es un editor de contraseña para los sistemas basados en Windows NT (como Windows 2000, XP, Vista, 7 y 8), se puede cambiar o eliminar las contraseñas de cuentas de sistema local. No valido para Active Directory.

Ntpasswd - Es un editor de contraseña para los sistemas basados en Windows, permite iniciar la utilidad desde un CD-LIVE

pwdump7 - Vuelca los hash. Se ejecuta mediante la extracción de los binarios SAM.

SAMInside / OphCrack / L0phtcrack- Hacen un volcado de los hash. Incluyen diccionarios para ataques por fuerza bruta.

DISPOSITIVOS MÓVILES

Esta sección dispone de un set de utilidades y herramientas para la recuperación de datos y análisis forense de dispositivos móviles. He incluido herramientas comerciales dado que utilizo algunas de ellas y considero que son muy interesantes e importantes.

iPhone

iPhoneBrowser - Accede al sistema de ficheros del iphone desde entorno gráfico.

iPhone Analyzer - Explora la estructura de archivos interna del iphone.

iPhoneBackupExtractor - Extrae ficheros de una copia de seguridad realizada anteriormente.

iPhone Backup Browser - Extrae ficheros de una copia de seguridad realizada anteriormente.

iPhone-Dataprotection - Contiene herramientas para crear un disco RAM forense, realizar fuerza bruta con contraseñas simples (4 dígitos) y descifrar copias de seguridad.

iPBA2 - Accede al sistema de ficheros del iphone desde entorno gráfico.

sPyphone - Explora la estructura de archivos interna.

BlackBerry

Blackberry Desktop Manager - Software de gestión de datos y backups.

Phoneminer - Permite extraer, visualizar y exportar los datos de los archivos de copia de seguridad.

Blackberry Backup Extractor - Permite extraer, visualizar y exportar los datos de los archivos de copia de seguridad.

MagicBerry - Puede leer, convertir y extraer la base de datos IPD.

Android

android-locdump. - Permite obtener la geolocalización.

androguard - Permite obtener, modificar y desensamblar formatos DEX/ODEX/APK/AXML/ARSC

viaforensics - Framework de utilidades para el análisis forense.

Osaf - Framework de utilidades para el análisis forense.

PRODUCTOS COMERCIALES

No podían faltar. Disponer de estas herramientas es una maravilla y un lujo el poder utilizarlas. Rápidas y concisas. Lo peor en alguna de ellas es el precio.

UFED Standard (http://www.cellebrite.com)

XRY (http://www.msab.com)

Mobilyze (http://www.blackbagtech.com)

SecureView2 (http://mobileforensics.susteen.com)

MobilEdit! (http://www.mobiledit.com)

Oxygen Forensic (http://www.oxygen-forensic.com)

CellDEK (http://www.logicube.com)

Mobile Phone Examiner (http://www.accessdata.com)

Lantern (http://katanaforensics.com)

Device Seizure (http://www.paraben.com)

Neutrino (www.guidancesoftware.com)

Fuente

[Lynis v1.3.8] The Unix/Linux Hardening tool

Read

[DEFT] Distribución linux para análisis forense

Read

DEFT es una reputada distribución que recopila herramientas de análisis forense y que alcanza ya su versión 8.

No se enfoca únicamente al típico análisis forense de discos duros, si no que tendremos la posibilidad también de realizar forenses de red e incluso de dispositivos móviles. Deft v8 está basada en Ubuntu 12.10, y posee un kernel versión 3.5.0-30. Como cualquier tipo de livecd actual, se nos ofrece la opción de instalar la distribución en nuestro disco duro.

Dentro del menú principal de la distribución, nos encontramos las siguientes categorías de herramientas incluidas:

Menú de herramientas de DEFT 8

Analysis - Herramientas de análisis de ficheros de diferentes tipos
Antimalware - Búsqueda de rootkits, virus, malware, así como PDFs con código malicioso.
Data recovery - Software para recuperación de ficheros
Hashing - Scripts que permiten la realización de cálculo de hashes de determinados procesos (SHA1, SHA256, MD5...)
Imaging - Aplicaciones que podemos utilizar para realizar los clonados y adquisición de imágenes de discos duros u otras fuentes.
Mobile Forensics - Análisis de Blackberry, Android, iPhone, así como información sobre las típicas bases de datos de dispositivos móviles en SQLite utilizadas por las aplicaciones.
Network Forensics - Herramientas para procesamiento de información almacenada en capturas de red
OSINT - Aplicaciones que facilitan la obtención de información asociada a usuarios y su actividad.
Password recovery - Recuperación de contraseñas de BIOS, ficheros comprimidos, ofimáticos, fuerza bruta, etc.
Reporting tools - Por último, dentro de esta sección encontraremos herramientas que nos facilitarán las tareas de generación de informes y obtención de evidencias que nos servirán para documentar el análisis forense. Captura de pantalla, recopilación de notas, registro de actividad del escritorio, etc.

Dentro de estas secciones, encontraréis muchísimas herramientas que evitarán tener que recopilarlas por cuenta propia. El listado completo de paquetes lo tenéis en este enlace. De esta versión última 8, todavía no existe un manual, pero podéis echar un vistazo al manual para la versión 7, si bien su uso es bastante simple y cada herramienta lleva su man asociado.

Por último, destacar la inclusión dentro de esta versión 8 de DART 2, una suite para gestión y respuesta ante incidentes desde sistemas operativos Windows, que incluye un lanzador de aplicaciones a herramientas para este sistema operativo.

Ejecutando DART en sistema operativo Windows

Podréis descargar la distribución en diferentes formatos (imagen ISO, máquina virtual y versión para pendrives USB, entre otros) teniendo disponibles varios mirrors. Sin duda, una livecd que no debe faltar también en nuestro arsenal de cds/usbs para llevar siempre encima.

Descargar DEFT Linux

Fuente

[Volatility v2.3] The advanced memory forensics framework (Support of OSX)

Read

The Volatility Framework is a completely open collection of tools, implemented in Python under the GNU General Public License, for the extraction of digital artifacts from volatile memory (RAM) samples. The extraction techniques are performed completely independent of the system being investigated but offer unprecedented visibilty into the runtime state of the system. The framework is intended to introduce people to the techniques and complexities associated with extracting digital artifacts from volatile memory samples and provide a platform for further work

Windows
- new plugins to parse IE history/index.dat URLs, recover shellbags data, dump cached files (exe/pdf/doc/etc), extract the MBR and MFT records, explore recently unloaded kernel modules, dump SSL private and public keys/certs, and display details on process privileges
- added plugins to detect poison ivy infections, find and decrypt configurations in memory for poison ivy, zeus v1, zeus v2 and citadelscan 1.3.4.5
- apihooks detects duqu style instruction modifications (MOV reg32, imm32; JMP reg32)
- crashinfo displays uptime, systemtime, and dump type (i.e. kernel, complete, etc)
- psxview plugin adds two new sources of process listings from the GUI APIs
- screenshots plugin shows text for window titles
- svcscan automatically queries the cached registry for service dlls
- dlllist shows load count to distinguish between static and dynamic loaded dlls
New address spaces
- added support for VirtualBox ELF64 core dumps, VMware saved state (vmss) and snapshot (vmsn) files, and FDPro’s non-standard HPAK format
- associated plugins: vboxinfo, vmwareinfo, hpakinfo, hpakextract
Mac
- new MachO address space for 32- and 64-bit Mac memory samples
- over 30+ plugins for Mac memory forensics
Linux/Android
- new ARM address space to support memory dumps from Linux and Android devices on ARM
- added plugins to scan linux process and kernel memory with yara signatures, dump LKMs to disk, and check TTY devices for rootkit hooks
- added plugins to check the ARM system call and exception vector tables for hooks

Operating Systems

Volatility supports the following operating systems and versions. All Windows profiles are included in the standard Volatility package. You can download sample Linux profiles from the LinuxProfiles wiki page or read LinuxMemoryForensics on how to build your own. You can download a single archive of 38 different Mac OSX profiles or read MacMemoryForensics to build your own.

Windows
- 32-bit Windows XP Service Pack 2 and 3
- 32-bit Windows 2003 Server Service Pack 0, 1, 2
- 32-bit Windows Vista Service Pack 0, 1, 2
- 32-bit Windows 2008 Server Service Pack 1, 2
- 32-bit Windows 7 Service Pack 0, 1
- 64-bit Windows XP Service Pack 1 and 2
- 64-bit Windows 2003 Server Service Pack 1 and 2
- 64-bit Windows Vista Service Pack 0, 1, 2
- 64-bit Windows 2008 Server Service Pack 1 and 2
- 64-bit Windows 2008 R2 Server Service Pack 0 and 1
- 64-bit Windows 7 Service Pack 0 and 1
Linux
- 32-bit Linux kernels 2.6.11 to 3.5
- 64-bit Linux kernels 2.6.11 to 3.5
- OpenSuSE, Ubuntu, Debian, CentOS, Fedora, Mandriva, etc
Mac OSX
- (new) 32-bit 10.5.x Leopard (the only 64-bit 10.5 is Server, which isn’t supported)
- (new) 32-bit 10.6.x Snow Leopard
- (new) 64-bit 10.6.x Snow Leopard
- (new) 32-bit 10.7.x Lion
- (new) 64-bit 10.7.x Lion
- (new) 64-bit 10.8.x Mountain Lion (there is no 32-bit version)

Download Volatility v2.3

[FS-NyarL] A network takeover & forensic analysis tool

Read

[NetworkMiner v1.4.1] Network Forensic Analysis Tool (NFAT)

Read

[BackBox Linux] Version 3.0

Read

[DEFT 7.2] Computer Forensic live system

Read

Santoku Linux Mobile Forensic & Security Distribution

Read

Santoku is a platform for mobile forensics, mobile malware analysis and mobile application security assessment. The free Santoku Community Edition is a collaborative project to provide a pre-configured Linux environment with utilities, drivers and guides for these areas. The alpha release is based on a fork of the OWASPMobiSec distro.

The word santoku loosely translates as ‘three virtues’ or ‘three uses’. Santoku Linux has been crafted to support you in three endeavours:

Mobile Forensics

Tools to acquire and analyze data

Firmware flashing tools for multiple manufacturers
Imaging tools for NAND, media cards, and RAM
Free versions of some commercial forensics tools
Useful scripts and utilities specifically designed for mobile forensics

Mobile Malware

Tools for examining mobile malware

Mobile device emulators
Utilities to simulate network services for dynamic analysis
Decompilation and disassembly tools
Access to malware databases

Mobile Security

Assessment of mobile apps

Decompilation and disassembly tools
Scripts to detect common issues in mobile applications
Scripts to automate decrypting binaries, deploying apps, enumerating app details, and more

Download

Development Tools:

Android SDK Manager
BlackBerry JDE
BlackBerry Tablet OS SDK
BlackBerry WebWorks
DroidBox
Eclipse IDE
Windows Phone SDK
Android 2.3.3, 3.2, and 4.0.3 Emulators
SecurityCompass Lab Server (HTTP and HTTPS)
BlackBerry Ripple
BlackBerry Simulators

Penetration Testing:

CeWL
DirBuster
Fierce
Nikto
nmap
Burp Suite
Mallory
w3af Console
w3af GUI
ZAP
BeEF
Ettercap
iSniff
Metasploit Console
Metasploit GUI
NetSed
SET
SQLMap
SSLStrip

Reverse Engineering:

APK Tool
Dex2Jar
Flawfinder
Java Decompiler
Strace

Wireless Analyzers:

Aircrack-ng
Kismet
Ubertooth Kismet
Ubertooth Spectrum Analyzer
Wireshark

Device Forensics:

AFLogical Open Source Edition
Android Encryption Brute Force
BitPim
BlackBerry Desktop Manager
Foremost
iPhone Backup Analyzer
MIAT
Paraben Device Seizure
Sift Workstation
Sleuth Kit
SQLiteSpy

Mobile Infrastructure:

BES Express
Google Mobile Management
iPhone Configuration Tool

Note: If you want to learn more about Linux and Windows based Penetration testing, you might want to subscribe our RSS feed and Email Subscription or become our Facebook fan! You will get all the latest updates at both the places.