eCDFP (Module-6) (Window Forensics) (Part - 2 )

 LNK File (Shortcut)  File တွေကို User ကနေ Create လုပ်တာရှိသလို Window  Operation System ကနေလဲ Create လုပ်တာတွေရှိနိုင်ပါတယ်။ LNK File (Shortcut)  File တွေ့နိုင်တဲ့ နေရာတွေက အောက်ဖော်ပြပါနေရာများဖြစ်ပါတယ် ---

 

LNK File (Shortcut) - File Location (Window 7 To Window 11)

 

  • C:\Users\%USERNAME%\AppData\Roaming\Microsoft\Windows\Recent




  • On the desktop ( User Created Easily Access To Application & Documents)

  • (For Microsoft Office documents)

    C:\Users\%USERNAME%\AppData\Roaming\Microsoft\Office\Recent\


  • C:\Users\%USERNAME%\Downloads
  • Startup folder

        Startup Folder Location (Window 7 To Window 11)


 C:\Users\<username>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup



        C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp

             Press Windows + R to open the Run Box.

            Type shell:startup for the current user’s Startup folder.

        Type shell:common startup for the all users’ Startup folder


How To Analysis


Recent & Office  LNK File များကို Analysis ပြုလုပ်ဖို့အတွက် FTK Imager နဲ့ Export ပြုလုပ်လိုက်ပါတယ်။ Analysis ပြုလုပ်ဖို့အတွက် Open Source ဖြစ်တဲ့ EZ Tools ထဲမှာ LECmd ကိုအသုံးပြုပါမယ်။ https://ericzimmerman.github.io/#!index.md


Law Enforcement Usage

User ကနေ Application (Or) Documents File ကိုဖွင့်တဲ့ အချိန်ဖြစ်တဲ့ First Open (Or) Last Open ကို Analysis ပြုလုပ်ဖို့အတွက် အသုံးပြုပါတယ်။

 Private Sector Usage

Shellbags , JumpLists တွေနဲ့တွဲဖက်ပြီး File/ Folder Access ပြုလုပ်တာတွေ၊ LNK File တွေမှာ Malicious Shell Code တွေပါမပါစစ်ဆေးတာအတွက် အသုံးပြုပါတယ်။

အောက်မှာတော့ LECmd နဲ့ Report ထုတ်နိုင်တဲ့ပုံစံအချို့ကိုဖော်ပြပေးထားပါတယ်။ ကိုယ်အတွက် အဆင်   အပြေဆုံးဖြစ်နိုင်မဲ့ Report ပုံစံကိုရွေးချယ်အသုံးပြုနိုင်ပါတယ်။ 

 LNK (Short Cut) File ကနေ ရနိုင်တဲ့ အချက်အလက်တွေကတော့

Original Path: The path to the original file that the .LNK file points to.

Timestamps for the target file and LNK file (modification, access, creation)

Volume Information: Details about the volume where the .LNK file is stored, such as:

(Volume name, Serial number, NetBIOS name, MAC address of the host computer)

Network Details: If the file was stored on a network share or remote computer, the .LNK file can contain network-related information.

File Size: The size of the original file.

Attributes associated with the target file (read-only, hidden, system)

·     Deleted File / Folder / Application Logs - The LNK files associated with the original file will still exist.



LeLECmd ကိုအသုံးပြုပြီး Report အမျိုးမျိုးထုတ်ကြည့်ပါမယ်။


Parse a single LNK file and view the results within the console


Parse a single LNK file and output the results to CSV at specified location


Parse a single LNK file, output to JSON in pretty format

Command line: -f C:\Users\DFM\Desktop\LNK ANALYSIS\Recent\1.lnk --json C:\Users\DFM\Desktop\LNK ANALYSIS\ Out_Put –pretty

 


Parse a single LNK file output to HTML at specified location

Command line: -f C:\Users\DFM\Desktop\LNK ANALYSIS\Recent\1.lnk --html C:\Users\DFM\Desktop\LNK ANALYSIS\Out_Put


Parse all files in a directory (regardless of presence of .LNK file extension), but only provide output for those .LNK files that point to removable drives

C:\Users\DFM\Desktop\LNK ANALYSIS>LECmd.exe -d "C:\Users\DFM\Desktop\LNK ANALYSIS\Recent"  --all  -r  --html  "C:\Users\DFM\Desktop\LNK ANALYSIS\Out_Put"


Parse all files in Microsoft Office LNK directory  and output to HTML at specified location

C:\Users\DFM\Desktop\LNK ANALYSIS>LECmd.exe -d "C:\Users\DFM\Desktop\LNK ANALYSIS\Office LNK" --all  --html  "C:\Users\DFM\Desktop\LNK ANALYSIS\Office LNK"


Report ပုံစံတွေပြီးတဲ့နောက်မှာ Report ထဲမှာပါတဲ့အချက်အလက်တွေထဲကမှ LNK နဲ့ပတ်သတ်တဲ့ အရေးကြီးတဲ့ အချက်တွေကိုရေးသားသွားပါမယ်။ Example - FTK Imager DFM.lnk  >  Console Logs



LEcmd Output ကနေ အောက်ပါအတိုင်း Timestamp တွေကိုထုတ်ပေးတာကိုတွေ့ရမှာပါ။  LNK (Shortcut) မှာ သူကိုယ်တိုင်အတွက် Timestamp  (MAC) Time ပါဝင်သလို Point ထားတဲ့ မူလ Original File ရဲ့ (MAC) Time လဲပါဝင်ပါတယ်။ (Desktop ပေါ်မှာ ရှိတဲ့ LNK File ထက် Recent File ထဲမှာရှိတဲ့ LNK File က ပိုပြီး အချက်အလက်တိကျပါတယ်။ ဘာလို့လဲဆိုရင် Recent User Activity ကို Log အဖြစ်ထားရှိ တာကြောင့်ဖြစ်ပါတယ်။ 

Source Created - LNK (Shortcut) ကို User/System က Created လုပ်ခဲ့တဲ့အချိန်။ (First Opened  By The User) User ကနေ File/Folder/Program ကို ပထမဆုံးဖွင့်တဲ့အချိန်လို့ဆနိုင်ပါတယ်။

Source Modified – LNK (Shortcut) ကို User/System က Modified လုပ်ခဲ့တဲ့အချိန်။ (Last Opened By The User ) User ကနေ File/Folder/Program ကို နောက်ဆုံးဖွင့်တဲ့အချိန်လဲယူဆနိုင်ပါတယ်။

 Source Accessed - LNK (Shortcut) ကို  User/System က Accessed လုပ်ခဲ့တဲ့အချိန်။

Target Created - LNK (Shortcut) ညွန်းထားတဲ (Point လုပ်ထားတဲ့) မူလ File/Folder/Application ကို User/System က System မှာ Created လုပ်သည့်အချိန်။

Target Modified - LNK (Shortcut) ညွန်းထားတဲ (Point လုပ်ထားတဲ့) မူလ File/Folder/Application ကို User/System က System မှာ Modified ပြုလုပ်သည့်အချိန်။

Target Accessed - LNK (Shortcut) ညွန်းထားတဲ (Point လုပ်ထားတဲ့) မူလ File/Folder/Application ကို User/System က System မှာ Accessed ပြုလုပ်သည့်အချိန်။

  Target (MAC Time) တွေကို MFT Table ($Standard_Information) နဲ့ Cross Analysis ပြုလုပ်နိုင်ပါတယ်။

Microsoft Office File ကို Create လုပ်မယ်ဆိုရင် Recent Folder ထဲအပြင် Office Recent File ထဲမှာပါ LNK File တွေကိုတွေ့ရမှာဖြစ်ပါတယ်။ Office Recent File ထဲမှာရှိတဲ့ LNK File က Recent Folder ထဲမှာရှိတဲ့ LNK File ထက် Information ပိုပြီးစုံချင်ပါတယ်။  (FTK Imager Time = UTC Time) 

Comments

Post a Comment

Popular posts from this blog

NTFS Index Attributes

Image
  NTFS Index Attributes Now that we have described the general concept of B-trees, we need to describe how they are implemented in NTFS to create indexes. Each entry in the tree uses a data structure called an index entry to store the values in each node. There are many types of index entries, but they all have the same standard header fields, which are given in Chapter 13. For example, a directory index entry contains a few header values and a $FILE_NAME attribute. The index entries are organized into nodes of the tree and stored in a list. An empty entry is used to signal the end of the list. Figure 11.18 shows an example of a node in a directory index with four $FILE_NAME index entries. Figure 11.18. A node in an NTFS directory index tree with four index entries. Figure 11.18 The index nodes can be stored in two types of MFT entry attributes. The $INDEX_ROOT attribute is always resident and can store only one node that contains a small number of index entries. The $INDEX_ROOT at...
Read more

B-Trees (NTFS)

Image
  B-Trees An NTFS index sort attributes into a tree, specifically a B-tree. A tree is a group of data structures called nodes that are linked together such that there is a head node and its branches out to the other nodes. Consider Figure 11.13(A), where we see node A on top and it links to nodes B and C. Node B links to nodes D and E. A parent node is one that links to other nodes, and a child node is one that is linked to. For example, A is a parent node to B and C, which are children of A. A leaf node is one that has no links from it. Nodes C, D, and E are leaves. The example shown is a binary tree because there are a maximum of two children per node. Figure 11.13. Examples of A) a tree with 5 nodes and B) the same tree that is sorted by the node values FIG- 11.3 Trees are useful because they can be used to easily sort and find data. Figure 11.13(B) shows the same tree as we saw on the left side, but now with values that are assigned to each node. If we are trying to look up a ...
Read more

eCDFP (Module-6) (Window Forensics) (Part - 1 )

Image
လက်ရှိအချိန်မှာ PC/Laptop သုံးစွဲတဲ့အထဲမှာ Window အသုံးပြုသူက ကမ္ဘာမှာ အများဆုံးဖြစ်ပါတယ်။ Operation System အနေနဲ့ကြည့်မယ်ဆိုရင် ဒုတိယအများဆုံးဖြစ်ပါတယ်၊ ပထမအများဆုံးကတော့ Android ဖြစ်ပါတယ်။ Window 1.0 ကနေ အခုနောက်ဆုံးထွက်တဲ့ Window 11 အထိမှာ လက်ရှိလူတွေ အများဆုံးအသုံးပြုတာကတော့ Window 10/ Window 11 ဖြစ်ပါတယ်။ Forensics Analysis လုပ်မယ်ဆိုရင် Window ကနေရနိုင်တဲ့ Artifact (2) မျိုးရှိပါတယ်။ (1) System Artifacts  (2) User Artifacts  System Artifacts  ကတော့ Window Operation System   ကနေရနိုင်တဲ့ Artifacts တွေဖြစ်ပါတယ်။  System Artifacts Example  Registry Artifacts Event Logs File System Artifacts (Master File Table) Prefetch Files Volume Shadow Copies  User Artifacts ကတော့ User အသုံးပြုတဲ့ Computer ပေါ်မှာ User ကနေအသုံးပြုတဲ့ Activity တွေဖြစ်ပါတယ်။ တစ်ကယ်တန်း Forensics Analysis လုပ်မယ်ဆိုရင် System Artifacts ကိုရော User Artifacts ကိုရော Analysis ပြုလုပ်ပါတယ်။  User Artifacts Example  UserAssist  LNK Files Browser Artifacts...
Read more