アンチフォレンジック

アンチフォレンジック技術を追跡するリポジトリ

このリストは、#DFIRコミュニティの回答と、当社のアンチフォレンジックコースで現在カバーしている技術に基づいて作成されています。

共有したいクールなアンチフォレンジックのアイデアはありますか？ #DFIR #DigitalForensics

https://twitter.com/binaryz0ne/status/1618828773268520961

データ、Web、アプリケーション関連

• ファイル形式の操作: -- PDF: ファイルの構造を変更してオブジェクトを隠す -- ZIP: ファイルの構造を変更して他のデータ/ファイルを隠す -- DOCX: 構造内に他のコンテンツを抽出して隠す。.xmlに変更するだけでよい -- RAR, 7zip: 構造を変更して他のデータを保持/隠す -- など
• データ隠蔽
• ステガノグラフィー -- LSB
• 暗号化 -- EFS, Bit Locker, GnuPG, AES -- TreuCrypt, VeraCrypt, など -- その他 "すべてを暗号化せよ" @rwx_08, https://twitter.com/rwx_08/status/1618904019816292355
• "Webシェルを使用している場合は、appcmdでIISログを無効化してください" @keydet89, https://twitter.com/keydet89/status/1618952758287286273

オペレーティングシステム、仮想化、クラウド関連

• GODモード
• ルートキット
• 削除されたレジストリキー/値とシャドウコピー
• Windowsレジストリへのデータ隠蔽
• ポータブルVM
• "VM上に不正なものを持ち込み、終わったら削除する" @keydet89, https://twitter.com/keydet89/status/1618954586685075459
• "Windowsレジストリキーのタイムストンプ" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "システムから離れる際に、ShimCacheをクリアする"
• "RDPで接続している場合は、ユーザーアカウントのトラッキング（JumpListsなど）を無効化する" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "最近の事例では、Dharmaランサムウェアが "purgememory.ps1" というスクリプトを通じてVSSとイベントログを削除しました。この記事で言及されていることとほぼ同じです" @r3nzsec, https://twitter.com/r3nzsec/status/1618862323221004289
• #mobile -iCloud写真を使用する -データを同期する -iCloud写真をオフにする -ローカルファイルを削除する -日常的にはiCloudをオフのままにする -新しいメディアをキャプチャする -必要なときに同期をオンにする/同期データを表示してから再度オフにして繰り返す 物理デバイスが取得された場合、検証者はiCloudが使用された痕跡を掘り起こす必要があります @Scott_Kjr, https://twitter.com/Scott_Kjr/status/1619157873011085312

ログ関連

• LinuxおよびApacheログの変更
• ログのタイムストンプ
• "既存のEVTXエントリの編集" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "EVTXファイル内の既存エントリを編集して、ログエントリの内容を変更できます。ログを信じてはいけない ;)" @inversecos, https://twitter.com/inversecos/status/1618863346991890433
• "さまざまなWEVTXログを無効化する" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "監査ログが消去されました: https://youtu.be/00EwvDKaKyQ 私のお気に入りの一つ" @Cyb3rSn0rlax, https://twitter.com/Cyb3rSn0rlax/status/1619002937296179200

ファイルシステム関連

• NTFSファイルトンネリング
• スラックスペースへのデータ隠蔽（例: Slackerを使用）
• 隠しボリューム（WDM、Diskpart、TrueCrypt/VeraCryptなど）
• 代替データストリーム（ADS）
• ファイルのタイムストンプ
• $EA属性へのデータ隠蔽
• ファイルシステムの破損: データの破壊とワイピング
• "MFTのFN属性のタイムストンプ（ほとんどのアナリストはこれが可能であることすら知らない）"
• "$Jを改ざんしてタイムストンプ検出を回避する" @inversecos, https://twitter.com/inversecos/status/1618862849572605955
• "システムに応じて、USN変更ジャーナルを無効化する" @keydet89, https://twitter.com/keydet89/status/1618952758287286273
• "SSD情報隠蔽: SSDに情報を隠す方法があり、後でファームウェアやOSから読み取れなくなります。私はずっと前に修士課程の学生だったときにそれに取り組んでいましたが、当時は大きな可能性を秘めていました。" @ask_mecca, https://twitter.com/ask_mecca/status/1618886955395350528

時間関連（アナリストを誤誘導して時間を浪費させる）

• "アナリストに何か見つけさせることで、それ以上探すのを止めさせる - ティア 2以上に到達させない" @MattETurner, https://twitter.com/MattETurner/status/1618844853403799555

動画

優れたアンチフォレンジックAF, https://www.youtube.com/watch?v=A4GYhGDCRSM

素晴らしいアイデア

• "" 理解すべき重要な点は次のとおりです:

1. ほとんどの場合、アンチフォレンジックを行う 必要 はありません; おそらく必要ではありません。
2. システムを設定してアーティファクトが書き込まれないようにできる場合は、アーティファクトを削除しないでください。"" @Keydet89, https://twitter.com/keydet89/status/1618954586685075459

さらに追加予定...