El análisis forense digital permite la identificación y descubrimiento de información relevante en fuentes de datos como imágenes de discos duros, memorias USB, capturas de tráfico de red, o volcados de memoria sin alterar su contenido. Veamos algunas de las herramientas más populares como Autopsy y distribuciones como Caine o Deft.




La obtención de imágenes forenses podemos definirla, sencillamente, como la copia de la información contenida en dispositivos físicos de almacenamiento, sin alterar su contenido. No estamos hablando de la copia de archivos individuales, sino de discos o particiones enteras, obteniendo una imagen o instantánea de un disco en un momento determinado.

El objetivo no es otro que garantizar la preservación y posterior análisis de la evidencia digital.

 Entre algunas de estas distribuciones encontramos:

• Helix 
• CAINE
• ForLEX
• EnCase
• DEFT Linux
• o incluso Kali Linux.

El cómputo forense, también llamado informática forense, computación forense, análisis forense digital o examinación forense digital es la aplicación de técnicas científicas y analíticas especializadas a infraestructura tecnológica que permiten identificar, preservar, analizar y presentar datos que sean válidos dentro de un proceso legal.

Ello condujo a la adopción de otro enfoque, el análisis forense, que se compone de tres pasos: - Identificación y preservación de los datos con el fin de crear un duplicado forense, es decir, una copia exacta de los datos de un soporte digital, sin modificar los datos originales.

• - Análisis de los datos así protegidos por medio de un software especial y de métodos para la recopilación de pruebas. Medidas típicas son, por ejemplo, la búsqueda de contraseñas, la recuperación de archivos borrados, la obtención de información del registro de Windows (base de datos de registro), etc.
• - Elaboración de un informe por escrito sobre las evidencias descubiertas en el análisis y en el que se incluyan también las conclusiones extraídas del estudio de los datos y de la reconstrucción de los hechos o incidentes.

ForLEx

ForLEx, está basada en Debian y se caracteriza por ser liviana, flexible y orientada a aplicaciones de Informática Forense. Además, incluye la herramienta FTK Imager, la cual es muy útil para adquisiciones forenses y no está presente en versiones Live de otras distribuciones. Debemos considerar también, que se pueden agregar en forma sencilla al Live USB aquellas herramientas que creamos convenientes, copiándolas en la carpeta apps.

DEFT

DEFT Linux, distribución de Linux para análisis forense informático basada en Ubuntu que incluye herramientas para el análisis forense de móviles y/o dispositivos con iOS o Android

• File Manager with disk mount’s status
• Full support for Bitlocker encrypted disks, thanks libbde
• The Sleuthkit 4.1.3
• Digital Forensics Framework 1.3
• Full support for Android and iOS 7.1 logical acquisitions (via libmobiledevice & adb)
• JD GUI,
• Skype Extractor 0.1.8.8,
• Maltego 3.4 Tungsten,
• A new version of the OSINT browser

 Descarga 

deft-8.1.iso

• Analysis - Herramientas de análisis de ficheros de diferentes tipos
• Antimalware - Búsqueda de rootkits, virus, malware, así como PDFs con código malicioso.
• Data recovery - Software para recuperación de ficheros
• Hashing - Scripts que permiten la realización de cálculo de hashes de determinados procesos (SHA1, SHA256, MD5...)
• Imaging - Aplicaciones que podemos utilizar para realizar los clonados y adquisición de imágenes de discos duros u otras fuentes.
• Mobile Forensics - Análisis de Blackberry, Android, iPhone, así como información sobre las típicas bases de datos de dispositivos móviles en SQLite utilizadas por las aplicaciones.
• Network Forensics - Herramientas para procesamiento de información almacenada en capturas de red
• OSINT - Aplicaciones que facilitan la obtención de información asociada a usuarios y su actividad.
• Password recovery - Recuperación de contraseñas de BIOS, ficheros comprimidos, ofimáticos, fuerza bruta, etc.
• Reporting tools - Por último, dentro de esta sección encontraremos herramientas que nos facilitarán las tareas de generación de informes y obtención de evidencias que nos servirán para documentar el análisis forense. Captura de pantalla, recopilación de notas, registro de actividad del escritorio, etc.

CAINE (Computer Aided INvestigative Environment)

CAINE (Computer Aided INvestigative Environment), es una distribución Live DVD (2,2GB) y  versión para pendrive, basada en Ubuntu de origen italiano, enfocada a realizar análisis forenses informáticos.Incluye numerosas herramientas y scripts para facilitar el trabajo.

• Entorno de trabajo perfectamente orientado a completar las fases de la metodología forense.
• Interfaz gráfica amigable
• Proceso semi-automático en la generación del Informe final de resultados.

Antes existían dos versiones, una estandar, CAINE con la que se puede generar el DVD live y otra denominada NBCANINE, preparada para la creación de un USB y adaptada para equipos netbook


CAINE contaba con un subproyecto llamado NBCAINE  mantenido por Nanni Bassetti, que permitía utilizar esta distribución desde una memoria USB, con la finalidad de ser convertir un netbook en una completa herramienta de análisis forense y poder guardar los cambios realizados en el sistema.



Recordar que siempre habrá que hacer un mínimo de 2 copias del disco duro original a analizar. La primera copia siempre la tendremos de reserva, y trabajaremos con la segunda copia. Si esta segunda se estropea, aun tenemos la primera copia. Entonces tendremos que hacer otra copia de la primera copia, para que no sea necesario tocar el disco duro original y poder trabajar siempre sobre una copia, a su vez teniendo otra copia de respuesto.

Disponible CAINE 6.0: distro GNU/Linux para análisis forense digital

Descarga Caine

• - Caine5.0.iso (MD5) GARR/MIRROR - MIRROR CFITALY - Mirror ARCHIVE.ORG (torrent and http) - LinuxFreedom Mirror- Mirror by HostingXtreme.com

Basada en  Ubuntu 12.04.3 64BIT - Preparada para UEFI/SECURE BOOT
Caine 5.0 en pendrive puede arrancar con Uefi/Uefi+secure boot/Legacy Bios/Bios.
Caine 5.0 en DVD puede arrancar con Legacy Bios/Bios.

Distibución Linux Santoku

Existe una distribución de Linux orientada a la seguridad en dispositivos móviles y el análisis de malware y forense llamada Santoku Linux.



Herramientas como apktool, dex2jar, jd, Droidbox, Androguard son de gran utilidad al momento de analizar un malware para Android

Herramientas

• Autopsy 2.20
• foremost
• Fundl
• gtkhash
• Guymager
• LRRP
• ophcrack
• photorec
• scalpel
• SFDumper
• stegdetect
• testdisk
• TheSleuthKit 3.0
• afflib
• cryptcat
• libewf
• md5sum
• sha256sum
• sha512sum
• Abiword 2.6.4
• Firefox 3.0.5
• GCalcTool
• Geany
• gparted
• gtk-recordmydesktop
• liveusb
• ntfs-3g
• VLC
• Wicd

 Novedades:

• iphonebackupanalyzer
• exiftool phil harvey
• tcpflow
• tshark
• john
• wireshark
• firefox
• vinetto
• mdbtool
• gdisk
• LVM2
• tcpdump
• Mobius
• QuickHash
• SQLiteBrowser
• FRED
• docanalyzer
• nerohistanalyzer
• knowmetanalyzer
• PEFrame
• grokEVT
• zenmap (nmap)
• blackberry tools
• IDevice tools

ExifTool
ExifTool es un programa de software con el que podemos acceder y manipular los metadatos de una gran variedad de formatos (JPEG, PNG, MP3, PDF, WEBM, RAR, RTF, SWF, PDF, RAW,PSD o PSP…) incluyendo archivos de video, sonido, imágenes o texto. Es una plataforma construida sobre Perl y que se utiliza habitualmente desde linea de comandos.

ExifTool también está disponible como un ejecutable independiente de Windows y un paquete de Macintosh OS X : (Tenga en cuenta que estas versiones contienen el ejecutable solamente, y no incluyen la documentación de HTML u otros archivos de la distribución completa más arriba).

 exiftool -all= imagen.jpg

Mount Manager
Esta herramienta permite detectar, montar, desmontar, examinar y administrar las unidades de almacenamientos, conectadas a disco duro, tanto las unidades internas como las externas.

Guymager
Es una herramienta forense, con la capacidad de crear copias bit a bit o réplicas de imagen de disco, es bastante ágil en su funcionamiento y crea replicas en formatos dd, EWF, AFF.

Air(Imagen y Restauración Automática)
Air Es una aplicación en modo grafico para el uso del comando dd/dclfdd (Datataset Definition (dd)). Fue diseñado como una mejora en modo gráfico de todas las variantes de dd, su fácil uso permite crear imágenes forenses de discos y de particiones completas del mismo. Soporta MD5/SHAx hashes, cintas SCSI, proyección de imágenes sobre una red TCP/IP, imágenes partidas, y registración detallada de la sesión.

Autopsy3

Autopsy es una plataforma forense digital e interfaz gráfica para The Sleuth Kit y otras herramientas forenses digitales. Puede ser utilizada por fuerzas del orden, militares, y examinadores corporativos para investigar lo que ocurrió en una computadora. Aunque se puede utilizar para recuperar las fotos desde la tarjeta de memoria de una cámara digital.

Autopsy 3, utiliza  la popular interfaz web de The Sleuth Kit. La v3 sólo está disponible Windows y está basada en Java.

Una característica muy útil es el módulo de Ingest y la posibilidad de seleccionar los plugins que van a utilizarse; de esta forma, para ganar algo de tiempo, podemos realizar una ingesta de datos con un único plugin para tener algo sobre lo que trabajar y, mientras realizamos un análisis preliminar, podemos dejar cargando y procesando el resto de plugins.

Uno de los plugins que nos puede ahorrar algo de tiempo a la hora de descartar archivos conocidos sin manipular es la base de datos de hashes, que compara el hash de los archivos con dicha base de datos. La base de datos que es de obligada descarga es la NSRL del NIST, National Software Reference Library, con un tamaño actual de 6 GB de software conocido (tanto bueno como “malo”). No obstante, hay que recordar que no contiene entradas de malware sino más bien herramientas consideradas para hacking, desde nmap a herramientas de esteganografía

Con el plugin del hash database activado, seleccionando la base de datos del tipo NSRL. Si queremos utilizar una base de datos de malware, tendremos que recurrir a algunas de pago o utilizar servicios online de consulta de hashes que nos dirá, uno a uno, si se reconoce como malware. Entre esos servicios online tenemos la Hash Database de SANS, OWASP File Hash Repository, Malware Hash Registry de Team Cymru, o VirusTotal, entre muchos otros.

The Sleuth Kit es un conjunto de herramientas open source para el análisis de imágenes de discos. Inicialmente desarrollada para plataformas UNIX, esta suite actualmente se encuentra disponible también para OS X y Windows. Además, TSK cuenta con una interfaz gráfica conocida como Autopsy que agrupa todas sus herramientas y plugins.

Tal vez la mejor herramienta libre que existe para el análisis de evidencia digital. Su interfaz gráfica es un browser que basado en las herramientas en línea de comandos del Sleuth Kit, permite un análisis de diversos tipos de evidencia mediante una la captura de de una imagen de disco.

Estos módulos son los que permitirán el descubrimiento de información relevante y se describen a continuación:

• Recent Activity: extrae la actividad reciente que se ha realizado en la computadora bajo investigación. Esto incluye los documentos recientemente abiertos, dispositivos conectados, historial web, cookies, descargas y marcadores, por ejemplo.
• Hash Lookup: permite agregar bases de datos con valores de hash para archivos conocidos, como los archivos del sistema operativo o de aplicaciones instaladas. Así, puede ahorrarse mucho tiempo al evitar realizar búsquedas en estos archivos conocidos.
• Archive Extractor: permite recuperar archivos eliminados, basándose en los metadatos residuales que quedan en el disco, así como también recuperar archivos en espacios no asignados en el disco, mediante la detección de los encabezados de archivos.
• Exif Image Parser: permite analizar la información disponible en el encabezado Exif de los archivos de imagen JPEG que se encuentran en el disco. Esto provee información acerca de la cámara con que se tomó la imagen, fecha y hora o la geolocalización, entre otras cosas.
• Keyword Search: puede definirse una lista de palabras clave o expresiones regulares a buscar en todo el disco. Como se observa en la imagen anterior, Autopsy ya viene con una lista de expresiones regulares incluidas para búsqueda de números telefónicos, direcciones IP, direcciones de correo electrónico y URL.

Características de Autopsy

• Análisis de la línea de tiempo: muestra los eventos del sistema en una interfaz gráfica para ayudar a identificar la actividad.
• Búsqueda por Palabra: módulos de extracción de texto e índice de búsquedas que permiten encontrar archivos mencionando términos específicos o patrones de expresiones regulares.
• Artefactos Web: Extrae la actividad web de los navegadores más habituales para ayudar a identificar la actividad del usuario.
• Análisis del Registro: Usos RegRipper para identificar los documentos usados ​​recientemente y dispositivos USB.
• Análisis de archivos LNK: Identifica atajos y accesos a documentos
• Análisis de correo electrónico: Analiza los mensajes de formato MBOX, como Thunderbird.
• EXIF: Extractos de geo ubicación y la información de los archivos JPEG de la cámara.
• Clasificación de tipo de Archivo: agrupa los ficheros por su tipo para encontrar todas las imágenes o documentos.
• Soporte para reproducción: Ver vídeos e imágenes en la aplicación y no requiere un visor externo.
• Visor de miniaturas: muestra miniaturas de las imágenes que te ayudarán ver rápidamente las imágenes.
• Análisis del sistema de archivos robusto: Soporte para sistemas de archivos comunes, incluyendo NTFS , FAT12 , FAT16 , FAT32, HFS + , ISO9660 (CD- ROM) , Ext2 , Ext3 y UFS de el Sleuth Kit .
• Filtrado de Hash Set: Filtrado de archivos buenos conocidos usando NSRL y la bandera de los archivos malos conocidos usando hashsets personalizados en HashKeeper , md5sum y formatos EnCase .
• Etiquetas: Archivos de etiquetas con los nombres de etiquetas arbitrarias, tales como ” marcador ” o ” sospechoso”, y añadir comentarios.
• Extracción de Cadenas Unicode: cuerdas Extractos de espacio no asignado y los tipos de archivos desconocidos en muchos idiomas ( árabe, chino, japonés , etc.)

Actualmente, Autopsy soporta estos formatos de imagen:

• Raw Simple (Por ejemplo: *.img, *.dd, *.raw, etc)
• Raw Dividido (Por ejemplo: *.001, *.002, *.aa, *.ab, etc)
• EnCase (Por ejemplo: *.e01, *.e02, etc)

Hexeditor
Permite cargar los datos de cualquier archivo, ver y editar en formato hexadecimal o ASCII. Por medio del editor hexadecimal, el usuario puede ver, redactar, reparar o modificar el contenido intacto y exacto de un archivo binario.

PhotoRec
Recupera datos y archivos perdidos incluyendo vídeo, documentos y archivos de discos duros y CD/DVD. Incluyendo la búsqueda en el espacio no asignado en disco, examinando cabecera tipo de archivo específico y los valores de pie de página.

Gtkhash
Una magnifica herramienta para el cálculo de diferentes funciones hash de un archivo y sumas de comprobación de mensajes. Actualmente los tipos soportados incluyen funciones de hash MD5, SHA1, SHA256, SHA512, RIPEMD, HAVAL, TIGER y WHIRLPOOL. Esta herramienta es bastante útil, para comprobar el correcto estado de un archivo, o la comparación entre dos(2) archivos iguales, para comprobar su integridad.

Hfsutils
HFS es una herramienta para leer y escribir volúmenes de Macintosh, de su "sistema de ficheros jerárquico", el formato de volumen nativos utilizados en los modernos ordenadores Macintosh. hfsutils es el nombre de un completo paquete de software están desarrollando para permitir la manipulación de los volúmenes HFS de UNIX y otros sistemas.

Dvdisaster
 Dvdisaster es una fabulosa herramienta que examina CD / DVD / BD, con el fin de recuperar archivos, incluso después de algunos errores de lectura. Esto permite rescatar información dañada o de difícil lectura a un nuevo medio de almacenamiento tras su recuperación.

Ophcrack
Utilidad para romper u obtener contraseñas de usuario en el sistema operativo Windows. Su funcionamiento se basa en el análisis de las tablas rainbow para el acceso a las claves de la SAM (Security Accounts Manager).

SAM es el gestor de seguridad para cuentas de usuario, de los actuales sistemas operativos Microsoft Windows. Este servicio se emplea durante los procesos de acceso al sistema, y retiene información del usuario que se ha logeado ante el sistema. 

Tesdisk
TestDisk es una buena herramienta diseñada para recuperar particiones perdidas de almacenamiento de datos, o recuperar la capacidad del disco para hacerlo booteable. Estas funciones son exitosas cuando los problemas son causados por software con fallas, ciertos tipos de virus o en caso de borrar accidentalmente una tabla de particiones. Su función no aplica para discos duros con daños físicos, sin embargo puede intentar el acceso a las particiones dañadas u ocultas.