Windows Artifacts - Browsers

Cette leçon se concentrera sur les artefacts qui peuvent être collectés à partir de navigateurs Internet. Il peut s'agir d'une mine d'informations utiles à une enquête judiciaire numérique, telles que les sites Web qui ont été visités lors de leur dernière visite, les activités de l'utilisateur sur les sites Web, les fichiers téléchargés, les chaînes de formulaires de recherche, la saisie automatique des noms d'utilisateur et des mots de passe, et bien d'autres encore. Nous allons examiner les trois navigateurs Web les plus populaires sous Windows : Microsoft Edge, Google Chrome et Mozilla Firefox. Les artefacts que nous allons examiner sont les suivants :

• Biscuits
• Favoris
• Fichiers téléchargés
• URL visitées
• Recherches
• Page Web mise en cache
• Images mises en cache

Pour cette leçon sur la criminalistique des navigateurs, nous allons utiliser trois outils principaux, en adoptant une approche d'acquisition en temps réel, ce qui signifie que nous étudions un système activé auquel nous avons accès. Nous utiliserons :

• KAPE — Télécharger
• Browser History Viewer — Télécharger (Choisissez la version 100% gratuite)
• Browser History Capturer — Télécharger

Acquisition via KAPE

Nous l'avons déjà abordé KAPE dans DF3) Digital Evidence Collection, mais pour cette leçon, nous allons utiliser les modules basés sur un navigateur pour collecter des informations à partir d'un système en cours d'exécution, en récupérant des données depuis Chrome, Edge et Firefox. N'hésitez pas à télécharger KAPE et à suivre, en analysant les fichiers du navigateur de votre propre système !

Pour commencer, chargeons KAPE et sélectionnons notre répertoire cible et notre répertoire de sortie. Nous allons analyser le lecteur C de notre système hôte, avec comme destination de sortie /Desktop/ KAPE Browser Forensics.

Ensuite, nous devons sélectionner des cibles basées sur le navigateur, afin de collecter les fichiers dont nous avons besoin pour effectuer des analyses du navigateur. Nous allons activer les cibles pour Chrome, Firefox et Edge.

Ça y est, nous pouvons maintenant exécuter en KAPE cliquant sur « Exécuter ! » dans le coin inférieur droit. KAPE a pris 52 secondes pour recueillir toutes les informations demandées. En ouvrant notre dossier de sortie défini, nous pouvons voir les fichiers que nous avons récupérés.

Nous pouvons trouver de nombreux fichiers Google Chrome intéressants dans le chemin de fichier suivant : KAPE Browser Forensics \ C \ Users \ JBeam \ AppData \ Local \ Google \ Chrome \ User Data

Nous pouvons également trouver des fichiers Firefox intéressants à l'adresse suivante (veuillez noter que nous n'avons pas beaucoup utilisé Firefox sur ce PC, les données à afficher sont donc limitées par rapport à Edge/Chrome) : KAPE Browser Forensics \ C \ Users \ JBeam \ AppData \ Roaming \ Mozilla \ Firefox \ Profiles

La meilleure façon de vous familiariser avec l'analyse des navigateurs est de l'essayer sur votre propre système (ou si vous n'utilisez pas Windows comme système d'exploitation hôte, si vous ne créez pas une machine virtuelle Windows, si vous ne passez pas une journée à naviguer sur le Web à l'intérieur de celle-ci, puis effectuez les actions que nous avons effectuées ci-dessus pour analyser votre activité de navigation !). Nous suggérons vivement aux étudiants de récupérer les fichiers de leur propre navigateur KAPE et de prendre le temps de regarder ce qui a été récupéré et d'analyser leurs propres fichiers.

Browser History Viewer

Il existe un autre moyen de récupérer les informations du navigateur à l'aide de deux outils : Browser History Capturer (BHC) et Browser History Viewer (BHV), des outils gratuits développés par Foxton Forensics. Nous pouvons l'exécuter Browser History Viewer seul, mais si vous l'exécutez sur le système que vous étudiez, il échouera lors de la tentative de récupération des fichiers Microsoft Edge, même s'il est exécuté avec des privilèges d'administrateur élevés. C'est là qu' Browser History Capturer intervient : nous pouvons récupérer de force tous les fichiers importants pour l'analyse du navigateur, puis les importer dans BHV. Ces outils nous permettent de consulter une grande partie de l'historique de navigation, les dates d'accès aux sites, le nombre de visites, les pages Web mises en cache et les images mises en cache. Si vous voulez suivre, téléchargez les outils et analysez votre propre système !

Tout d'abord, allons Browser History Capturer collecter tous les fichiers dont nous avons besoin. Nous devons sélectionner le profil utilisateur sur lequel nous voulons collecter des données. Les cases Navigateurs et Données seront activées par défaut, afin que nous puissions les laisser telles quelles. La destination par défaut sera un nouveau répertoire nommé « Capture » dans le dossier BHC. Nous pouvons le modifier ou le laisser tel quel. Dans cet exemple, nous ne modifierons pas l'emplacement de destination. Nous pouvons maintenant cliquer sur Capture.

Nous pouvons maintenant voir un dossier nommé « Capture » dans notre répertoire BHC.

Ensuite, nous devons importer ce répertoire dans Browser History Viewer . Ouvrez BHV et accédez à Fichier > Historique des chargements. Sélectionnez « Charger l'historique capturé à l'aide de l' Browser History Capturer outil » et accédez au répertoire « Capture » que nous venons de créer à l'aide de BHC. Cliquez ensuite sur Charger.

Maintenant que nous avons importé les données, passons en revue les différents volets qui Browser History Viewer en contiennent. Nous l'avons divisée en trois régions.

• Volet 1 : c'est là que les informations importées sont affichées, avec trois onglets : Historique du site Web, Images en cache et Pages Web en cache. Dans l'onglet par défaut Historique du site Web, vous pouvez voir les dates auxquelles les sites ont été visités, les titres du site s'ils sont disponibles, l'URL complète, le nombre de visites et le navigateur utilisé pour accéder aux ressources Web.
• Volet 2 — Nombre de visites du site Web, indiquant le nombre de ressources consultées par mois.
• Volet 3 — Volet de filtrage, nous permettant de filtrer par mots-clés (tels que les noms de sites Web), de filtrer par date ou de filtrer par navigateur Web.

Filtrons les ressources Web accessibles via le navigateur Chrome en sélectionnant Chrome dans la liste déroulante du volet 3. Sur la capture d'écran ci-dessous, vous pouvez voir que c'est principalement nous qui sommes en train de nous asservir sur le Blue Team Level 1 parcours ! Nous pouvons voir quand nous avons consulté certaines pages Web, combien de fois nous les avons consultées et si cette activité s'est produite dans le navigateur Chrome.

Jetons ensuite un coup d'œil à l'onglet Images mises en cache du volet 1. Vous trouverez ci-dessous une capture d'écran qui nous montre la navigation entre différentes pages, qui montre les URL des images et les affiche là où se trouvait le volet 2 auparavant. Ils sont généralement téléchargés à partir de publicités, mais peuvent également indiquer l'activité de navigation des utilisateurs.

Enfin, examinons le troisième onglet du volet 1, Pages Web mises en cache. Cet onglet nous permet d'afficher les pages Web qui ont été téléchargées sur le système afin d'accélérer le temps de chargement. Dans la capture d'écran ci-dessous, nous avons sélectionné une requête Web le 08/06/2020 à 17h40, qui est une recherche Google pour « LinkedIn Security Blue Team ». Dans le volet inférieur, nous pouvons voir l'écran que l'utilisateur aurait vu lors de cette recherche.

Si ce n'est pas déjà fait, nous vous suggérons vivement d'analyser votre propre système pour consulter l'historique de navigation, les images mises en cache et les pages Web mises en cache à l'aide KAPE de et et Browser History Capturer . Browser History Viewer Dans la leçon suivante, nous avons conçu un scénario fictif dans lequel vous participez à une enquête numérique et à une

situation de réponse aux incidents, en analysant l'historique de navigation d'un utilisateur alors qu'il télécharge un logiciel malveillant. Peux-tu déterminer d'où il vient ?