[UserAssist] Descube aplicaciones que se ejecutaron en Windows

Esta aplicación nos permite visualizar una lista de los programas que fueron ejecutados en un sistema Windows, junto a la cantidad de veces que cada programa se ejecutó, y la última fecha y hora de utilización.

Windows Explorer suele mostrar esta información en la parte izquierda del Start menu de XP, y la lista de los programas usados frecuentemente es guardada en la Registry de Windows bajo la siguiente key:
 
HKEY_CURRENT_USER \ Software \ Microsoft \ Windows \ CurrentVersion \ Explorer \ UserAssist
 
Su autor, Didier Stevens, publicó UserAssist junto al código fuente del programa en su website. Para poder utilizar UserAssist, primero hay que tener instalado el .NET Framework 2.0 runtime.
 
Fuente: http://blog.didierstevens.com
 
Descarga

MetaShield Protector limpiar metadatos en office y otros

Esta una solución para evitar la fuga de información en documentos ofimáticos a través de su publicación en sitios web. Para ello, el documento ofimático antes de ser entregado será limpiado en memoria por el componente, llegando al cliente una copia totalmente limpia de metadatos e información oculta.

Para cada uno de los sitios se podrá personalizar cuales son los formatos de documento que han de ser limpiados de metadatos para ese sitio. En esta versión del producto se puede activar la limpieza para documentos Microsoft Office en binario, es decir, versiones desde Microsoft Office 97 a 2003, de ficheros .doc, .xls, .pps o .ppt, ficheros de versiones OOXML para Microsoft Office 2007, tipo docx, xlsx, ppsx o pptx, ficheros en formato PDF y ficheros de OpenOffice de tipo sxw, ods, odp, odt y odg.

Fuente: http://www.metashieldprotector.com/

Descarga:
Version 32bits
Version 64bits

Limpiar metadatos con Metaextractor (SOLO para usuarios de OpenOffice)

Este software está diseñado para proteger las webs corporativas contra la fuga de metadatos por medio de documentos ofimáticos creados en Open Office de tipo sxw, ods, odp, odt y odg.

Fuente:  http://oometaextractor.codeplex.com/  
Descarga

Análisis de Documentos .Doc con DocScrubber

 DocScrubber permite el análisis de “Comprometedores” documentos de Word, ya que, almacenan más datos de los que se pueden ver.


Un Script creado en Perl, read_open_xml.pl para obtener los metadatos de los archivos de Office Word 2007 en formato docx.

Existe una herramienta escrita en perl de Harlan Carvey. Este módulo extrae información. Otro beneficio del módulo es que extrae información adicional del contenido OLE(Object Linking and Embedding ) del archivo. Primero extrae información sobre el OLE “trash bin” donde puede ser ocultada data útil.

Fuente: http://www.javacoolsoftware.com/docscrubber.html
Descarga

Herramienta Forense para el Analisis de Archivos

Windows File Analizer

Cuando se realizan pruebas forenses sobre equipos Windows hay ciertos ficheros que tienen una especial importancia, vital en algunos casos.Esta aplicación decodifica y analiza algunos archivos especiales usados por Windows . Estos archivos contienen información muy interesante para el examinador forense. Por ejemplo el fichero thumbs.db consiste en una pequeña base de datos en donde se guardan las últimas imagenes que se han visto en Windows por el usuario, es una forma mas de acelerar las futuras consultas de las imágenes. Otro fichero importante puede ser el index.dat que contiene todo el registro por donde el usuario ha navegado.


Windows File Analyzer nos permite analizar los siguientes tipos de ficheros:

•Thumbs.db: permite analizar las imagenes que ha registrado este fichero

•Papelera de reciclaje: nos permite analizar los archivos que hay en la papelera de reciclaje

•Accesos directos: WFA nos permite analizar los accesos directos en busca de fechas de última modificación y fechas de creación

•Index.dat: nos permite analizar la información de la navegación (páginas visitadas, cookies, etc)

•Carpeta Prefetch: el prefetch es el sistema que utiliza Windows para mejorar el rendimiento del SO y lo utiliza sobre las aplicaciones mas empleadas. Con esta información podemos saber cuales son las aplicaciones mas utilizadas y sus ultimas fechas de utilización por el usuario.
 
 Fuente: http://www.mitec.cz/wfa.html
 
 Consultas: Prefetch 
 
 Descarga
                

PhotoRec, Digital Picture and File Recovery

Software de recuperación de datos diseñado para recuperar archivos perdidos incluyendo video, documentos, archivos de los discos duros, CD-ROM, y por imágenes perdidas de memoria de la cámara digital(de ahí el nombre de FotoRec) . PhotoRec ignora el sistema de archivos y va después de los datos subyacentes, por lo que seguirá funcionando incluso si su sistema de archivo de los medios de comunicación se ha visto gravemente dañado o formateado.

Fuente: http://www.cgsecurity.org/wiki/PhotoRec


Descarga

Windows
Linux kernel 2.6
Linux kernel 2.4

AnalogX TextScan

Proporciona una forma rápida y fácil de encontrar los detalles de casi cualquier programa. AnalogX textSCAN busca cualquier archivo binario para una cadena de longitud mínima y máxima, para luego, devolver todas las apariciones de forma ordenada . Pero no se detiene allí, sino que también tiene la capacidad de identificar la mayoría de las funciones y dentro del DLL de un archivo, e incluso tiene la capacidad de extraer tanto cadenas char y unichar. Este es un gran primer paso para conseguir una mejor comprensión de lo que está sucediendo dentro de un programa que te interesa.

Fuente : http://www.analogx.com/
Descarga

Winen.exe herramienta para creación de imagen bit a bit de la memoria RAM

Los ejecutables Winen puede funcionar como una herramienta de línea de comandos. Puede ejecutar Winen.exe desde una unidad USB que se enchufan en la máquina objetivo. Usted necesita privilegios de administrador local.

Si puede ejecutar Winen.exe desde una unidad USB y le solicitará la información necesaria necesarias para crear el archivo de imagen.

Winen 64 bits
Winen 32bits

Disk Explorer

Este explorardor de discos brinda acceso a bajo nivel de su disco duro. Puede cambiar varios a puntos de vista, como hexadecimal, texto, directorio, las entradas de MFT, la tabla de particiones, registro de inicio.

Fuente : http://www.runtime.org/diskexplorer.htm
Desacargas:
Versión NTFS
Versión FAT
Verisón LINUX

Deshabilitar la escritura de los USB

Es muy impotante antes de hacer una imagen bit a bit por ejemplo de una memoria USB se debe realizar un cambio al registro de Windows, porque de no ser asi modificariamos la evidencia  (USB) con lo cual podriamos resultar implicados de alguna manera.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies]
“WriteProtect”=dword:00000001  
 
EnableUSB
 
DisableUSB
Una vez que hace el cambio en el registro, tendras que reiniciar el sistema para que los cambios surtan efecto. También se debe tener en cuenta que si estas usando este truco, debes asegurarte que los usuarios no son administradores en el equipo, ya que podría fácilmente cambiar esta configuración.

Esto funciona en Windows Vista también.

Fuente: http://www.howtogeek.com/

Partition Find and mount 2.31

Partition Find & Mount implementa un nuevo concepto recuperación de particiones perdidas o borradas, también trabajará en el caso que el boot record (incluyendo el Master Boot Record) esta dañada, sobrescrita o perdida.

Fuente: http://findandmount.com/
Descarga

Borra de forma segura Discos duros y memorias USB con Disk Wipe

Formatear una tarjeta de memoria o un disco externo no asegura que quede totalmente limpio. Normalmente suelen quedar restos de los ficheros eliminados.

Disk Wipe es un borrador de discos en dos pasos. Primero formatea la unidad, y luego aplica uno de los siete algoritmos de borrado seguro disponibles, como el GOST, el HMG o los del DoD.

Disk Wipe es un borrador de discos ideal en aquellas situaciones en las que necesites asegurarte que el disco quede libre de información confidencial

Fuente: http://www.diskwipe.org/
Descarga

Registry viewer 1.6 Herramienta para analizar el registro de Windows

                       

AccessData  Registry Viewer  te permite ver el contenido del sistema de registros de Windows en funcionamiento. A diferencia de Windows Editor del Registro, que muestra sólo el sistema actual del Registro, Registry Viewer te permite ver archivos de registro de cualquier del sistema. Registry Viewer también permite acceder a un registro de almacenamiento protegido, que contiene las contraseñas, nombres de usuario, y otra información no accesible en el Editor del Registro de Windows.

Descarga

Fuente: http://www.accessdata.com/

Pro-data Doctor Una Herramienta de bolsillo

Es una utilidad muy avanzada para la investigación del teléfono móvil que extrayendo la información completa del teléfono móvil basado Windows en muy poco tiempo. El programa de uso rentable del examinador del teléfono examina la información detallada teléfono de la célula incluyendo información del archivo de la información del archivo de base de datos (nombre, tipo, expediente, orden corta), del registro del OS (fabricación del dispositivo de PDA, uso instalado, perfil del uso), información del archivo (trayectoria del archivo, tamaño, tiempo de la creación), información del teléfono (el libro de teléfono, SMS, fijó y marcó por último número, número de IMEI, nombre del fabricante, nombre del abastecedor de servicio y estado de la señal, los archivos de audio/video, los archivos del cuadro, la información etc de la tarea del teléfono) y otros expedientes relevantes del teléfono.

El software forense handheld de la PC es compatible con conectividad del cable del USB y tiene acceso fácilmente al teléfono móvil por la conectividad portuaria para recopilar la información importante. La utilidad forense de PDA de los datos del doctor genera informe de información del teléfono móvil en el formato de TXT que se puede ahorrar en la localización especificada usuario. El software forense de la investigación es útil en la investigación del crimen, inspección científica y para esos usuarios que estén trabajando en varia tecnología móvil.

Características del software:

Extraiga la información detallada completa del teléfono móvil basado Windows en apenas un minuto.

Analice la información de la base de datos, la información del archivo, la información del teléfono, la información del registro del OS y la otra información relevante del dispositivo del teléfono móvil.

Genere el informe de información en texto o el formato del archivo del HTML para el uso adicional.

Facilite para ahorrar el informe sumario de la información del teléfono de la célula en la localización deseada.

Útil para los análisis científicos o del crimen de la investigación.

Apoye todas las marcas de fábrica importantes del dispositivo elegante del teléfono que incluye Nokia, Sony Ericsson, Motorola, Asus, Samsung, el LG, Audiovox y muchos más.

La herramienta simple con todo de gran alcance tiene interfaz de uso fácil.

No se requiere ninguna habilidad especial para funcionar el software.

La herramienta forense de la PC del bolsillo apoya el sistema operativo de siguiente:



Windows XP (Home Edition, Professional Edition, Media Center Edition, Tablet PC Edition)
Windows Vista
Windows 2003
Windows 2000
Windows ME
Windows NT
Windows 98

Requisitos del sistema:

Pentium or equivalent class processor
RAM (128 MB recommended)
20 MB of free space

Recuerde por favor:La sincronización del dispositivo móvil con su PC es una manera más rápida y más fácil de conectar la PC del tablero del escritorio o de la tableta con el dispositivo accionado móvil de Windows con la información, los ajustes y los archivos de la transferencia. La sincronización se maneja con diversos usos para Windows Vista y Windows.xp o anterior, satisface tan los cheques que el sistema operativo está funcionando en su PC y elige la opción apropiada.

Si su PC está funcionando en Windows Vista, sus ajustes de la sincronización serán manejados a través del centro móvil del dispositivo de Windows y si su PC está funcionando en Windows.xp, o anterior, sus ajustes de la sincronización serán manejados a través de Microsoft ActiveSync.


Fuente: http://www.p-dd.co.in/drive-recovery-software/es/ppcforensic.html

Descarga

Análisis forense con AccessData FTK Imager

Una herramienta muy util es el Accessdata que se llama FTK Imager, enfocado basicamente a la adquisición y tratamiento de imágenes de cualquier dispositivo de almacenamiento, para ser posteriormente usadas como de evidencias forenses en un proceso legal.

Este producto es una gran ventaja por el interfaz gráfica, que permite crear imágenes de todo tipo de forma casi intuitiva con cómodos asistentes y funciones agrupadas en menús. Además, al tratarse de una herramienta Windows, FTK Imager es muy fácil de instalar y permite operar con dispositivos sujetos a controladores no universales, que muchas veces dificultan su montaje otros sistemas y que dotan al análisis en este tipo de plataformas de una laboriosidad adicional que no todo el mundo puede afrontar.


Fuente : http://www.accessdata.com/
Descargar : Aqui
Manual: Aqui

Crear máquinas virtuales a partir de imagen forense con LiveView

Mientras se efectua el análisis forense, es necesario no modificar la imagen realizada de un disco lo cual impide trabajar de forma interactiva con el sistema a investigación. La solución mas comun es crear mas de una copia de la imagen para poder iniciar el sistema operativo que llevan y poder interactuar con él. Este proceso no es muy cómodo y consume tiempo y recursos. LiveView es un desarrollo opensource del CERT y el Software Engineering Institute que transforma en máquina virtual la imagen forense. De ese modo se puede iniciar el sistema operativo e interactuar sin miedo a perder el estado inicial porque todas las modificaciones se escribirán fuera de la imagen.

 Descarga: http://liveview.sourceforge.net/

Analisis de un BlackBerry a partir de su Backup

ABC Amber BlackBerry Converter

Es una herramienta muy útil que convierte mensajes de correo electrónico, contactos, mensajes SMS, mensajes PIN, entradas de Autotexto, eventos de calendario, las entradas de teléfonos lista de favoritos, notas, registros de llamadas telefónicas, tareas, etc de IPD o BBB (copia de seguridad de BlackBerry) archivos a cualquier formato que desee (PDF, HTML, CHM, RTF, HLP, TXT, DOC, MDB, XLS, CSV, etc) de forma fácil y rápida.

Fuente: http://www.processtext.com/abcblackberryipdeditor.html

Descarga: Rapidshare