QUÉ FUE LO QUE REALMENTE PASÓ? CON WINDOWS Y CrowdStrike - parte 2

 

actualización de contenido de Falcon para los anfitriones de Windows

ANTES QUE NADA RECUERDEN NIÑOS QUE NO FUE WINDOWS EL DEL ERROR... OK......

Actualizado 5:39am ET, 20 de julio 2024

CrowdStrike está trabajando activamente con los clientes afectados por un defecto que se encuentra en una sola actualización de contenido para los hosts de Windows. Los huésmos de Mac y Linux no se impactan. Esto no fue un ciberataque.

El problema ha sido identificado, aislado y se ha desplegado una solución. 

Estamos remitiendo a los clientes al portal de soporte para las últimas actualizaciones y seguiremos proporcionando actualizaciones públicas completas y continuas en nuestro blog.

Recomendamos además a las organizaciones que se comuniquen con los representantes de CrowdStrike a través de canales oficiales.

Nuestro equipo está totalmente movilizado para garantizar la seguridad y estabilidad de los clientes de CrowdStrike.

Entendemos la gravedad de la situación y lamentamos profundamente las molestias y la perturbación. Estamos trabajando con todos los clientes afectados para asegurar que los sistemas estén de vuelta y puedan ofrecer los servicios con los que sus clientes están contando.

Aseguramos a nuestros clientes que CrowdStrike está operando con normalidad y este problema no afecta a nuestros sistemas de plataformas Falcon. Si sus sistemas funcionan normalmente, no hay impacto en su protección si el sensor Falcon está instalado.

A continuación se encuentra la última alerta de tecnología de CrowdStrike con más información sobre el tema y pasos de solución que las organizaciones pueden tomar. Seguiremos proporcionando actualizaciones a nuestra comunidad y a la industria a medida que estén disponibles.

Resumen

• CrowdStrike está al tanto de los informes de accidentes en hosts de Windows relacionados con el sensor Falcon.

Detalles

• Los síntomas incluyen huésmos que experimentan un error de pantalla bugcheck-blue relacionado con el sensor Falcon.

• Los hosts de Windows que no han sido afectados no requieren ninguna acción, ya que el archivo de canal problemático se ha revertido.

• Los anfitriones de Windows que se traídon en línea después de 0527 UTC tampoco se verá afectado

• Este tema no está afectando a los anfitriones basados en Mac o Linux

• Archivo de canal "C-00000291*.sys" con la marca de tiempo 0527 UTC o posterior es la versión revertido (buen).

• Archivo de canal "C-00000291*.sys" con marca de tiempo de 0409 UTC es la versión problemática.

• Nota: Es normal que varios archivos "C-00000291*.sys estén presentes en el directorio CrowdStrike - siempre y cuando uno de los archivos de la carpeta tenga una estampida de 0527 UTC o posterior, que será el contenido activo.

Acción en curso

• CrowdStrike Engineering ha identificado un despliegue de contenido relacionado con este problema y ha revertido esos cambios.

• Si los anfitriones siguen cayándose y no pueden permanecer en línea para recibir los cambios de archivo de canales, los pasos de solución a continuación se pueden utilizar.

• Aseguramos a nuestros clientes que CrowdStrike está operando con normalidad y este problema no afecta a nuestros sistemas de plataformas Falcon. Si sus sistemas funcionan normalmente, no hay impacto en su protección si el sensor Falcon está instalado. Los servicios de Falcon Complete y OverWatch no se ven perturbados por este incidente.

Consulta para identificar a los anfitriones afectados a través de Búsqueda de eventos avanzadas

Consulte este artículo de KB: Cómo identificar hosts posiblemente impactados por los fallos de Windows (pdf) o iniciar sesión para ver en el portal de soporte.

Dashboard

Al igual que la consulta antes mencionada, ahora está disponible un tablero que muestra canales impactados y CIDs y sensores impactados. Dependiendo de sus suscripciones, está disponible en el menú de la Consola en:

• Next-GEN SIEM - Dashboard o;

• Investiborizar . Dashboards

• Nombrado como: hosts.posiblemente.impacted-bywindowdowdows.crashess

Nota: El tablero no se puede utilizar con el botón "Vivo)

Artículos de recuperación automatizados:

Consulte este artículo: Recuperación automatizada de pantalla azul en instancias de Windows en GCP (pdf) o inicie sesión para ver en el portal de soporte.

Pasos de solución para pc individuales:

• Reinicie el host para darle la oportunidad de descargar el archivo de canal revertido. Recomendamos encarecidamente poner al host en una red por cable (a diferencia de WiFi) antes de reiniciar, ya que el host adquirirá conectividad a Internet considerablemente más rápida a través de ethernet.

• Si el huésco vuelve a chocar, entonces:

• Arbade Windows en modo seguro o en el entorno de recuperación de Windows

• NOTA: Poner el host en una red por cable (a diferencia de WiFi) y usar modo seguro con red puede ayudar a la rehabilitación.

• Navegue al directorio %WINDIR%-System32-drivers-CrowdStrike

• Ventanas Renta de la recuperación de Windows a X:-windows-system32

• Navegue primero a la partición apropiada (por defecto es C:), y navegue al directorio crowdstrike:

• C:

• ventanas de cd.system32.drivers.crowdstrike

• Nota: En WinRE/WinPE, navegue al directorio de Windows-System32-drivers-CrowdStrike del volumen del sistema operativo

• Localiza el archivo que coins con el .C-00000291*.sys y borrarlo.

• No elimine ni cambie ningún otro archivo o carpetas

• Cold Boot el anfitrión

• Cierra al anfitrión.

• Empieza a ser anfitrión del estado.

Nota: Los huésmos cifrados en BitLocker pueden requerir una clave de recuperación.

QUÉ FUE LO QUE REALMENTE PASÓ? CON WINDOWS Y CrowdStrike - parte 1

ANTES QUE NADA RECUERDEN NIÑOS QUE NO FUE WINDOWS EL DEL ERROR... OK......

Qué pasó?

El 19 de julio de 2024 a las 04:09 UTC, como parte de las operaciones en curso, CrowdStrike lanzó una actualización de configuración de sensores a los sistemas Windows. Las actualizaciones de configuración de sensores son una parte continua de los mecanismos de protección de la plataforma Falcon. Esta actualización de configuración desencadenó un error lógico que resultó en un fallo del sistema y una pantalla azul (BSOD) en sistemas impactados.

La actualización de configuración del sensor que causó el accidente del sistema fue remediada el viernes 19 de julio 2024 05:27 UTC.

Esta cuestión no es el resultado o relacionado con un ciberataque.

Impacto

Los clientes que ejecutan el sensor Falcon para la versión 7.11 y superior de Windows, que estuvieron en línea entre el viernes 19 de julio, 2024 04:09 UTC y el viernes 19 de julio 19, 2024 05:27 UTC, pueden ser impactados.

Sistemas que ejecutan el sensor Falcon para Windows 7.11 y superior que descargaron la configuración actualizada de 04:09 UTC a 05:27 UTC eran susceptibles a una falla del sistema.

Archivo de configuración Primer

Los archivos de configuración mencionados anteriormente se refieren a los archivos de forman parte de los mecanismos de protección conductual utilizados por el sensor Falcon. Las actualizaciones de los archivos del canal son una parte normal de la operación de sensores y ocurren varias veces al día en respuesta a tácticas, técnicas y procedimientos novedosos descubiertos por CrowdStrike. Este no es un proceso nuevo; la arquitectura ha estado en su lugar desde la creación de Falcons.

Detalles técnicos

En los sistemas Windows, los archivos de canal residen en el siguiente directorio:

C:\Windows\System32\drivers\CrowdStrike\

y tener un nombre de archivo que comience conC-- . A cada archivo de canal se le asigna un número como un identificador único. El archivo de canal impactado en este evento es 291 y tendrá un nombre de archivo que comienza conC-00000291-- y termina con un.sysextensión. Aunque los archivos de canal terminan con la extensión SYS,no son conductores de kernel.

Canal File 291 controla cómo Falcon evalúa la ejecución llamada de en los sistemas Windows. Las tuberías nombradas se utilizan para la comunicación normal, interproceso o intersistema en Windows.

La actualización que ocurrió a las 04:09 UTC fue diseñada para apuntar a tubos recién observados y maliciosos que utilizan los marcos C2 comunes en ciberataques. La actualización de configuración desencadenó un error lógico que resultó en un fallo del sistema operativo.

Archivo de canal 291

CrowdStrike ha corregido el error lógico actualizando el contenido en el archivo de canal 291. 

No se desplegarán cambios adicionales en el archivo de canal 291 más allá de la lógica actualizada. Falcon todavía está evaluando y protegiendo contra el abuso de las tuberías nombradas.

Esto no está relacionado con los bytes nulos contenidos en el archivo de canal 291 o cualquier otro archivo de canal.

Remediación

Las recomendaciones e información de remediación más actualizadas se pueden encontrar en nuestro blog o en el Portal de .

Entendemos que algunos clientes pueden tener necesidades específicas de soporte y les pedimos que se pongan en contacto con nosotros directamente.

Los sistemas que actualmente no se impactan seguirán operando como se esperaba, seguirán proporcionando protección y no tendrán ningún riesgo de experimentar este evento en el futuro.

Los sistemas que ejecutan Linux o macOS no utilizan el archivo de canal 291 y no se afectaron.

Análisis de la causa de la raíz

Entendemos cómo ocurrió este tema y estamos haciendo un análisis de causa raíz exhaustiva para determinar cómo ocurrió este fallo lógico. Este esfuerzo será continuo. Estamos comprometidos a identificar cualquier mejora de los fundamentos o flujos de trabajo que podamos hacer para fortalecer nuestro proceso. Actualizaremos nuestros hallazgos en el análisis de causa raíz a medida que avance la investigación.

 

 

Reportan caída de Facebook e Instagram a nivel mundial

Las sesiones de lo usuarios caducaron y al intentar acceder no pudieron volver a ingresar a Facebook e Instagram.

 

La mañana de este martes se reportó la caída de Facebook e Instagram, después de que las sesiones de los usuarios caducaron y las plataformas no permitieron que volvieran a ingresar.

 

 Así lo dio a conocer el portal de monitoreo de fallas tecnológicas DownDetector, con un pico de los reportes de los usuarios después de las 9:00 horas por los problemas para acceder a las plataformas de Meta, propiedad de Mark Zuckerberg.

 

 

De acuerdo con los testimonios de algunos de los usuarios a nivel mundial, muchos de ellos pensaron que los habían hackeado, pero el susto se calmó cuando notaron que se trataba de una falla a nivel mundial en Facebook e Instagram.

 

“Que alivio saber que es una falla general y no un hackeo de mi cuenta. Ahora solo queda espera que lo solucionen pronto”, expresó una de las usuarias afectadas en el sitio de DownDetector.

 

Algunos indicaron que la falla les perjudicaba para continuar con sus actividades laborales este martes 05 de marzo.

 

Eso de que les perjudicaba para sus tareas laborales esta de verse, MEJOR DICHO SUS ACTIVIDADES SOCIALES.... 

La página de estado de los servicios comerciales de Meta informaba una serie de problemas, incluidas “interrupciones importantes” en el centro de administración del grupo, el inicio de sesión de Facebook, o el servicio comercial de WhatsApp, otra aplicación de la compañía que dirige Mark Zuckerberg. Facebook es, con más de 3.000 millones de usuarios activos, la red social más popular del mundo. Instagram, por su parte, acumula 2.000 millones, los mismos que WhatsApp, también de Meta. Facebook Messenger atrae a 900 millones de usuarios.

No obstante, la caída de estos servicios ha coincidido con reportes de problemas (menos numerosos) en otras plataformas globales, como Google, Gmail o YouTube, lo que pude deberse a un problema de infraestructura más general. Esta última web de vídeos, propiedad de Alphabet, ha reconocido en X que estaba tratando de solucionar los problemas de acceso de algunos usuarios. 

 

El New York Times especula que estos problemas coinciden con la fecha límite del miércoles para que gigantes tecnológicos como Meta, Apple y Google cumplan con la nueva normativa de la Unión Europea, la Ley de Mercados Digitales, que obliga a adaptar sus productos.

 

 

Este gráfico muestra una vista de las notificaciones de problemas enviadas en las últimas 24 horas en comparación con el volumen típico de notificaciones por hora del día. Es habitual que algunos problemas se notifiquen a lo largo del día. Downdetector solo notifica una incidencia cuando la cantidad de notificaciones de problemas es significativamente mayor que el volumen típico para esa hora del día. 

 

Consulta la página de Downdetector Methodology para ver más información sobre cómo Downdetector recopila la información del estado y detecta los problemas. 

 Li. Rodolfo Hernandez Baz

https://x25sec.com/

 

 

 

 

TECNICAS ANTIVIRUS BYPASS

PARTE 1

 

Primeramente hablaremos en breve de como funciona un antivirus.

 

¿Cómo funcionan los antivirus?

El objetivo del software antivirus es determinar si un archivo es malicioso, y debe hacerlo con rapidez para evitar que afecte la experiencia del usuario. Dos métodos que se utilizan mucho en soluciones antivirus para buscar software malicioso son los análisis heurísticos y los basados en firmas:

• El análisis heurístico examina la función de un archivo, y usa algoritmos y patrones para determinar si el software es sospechoso o no
• El análisis basado en firmas examina la forma de un archivo, y busca cadenas y patrones que coincidan con muestras de malware conocidas

quienes crean malware pueden optar por interactuar de dos formas con el antivirus: una es en el disco y la otra en la memoria. Un ejemplo típico de interacción en el disco sería mediante un simple archivo ejecutable. El antivirus tiene más tiempo para analizar un archivo en el disco. Si se carga en la memoria, el antivirus tiene menos tiempo para interactuar y, por lo general, es más probable que el malware se ejecute sin problemas. (KS)

 

 

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

En el malware, se utilizan algunas técnicas para tratar de evitar los AV, VM y Sandboxes, con solo un propósito de poder instalar o ejecutar alguna rutina o dejar un proceso TSR maligno en la computadora y en siguientes líneas les explicaré algunas que eh usado y que enseño a detalle en mis cursos de certificación.

 

°° Técnicas de Bypass °°

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

Esta técnica es conocida como Anti-depurador y es usada para intentar evitar los depuradores usando la API. "IsDebuggerPresent ()" de "Windows.h" para verificar si se está ejecutando un depurador como lo es OLLYDBG o algun otro por los antivirus.

 

Anti-VM / Anti-Sandbox / Anti-AV 

 

Cabe señalar que ya los mismo debuggers como ollydbg ya traen plugins para saltarse está protección.

 

°° Enumerar la función del proceso °°

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

Enumera todos los procesos que se ejecutan en el sistema y se compara con el proceso en la lista negra, si se encuentra un proceso y esto es igual a cualquier proceso en la lista negra, devuelve -1 (identificado). 

 

°° API de Comprobación de aceleración °°

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

Primero, obtiene la hora actual y duerme 2 minutos, luego obtiene la hora nuevamente y compara, si la diferencia es menor que 2, devuelve -1 (identificado). 

 

°° Función de comprobación de dirección de Mac °°

""""""""""""""""""""""""""""""""""""""""

Obtiene la dirección mac del sistema y compara con las mac, en la lista negra, si la dirección mac del sistema es igual a cualquier mac en la lista negra devuelve -1 (identificado).

 

SOFTWARE LIBRE: ANALISIS DE VULNERABILIDADES

 

Desde hace muchísimo tiempo atrás siempre ha estado el debate de estos grandes temas como lo son el software libre y el software de código abierto VS software de paga que empezó ese tema cuando apareció el sistema operativo como lo fue MS-DOS - windows y demás, pero también han surgido muchos errores de interpretación de lo que es SOFTWARE LIBRE Y SOFTWARE DE  CÓDIGO ABIERTO.

 pero esto no estará en debate aquí.

Lo que platicaremos y trataremos de explicar es como se habla mucho del software libre - código abierto y sus bondades pero muy pocas veces se fijan en que también este tipo de software es vulnerable y eso  puede causar un problema grabe en la infraestructura en la que se ejecute.

 

Todo mundo vemos el software, lo descargamos e instalamos pero...... revisaste que fuera seguro?

 

• Vulnerabilidades de desbordamiento de búfer. ...

• Vulnerabilidades de Falsificación de Peticiones en Sitios Cruzados (CSRF) .

• Control de Acceso Débil o Broken Access Control. ...

• Vulnerabilidades de Cross-Site Scripting (XSS) ...

• Vulnerabilidades de inyección SQL.

   

  y muchas mas.... es aquí donde surge otra pregunta..

  
  A QUE RIESGOS NOS ENFRENTAMOS?

  Bueno pues debemos de tener en cuenta y entendiendo todo lo que hemos explicado en lineas anteriores que las vulnerabilidades a las que nos enfrentamos son similares a las del software de pago normal como las de windows. 

   ! Pero, además, el software libre tiene otro tipo de riesgos, lo cual no significa que sea inseguro. !

  Pero si que debemos de saber que:

  • Es imprescindible configurarlo con los requerimientos y permisos que nosotros necesitamos.
  • Es fundamental descargarlo de fuentes y páginas seguras para evitar momentos desagradables como lo es malware o troyanos. Ya que al no tener respaldo directo por parte de ningún fabricante, la evolución del software no está garantizada.
   
  
  Por eso sres. debemos de tener en la mente  los beneficios / riesgos que conlleva la instalación del software libre y llevar a a practica algunas cosas como lo son: teniendo siempre en cuenta tanto los beneficios como los riesgos. Y, como siempre, tendremos que poner en práctica consejos básicos como:

👉Actualizar

👉Hacer siempre copias de seguridad.

👉Contraseñas seguras

👉 Descargar el software de sitios validados y originales.

Y así minimizaremos los problemas, ya que si no hacen esas revisiones se pueden encontrar con cosas como las de la imagen, que es un código abierto y miren lo que contiene de vulnerabilidades:

usando un simple editor y visualizador  de cabeceras http vean lo que se encuentra:

Simplemente lo instalamos y configuramos algunos parámetros de ataque, ejecutamos en el servidor donde instalaron ese código abierto (cabe mencionar que fue tomado este código de un servidor original del programador y que tiene varias tools ya hechas también.

  y miren lo que pasa

Y esto fue encontrado en menos de 1 minuto

Cabe señalar que este bug mas otros 5  fueron encontrados en menos de 1 minuto en este software libre y de código abierto.

POR ESO SRES.  NO SE FÍEN DE NADA.

Li.. Rodolfo Hernández Baz

x25sec.com

 

 

-= CAPACIDADES DEFENSIVAS DE WINDOWS =-

 

Además del antivirus, los administradores pueden aprovechar varias funciones de seguridad de Windows para monitorear y detectar posibles amenazas a la seguridad en sus sistemas.

La interfaz de secuencias de comandos antimalware (AMSI) 

👉Permite que los productos antivirus y antimalware escaneen y analicen el contenido de las secuencias de comandos antes de su ejecución. Los defensores pueden usar AMSI para monitorear scripts en busca de comportamiento malicioso, incluidos intentos de descargar o ejecutar malware.

 
El registro de bloques de scripts de PowerShell 

👉Es una característica de seguridad de Windows que registra los comandos y scripts de PowerShell ejecutados en un sistema. Los administradores pueden usar esta función para monitorear la actividad de PowerShell y detectar scripts sospechosos o maliciosos que pueden usarse en diversos escenarios de ataque.

 

 El seguimiento de eventos para Windows (ETW)

👉Es una característica de seguridad de Windows que proporciona un marco para registrar eventos del sistema. Los administradores pueden utilizar ETW para recopilar una amplia gama de eventos del sistema, incluidas la creación de procesos, la actividad de la red y las modificaciones del registro. 

Estos eventos se pueden analizar para detectar actividades sospechosas e identificar posibles incidentes de seguridad.

 

Al aprovechar estas características de seguridad de Windows, los administradores pueden monitorear sus sistemas en busca de posibles amenazas a la seguridad e identificar y responder rápidamente a cualquier actividad sospechosa. AMSI, PowerShell Script Block Logging y ETW brindan a los defensores herramientas poderosas para monitorear scripts y eventos del sistema, detectar actividades sospechosas e investigar incidentes de seguridad de manera eficiente. 

 

 Saludos. 

Rodolfo Hernández Baz 

X.25 Security Conferences 2024
http://x25sec.com/ 

 Exploits Database

http://www.exploit-db.com/
http://www.intelligentexploit.com
http://www.shodanhq.com/
http://packetstormsecurity.com/

Forensia Aplicada - Métodos antiforense Parte 1 - Tipos de Borrado de datos

¿Qué es la eliminación de datos?

Un algoritmo de eliminación de datos (en inglés disk wiping), en informática, es el usado para el borrado del contenido de dispositivos de almacenamiento, tales como discos duros, memorias flash, memorias USB etc., de forma segura. El algoritmo ejecuta la sobrescritura de los datos almacenados en el dispositivo varias veces y de un modo aleatorio. 

Porqué es necesario? 

 
La eliminación permanente de datos va más allá de los comandos básicos de eliminación de archivos, que solo eliminan punteros directos a los sectores del disco de datos dejando abierta la posibilidad de recuperación de datos con herramientas de software comunes o especializadas. La desmagnetización y la destrucción física hacen que los medios de almacenamiento sean inutilizables de allí en más. 

¿Cómo se elimina correctamente un archivo?

Al eliminar un archivo, se quita de la ubicación donde se almacena. Si la ubicación de almacenamiento es el disco duro, el archivo se mueve a la Papelera de reciclaje. Si la ubicación de almacenamiento es un disco, un CD o una ubicación de red, el archivo se destruirá.

No puede eliminar un archivo mientras alguien lo tiene abierto en cualquier programa. El archivo debe cerrarse y, si es un archivo compartido, debe estar activado y para eliminarlos existen varios métodos que mas adelante iremos explicando

¿Por qué necesitamos eliminar un archivo?

La principal razón por la que borrar este tipo de archivos es la de ahorrar espacio en el disco duro de tu ordenador. Aunque estos archivos se crean para realizar operaciones concretas, con el paso del tiempo se acaban acumulando sin que tengan especiales utilidades. Y de ahí que si andas mal de almacenamiento borrarlos sea uno de los primeros pasos a dar.

MÉTODO ANTIFORENSE

**************************

 

¿Eliminación Normal de Archivos y datos?

La eliminación normal de archivos es lo mismo que cambiar/eliminar. No se modifica ni sobrescribe ningún dato y el nombre del archivo permanece intacto.

La eliminación segura cambia el nombre del archivo y lo sobrescribe con cualquier opción elegida.

 

 

 

¿Qué significa llenado cero? 

 

El relleno cero es un método para formatear un disco duro mediante el cual el formateador borra el contenido del disco sobrescribiéndolo con ceros. Cada bit presente en el disco se reemplaza por un valor cero, de ahí el nombre de relleno cero. Una vez que los datos se sobrescriben con ceros, el proceso no se puede deshacer desde el disco duro. Debido al hecho de que los datos se manipulan al nivel más básico, este método o forma de formatear se denomina formateo de bajo nivel.

 

*********************************

¿Qué es el estándar DoD (DoD 5220.22-M)?

 

El "estándar DoD", que se refiere a DoD 5220.22-M, es un término que se usa a menudo en la industria del saneamiento de datos. Pero, 

 

¿qué significa este "estándar" para las empresas, las entidades gubernamentales, los ITAD y los proveedores de soluciones de desinfección de datos?

 

Para borrar con eficacia los datos almacenados previamente, las técnicas más sencillas sobrescriben las áreas de almacenamiento de la unidad de disco duro con los mismos datos en todas partes, a menudo utilizando un patrón de ceros. El "estándar" del DoD y otros similares llevan la sobrescritura un paso más allá con métodos de sobrescritura aleatoria prescritos. Como mínimo, dichas aplicaciones evitarán que los datos se recuperen a través de métodos de recuperación de datos estándar.

*****************************

 

¿Qué es el método de Gutmann Wipe 35 pasos?

 

El método Gutman es un algoritmo para borrar de forma segura el contenido de los discos duros de los ordenadores. Fue diseñado por Peter Gutmann y Colin Plumb en 1996. Consigue un borrado completo del contenido del disco escribiendo repetidamente 35 segmentos en los sectores a borrar.

 

Utiliza un carácter aleatorio, no sólo los ceros utilizados en otras técnicas, para las 4 primeras y las 4 últimas pasadas. Desde la 5ª hasta la 31ª pasada se utiliza un patrón de sobrescritura complejo. En total, escribirá 35 veces. Este es el método de borrado más completo, pero también lleva mucho tiempo debido a los múltiples tiempos de borrado.

 

BY Rodolfo Hernández Baz - Pr@fEsOr X

FRAMEWORKS APLICADOS A LA FORENSIA INFORMATICA

 

--> Autopsy - SleuthKit GUI

 

--> dff - Forensic framework

 

--> dexter - Dexter is a forensics acquisition framework designed to be extensible and secure.

 

--> hashlookup-forensic-analyser - A tool to analyse files from a forensic acquisition to find known/unknown hashes from hashlookup API or using a local Bloom filter.

 

--> IntelMQ - IntelMQ collects and processes security feeds

 

--> Kuiper - Digital Investigation Platform

 

--> Laika BOSS - Laika is an object scanner and intrusion detection system.

 

--> PowerForensics - PowerForensics is a framework for live disk forensic analysis

 

-->The Sleuth Kit - Tools for low level forensic analysis

 

--> turbinia - Turbinia is an open-source framework for deploying, managing, and running forensic workloads on cloud platforms.

 

--> IPED - Indexador e Processador de Evidências Digitais - Brazilian Federal Police Tool for Forensic Investigations.

 

--> Wombat Forensics - Forensic GUI tool

 

#CWHP #HACKING #FORENSIC #Reversing

https://cwhp.mx/