Phenquestions
Figura 1: Kali Linux
Generalmente, al realizar análisis forenses en un sistema informático, se debe evitar cualquier actividad que pueda cambiar o modificar el análisis de datos del sistema. Otras computadoras de escritorio modernas generalmente interfieren con este objetivo, pero con Kali Linux a través del menú de inicio, puede habilitar un modo forense especial.
Herramienta Binwalk:
Binwalk es una herramienta forense en Kali que busca en una imagen binaria específica códigos y archivos ejecutables. Identifica todos los archivos que están incrustados dentro de cualquier imagen de firmware. Utiliza una biblioteca muy eficaz conocida como "libmagic", que clasifica las firmas mágicas en la utilidad de archivos Unix.
Figura 2: Herramienta CLI de Binwalk
Herramienta de extracción a granel:
La herramienta de extracción masiva extrae números de tarjetas de crédito, enlaces URL, direcciones de correo electrónico, que se utilizan como evidencia digital. Esta herramienta le permite identificar malware y ataques de intrusión, investigaciones de identidad, vulnerabilidades cibernéticas y descifrado de contraseñas. La especialidad de esta herramienta es que no solo funciona con datos normales, sino que también funciona con datos comprimidos y datos incompletos o dañados.
Figura 3: Herramienta de línea de comandos Bulk extractor
Herramienta HashDeep:
La herramienta hashdeep es una versión modificada de la herramienta hash dc3dd diseñada especialmente para análisis forense digital. Esta herramienta incluye hash automático de archivos, i.mi., sha-1, sha-256 y 512, tiger, whirlpool y md5. Se escribe automáticamente un archivo de registro de errores. Los informes de progreso se generan con cada salida.
Figura 4: Herramienta de interfaz HashDeep CLI.
Herramienta de rescate mágico:
Magic Rescue es una herramienta forense que realiza operaciones de escaneo en un dispositivo bloqueado. Esta herramienta utiliza bytes mágicos para extraer todos los tipos de archivos conocidos del dispositivo. Esto abre dispositivos para escanear y leer los tipos de archivos y muestra la posibilidad de recuperar archivos eliminados o particiones dañadas. Puede funcionar con todos los sistemas de archivos.
Figura 5: Herramienta de interfaz de línea de comandos de rescate mágico
Herramienta de bisturí:
Esta herramienta forense talla todos los archivos e indexa las aplicaciones que se ejecutan en Linux y Windows. La herramienta de bisturí admite la ejecución de subprocesos múltiples en múltiples sistemas centrales, lo que ayuda en ejecuciones rápidas. La talla de archivos se realiza en fragmentos como expresiones regulares o cadenas binarias.
Figura 6: Herramienta de talla forense de bisturí
Herramienta Scrounge-NTFS:
Esta utilidad forense ayuda a recuperar datos de discos o particiones NTFS dañados. Rescata datos de un sistema de archivos dañado a un nuevo sistema de archivos en funcionamiento.
Figura 7: Herramienta de recuperación de datos forenses
Herramienta Guymager:
Esta utilidad forense se utiliza para adquirir medios para imágenes forenses y tiene una interfaz gráfica de usuario. Debido a su procesamiento y compresión de datos multiproceso, es una herramienta muy rápida. Esta herramienta también es compatible con la clonación. Genera imágenes planas, AFF y EWF. La interfaz de usuario es muy fácil de usar.
Figura 8: Utilidad forense GUI de Guymager
Herramienta PDFid:
Esta herramienta forense se utiliza en archivos pdf. La herramienta escanea archivos pdf en busca de palabras clave específicas, lo que le permite identificar códigos ejecutables cuando se abre. Esta herramienta resuelve los problemas básicos asociados con los archivos pdf. Luego, los archivos sospechosos se analizan con la herramienta analizador de pdf.
Figura 9: Utilidad de interfaz de línea de comandos Pdfid
Herramienta de analizador de PDF:
Esta herramienta es una de las herramientas forenses más importantes para archivos pdf. pdf-parser analiza un documento pdf y distingue los elementos importantes utilizados durante su análisis, y esta herramienta no representa ese documento pdf.
Figura 10: Herramienta forense CLI de analizador de PDF
Herramienta Peepdf:
Una herramienta de Python que explora documentos PDF para determinar si es inofensiva o destructiva. Proporciona todos los elementos necesarios para realizar análisis de PDF en un solo paquete. Muestra entidades sospechosas y admite varias codificaciones y filtros. También puede analizar documentos cifrados.
Figura 11: Herramienta de Python Peepdf para la investigación de PDF.
Herramienta de autopsia:
Una autopsia es una utilidad forense todo en uno para una rápida recuperación de datos y filtrado de hash. Esta herramienta talla archivos y medios eliminados del espacio no asignado usando PhotoRec. También puede extraer la extensión EXIF multimedia. Escaneos de autopsia para el indicador de compromiso utilizando la biblioteca STIX. Está disponible en la línea de comandos y en la interfaz GUI.
Figura 12: Autopsia, todo en un paquete de utilidad forense
Herramienta img_cat:
La herramienta img_cat proporciona el contenido de salida de un archivo de imagen. Los archivos de imagen recuperados tendrán metadatos y datos incrustados, lo que le permite convertirlos en datos sin procesar. Estos datos sin procesar ayudan a canalizar la salida para calcular el hash MD5.
Figura 13: Conversor y recuperación de datos incrustados de img_cat a datos sin procesar.
Herramienta ICAT:
ICAT es una herramienta Sleuth Kit (TSK) que crea una salida de un archivo en función de su identificador o número de inodo. Esta herramienta forense es ultrarrápida, abre las imágenes del archivo con nombre y las copia en la salida estándar con un número de inodo específico. Un inodo es una de las estructuras de datos del sistema Linux que almacena datos e información sobre un archivo Linux, como la propiedad, el tamaño del archivo y los permisos de tipo, escritura y lectura.
Figura 14: Herramienta de interfaz basada en consola ICAT
Herramienta Srch_strings:
Esta herramienta busca cadenas ASCII y Unicode viables dentro de datos binarios y luego imprime la cadena de desplazamiento que se encuentra en esos datos. La herramienta srch_strings extraerá y recuperará las cadenas presentes en un archivo y proporcionará un byte de compensación si se solicita.
Figura 15: Herramienta forense de recuperación de cadenas
Conclusión:
Estas 14 herramientas vienen con Kali Linux en vivo y las imágenes del instalador, son de código abierto y están disponibles de forma gratuita. En el caso de una versión anterior de Kali, sugeriría una actualización a la última versión para obtener estas herramientas directamente. Hay muchas otras herramientas forenses que cubriremos a continuación. Vea la parte 2 de este artículo aquí.
