[अनुवाद] नियंत्रण कक्ष के साथ जोड़तोड़ की जांच। भाग 1

सभी को नमस्कार! आज हम आपके लेख "कंट्रोल पैनल फॉरेंसिक्स: एविडेंस ऑफ टाइम मैनिपुलेशन एंड मोर ..." के अनुवाद पर आपका ध्यान आकर्षित करते हैं, लेखक चाड टिलबरी ने अमेरिकी वायु सेना के विशेष जांच कार्यालय में एक विशेष एजेंट के रूप में काम किया और उसके बाद उन्होंने अमेरिकन फिल्म डिस्ट्रीब्यूटर्स एसोसिएशन में पायरेसी से निपटना शुरू किया। यह व्यक्ति पाठ्यपुस्तकों से कंप्यूटर अपराध की जांच के बारे में नहीं जानता है। तो चलिए शुरू करते है!



नियंत्रण कक्ष एक लंबे समय से ज्ञात विंडोज टूल है जो आपको बड़ी संख्या में सिस्टम सेटिंग्स को बदलने की अनुमति देता है। समूह नीतियों का उपयोग करके नियंत्रण कक्ष का उपयोग सीमित किया जा सकता है, लेकिन किसी भी स्थिति में, अधिकांश खातों के लिए कुछ पैनल तत्व उपलब्ध हैं (कुछ परिवर्तनों के लिए आपको व्यवस्थापक अधिकारों की आवश्यकता है)। जांच के दौरान, हम उपयोगकर्ता कार्यों की एक विस्तृत श्रृंखला की पहचान करने के लिए नियंत्रण कक्ष के उपयोग का ऑडिट कर सकते हैं, जैसे:

• भविष्य में अनधिकृत सॉफ़्टवेयर का उपयोग करने के लिए फ़ायरवॉल सेटिंग्स (फ़ायरवॉल.कैप) में परिवर्तन आवश्यक है;
• खाते जोड़ना / बदलना (nusrmgr.cpl);
• सिस्टम पुनर्स्थापना और छाया बैकअप सेवाओं को अक्षम करना (sysdm.cpl);
• सिस्टम का समय बदलें (timedate.cpl);
• सुरक्षा सेटिंग बदलने वाले तृतीय-पक्ष एप्लिकेशन के साथ सहभागिता।

सिस्टम में व्यक्तिगत परिवर्तनों की पहचान करने की प्रक्रिया, कम से कम, यह दिखाने के लिए अनुमति देती है कि नियंत्रण कक्ष से कौन से एपलेट उपयोगकर्ता द्वारा लॉन्च किए गए थे और जब यह हुआ। कलाकृतियों यानी सिस्टम में छोड़े गए निशान हमारी जांच के लिए अतिरिक्त जानकारी प्रदान कर सकते हैं। विशेष रूप से महत्वपूर्ण संदर्भ, क्रियाओं का क्रम है। कल्पना करें कि आप पहचानते हैं कि नियंत्रण कक्ष का उपयोग कैसे किया गया था और निम्न चित्र देखें:







समर्थन केंद्र तक पहुंच (इस एप्लेट को अंग्रेजी संस्करण में सुरक्षा केंद्र कहा जाता है) अपने आप में विशेष रूप से दिलचस्प नहीं है। लेकिन यह ध्यान में रखना होगा कि राउटर पर पासवर्ड चुनने के लिए प्रसिद्ध उपकरण को लॉन्च करने के तुरंत बाद इस एप्लेट को खोला गया था। जैसा कि वे कहते हैं, अंतर महसूस करो!

नियंत्रण कक्ष अवलोकन

विंडोज कंट्रोल पैनल में कई एप्लेट्स होते हैं, प्रत्येक को * .cpl फाइल द्वारा दर्शाया जाता है

Apple आमतौर पर% सिस्टम रूट% \ System32 फ़ोल्डर में संग्रहीत होते हैं। फ़ाइल 'control.exe' का उपयोग एप्लेट खोलने के लिए किया जाता है, लेकिन, विंडोज पर अन्य कार्यों के लिए, अनंत तरीके हैं - एप्लेट कैसे एक्सेस करें:

• नियंत्रण कक्ष के ग्राफिक इंटरफ़ेस के माध्यम से;
• प्रारंभ मेनू> रन के माध्यम से;
• टास्कबार का उपयोग करना (उदाहरण के लिए, "तिथि और समय निर्धारित करना");
• कमांड लाइन (सिंटैक्स: control.exe timedate.cpl) का उपयोग करना;
• विंडोज 8 स्टार्ट स्क्रीन का उपयोग करते हुए, "कंट्रोल पैनल" लिखें।

अलग-अलग तरीकों का उपयोग करना सिस्टम में अलग-अलग निशान छोड़ देता है। दुर्भाग्य से, कुछ मामलों में कोई भी निशान नहीं हो सकता है, यह एप्लेट निष्पादन विधियों और विंडोज के संस्करण पर निर्भर करता है। अच्छी खबर यह है कि नियंत्रण कक्ष का उपयोग करने के निशान सिस्टम के विभिन्न स्थानों में रहते हैं - आप लगभग हमेशा एक जांच के लिए आवश्यक डेटा पा सकते हैं।

एप्लेट लॉन्च साक्ष्य संग्रह

विंडोज प्रीफैच इंजन



विंडोज प्रीफैच इंजन एप्लिकेशन के निष्पादन को ट्रैक करता है। नियमित अनुप्रयोगों के विपरीत, एप्लेट * .pf फ़ाइलों को C: \ Windows \ prefetch फ़ोल्डर में नहीं छोड़ते हैं। हम मान सकते हैं कि "Control.exe" फ़ाइल हमें एप्लेट लॉन्च के सबूत के साथ प्रदान करेगी, लेकिन दुर्भाग्य से इसकी प्रीफैच फाइल (यदि यह मौजूद है) केवल इंगित करती है कि नियंत्रण कक्ष खुला था। यह पता लगाने के लिए कि कौन सी एप्लेट शुरू हुई, हमें और अधिक गहराई से खुदाई करने की आवश्यकता है! जब आप एप्लेट चलाते हैं, तो RunDLL32.exe प्रक्रिया के लिए प्रीफच फाइल में एक लिंक बनाया जाता है। RunDLL32.exe प्रक्रिया की प्रीफ़ैच फ़ाइलों में एक से अधिक लिंक, एक ही ऐपलेट की ओर इशारा करते हुए, संकेत करते हैं कि ऐपलेट को विभिन्न तरीकों से लॉन्च किया गया था। इस तरह के लिंक विंडोज प्रीफैच तंत्र के हैश फ़ंक्शन गणना एल्गोरिदम के परिणामस्वरूप बनाया जा सकता है, जिसे हेक्सोर्न ब्लॉग में पूरी तरह से वर्णित किया गया है।



RunDLL32.exe प्रक्रिया के लिए प्रीफ़ैच फ़ाइल में एप्लेट का लिंक भी हो सकता है (लेकिन हमेशा नहीं - एप्लेट पर निर्भर करता है और इस प्रक्रिया को किस आधार पर कहा जाता है)। RunDLL32 और DLLHost प्रक्रियाओं की प्रीफ़ैच फ़ाइलों में इस तरह के लिंक खोजना एक श्रमसाध्य कार्य है, लेकिन यह व्यर्थ नहीं है कि हम वसंत और श्रम की छुट्टी मनाते हैं useful, मैं उपयोगी जानकारी के रूप में इनाम का वादा करता हूं - आपको सिस्टम में पहले और आखिरी एप्लेट लॉन्च का समय प्राप्त होगा, और आप भी सीखेंगे एप्लेट को कितनी बार चलाया गया है।



नीचे दिए गए आंकड़े में, हम देखते हैं कि RUNDLL32.EXE-2F51D544.pf फ़ाइल से निकाली गई जानकारी इंगित करती है कि दिनांक और समय एप्लेट कम से कम एक बार, 6 अप्रैल, 2013 को 04:14:58 UTC पर चलाया गया था।







RunDLL32 प्रक्रिया की प्रीफ़ैच फ़ाइलों पर शोध करते समय, मैं सुझाव देता हूं कि आप ध्यान से विभिन्न सिस्टम एप्लिकेशन की निगरानी करें, उदाहरण के लिए, MMC प्लगइन्स (COMPMGMT.MSC)। Prefetch फ़ाइलों पर शोध करने के लिए एक उत्कृष्ट उपकरण मार्क Woan द्वारा बनाया गया था।



Windows रजिस्ट्री: उपयोक्ता (एक्सपी / विस्टा केवल)



प्रीफ़ैच फाइलें अधिक या कम विश्वसनीय सबूत हैं, लेकिन उनकी महत्वपूर्ण कमी यह है कि वे सिस्टम में किए गए कार्यों को उपयोगकर्ता खाते से नहीं जोड़ते हैं। NTUSER.dat रजिस्ट्री हाइव (NTUSER.DAT \ Software \ Microsoft \ Windows \ Current \ Version \ Explorer \ UserAssist) में निहित "यूजरसिस्ट" कुंजी, हमें इस अंतर को भरने की अनुमति देती है।







यह आंकड़ा विंडोज एक्सपी में बने कंट्रोल पैनल का उपयोग करने के बारे में रिकॉर्ड दिखाता है। उपसर्ग "UEME_RUNCPL" पर ध्यान देना आवश्यक है, जिसके साथ प्रत्येक पंक्ति शुरू होती है। यह एक्सपी और विस्टा में इस्तेमाल की जाने वाली पहचानकर्ता है जो क्रियाओं को इंगित करने के लिए है जो विशेष रूप से नियंत्रण कक्ष एप्लेट के निष्पादन से संबंधित हैं। हमारे मामले में, हम देखते हैं कि उपयोगकर्ता ने केवल 10 बार चार अलग-अलग ऐपलेट लॉन्च किए। आखिरी बार एप्लेट 4 मई, 2013 को 21:41:41 पर लॉन्च किया गया था। डिडिएर स्टीवंस द्वारा UserAssist एविडेंस टूल विकसित किया गया था ।



विंडोज 7 की रिलीज के साथ, उपयोगकर्ताएज़िस्ट तंत्र में महत्वपूर्ण परिवर्तन हुए हैं। विंडोज 7 | 8 सिस्टम पर एप्लेट्स के लॉन्च के विश्वसनीय साक्ष्य का संग्रह समर्थित नहीं है; इसके बजाय, हम तथाकथित का उपयोग कर सकते हैं। कूद सूची (जंपलिस्ट), आधुनिक ऑपरेटिंग सिस्टम में एप्लेट लॉन्च के निशान वाली जानकारी का एक स्रोत है।

हम इसके बारे में अगले भाग में बात करेंगे।