Procedimientos Forenses-Varios - Página 3

popo · 24-Jul-2009, 04:48

Como veo que nadie dice nada, pues gracias por todo y hasta otra

warriorhood · 25-Jul-2009, 13:02

Cita:

Iniciado por popo

Me robaron un video de mi trabajo, lo colgaron en youtube con mi nombre, me lo he podido bajar de youtube, se puede mirar si puedo sacar alguna información de donde o quien lo subió

disculpa la demora en responderte, merezco un menos 1, bien si estás seguro que alguien accedió a tu pc en forma directa y robó el vídeo, podrás saber información de la fecha y hora del robo utilizando la aplicación forense EVIDENCE COLLECTOR, de la cual te dejo el link de descarga y la web donde te informan acerca de éste software.

Security Database IT Watching - Evidence Collector

amperis, un blog de un informático: evidence collector

Confírmame si te sirvió la info o si tienes dudas al respecto.

popo · 25-Jul-2009, 15:12

Gracias por el programa , muy interesante lo he probado y me ha gustado mucho , te comentare algo cuando lo pruebe en el trabajo , espero que me funcione en el ordenador si se salta los privilegios de administrador

popo · 26-Jul-2009, 03:14

El video flv que tengo en mi poder , bajado según la empresa de youtube , se podría mirar para poder sacar alguna información del propio video

pato_arancibia · 26-Jul-2009, 08:02

Execelente tutorial amigo, lo transforme en pdf para tener en mas formatos, espero que me lo permitas, saludos y gracias.

warriorhood · 26-Jul-2009, 13:12

Cita:

Iniciado por popo

El video flv que tengo en mi poder , bajado según la empresa de youtube , se podría mirar para poder sacar alguna información del propio video

No me habéis entendido o no me he explicado bien, la aplicación EVIDENCE COLLECTOR la debes ejecutar en el pc de donde te robaron el vídeo, después de ejecutarla, revisas los logs de informe y allí te aparecerá los accesos que se han tenido al pc, qué archivos se han modificado o sacaddo del pc, cuándo a qué horas...etc. Inténtalo y me contás.

Tronador · 26-Jul-2009, 13:50

Con todo lo que has contado yo creo que es mas probable que alguien de la empresa lo haya sacado de tu equipo a que un juaker se haya metido a tu equipo y lo haya robado (Navaja de Ockham). Ademas si un juaker lo hubiera robado de tu equipo seria culpa de la empresa y no tuya porque es responsabilidad de ellos la seguridad de los equipos informáticos.

Si como yo crees que han tenido acceso físico a tu PC puedes revisar el log de Windows y ver si hay horas que no correspondan a las de tus actividades normales. Los eventos que debes buscar que han quedado registrados tienen como identificador (o EventID) estos:

6005: The Event log service was started.
6006: The Event log service was stopped.

El 6005 se registra cuando se enciende el equipo y el 6006 se registra al apagarse el equipo. También puedes buscar el 6008 correspondiente a mal apagado. Viendo eso y viendo las fechas que también son mostradas en el visor puedes sacar tus conclusiones.

Información sobre como ver los eventos en el visor de eventos de Windows: How to view and manage event logs in Event Viewer in Windows XP

Orphen · 26-Jul-2009, 19:08

jeje ta bueno aunque yo lo hacia a la antiguita

Cita:

cat /dev/sda > /home/user/imagen.iso

pd: me gusta el del nc jeje muy util

Tronador · 26-Jul-2009, 21:05

Lo que ocurre es que el usar pipes ( > ) representa una gran penalización en cuanto el rendimiento. Ademas el dd es mas configurable, puedes usar el parametro bs=xx donde xx es el tamaño de buffer que quieras usar para el copiado.

Saludos

popo · 27-Jul-2009, 15:59

No me deja en el ordenador del trabajo, el antivirus me lo borra y no puedo arrancarlo , no tengo derechos de administrador