Tools: Forensic Toolkit 1.71

Forensic Toolkit 1.71, een casus

De FTK is een tool die professioneel wordt ingezet bij het terughalen van bestanden. Via een tamelijk eenvoudig wizard kan je een zaak (case) opzetten en aangeven wat je wel en niet wilt laten onderzoeken.

Download de FTK hier ongeveer 35 MB groot

Download het casus image hier ongeveer 1.4 MB groot
Dit is GEEN zip bestand, na het downloaden de extensie verwijderen. (Mijn provider staat maar weinig extensies toe om te worden gedwonload).

STAP 1 aanvang casus

Kies new case en dan OK

STAP 2 gegevens van de onderzoeker

Vul gegevens in en dan next

STAP 3 (geen plaatje) gegevens van het onderzoekende bedrijf
Vul weer gegevens in en dan next

STAP 4 (geen plaatje) Log mogelijkheden
laat alles aangevinkt staan en klik next

STAP 5 wat wil je laten uitvoeren?

Vink aan/uit zoals hierboven in het plaatje. Klik nu op Carving Options (!!Belangrijk) en vink aan zoals hieronder

Klik OK en dan next

STAP 6 Je onderzoek verfijnen
Tijdens deze stap kan je precies aangeven wat je wel en niet wilt laten zoeken, bekijk de opties rustig en besluit wat je wilt. Voor dit onderzoek vul in zoals in het plaatje

STAP 7 (geen plaatje) Nogmaals verfijnen
Bekijk rustig, maar laat alles zoals het is klik next

STAP 8 Bewiijsmateriaal toevoegen. Dit is een image of een USB stick of natuurlijk een harde schijf

Kies “Acquired image of Disk” en klik continue
Blader naar de juiste map en selecteer het image bestand wat je aan het begin hebt gedownload
Vul juiste zone en gegevens in klik OK

In het Add evidence scherm klik next
STAP 8 (geen plaatje) Dit is het overzichtsscherm

Klik finish

Even geduld, FTK onderzoekt nu de image

Hieronder de korte casus die bij het inmage behoort. have some goodtimes

De image is een exacte kopie van een floppy disk. De floppy is gevonden in de PC van een verdachte, een eventuele drugsdealer, en bevat informatie om hem te kunnen oppakkenProbeer de vragen die in de opdracht staan te beantwoorden. Let op dat je casus er uitziet zoals hieronder te zien is.

Je bent nu gereed het image te gaan bekijken, het scherm hierboven is verschenen. Je ziet bovenin het scherm een aantal tabbladen, waarvan overview is geselecteerd. Je kunt hier doorheen bladeren en een indruk van het programma krijgen. Ook zie je “total file items” op een button staan (in het plaatje ingedrukt). Door op de verschillende knoppen te klikken (die geen 0-waarde hebben) zie wat er zoal op de flop te vinden is.
Probeer nu zelf de vragen te beantwoorden die onderin de opdracht staan. Begin met het doorlezen van de casus.
Tips :

Als je in de lijst met gevonden items op een item klikt krijg je rechts meer info te zien
Begin met de verschillende gevonden items te selecteren en te bekijken
Het wachtwoord waar je tegenaan loopt staat in deze post, twee woorden aan elkaar.
Als je een bestand wilt openen wat in de image zit kies je rechtmuisknop en dan Launch with associated program

CASUS
The scenario is: Joe Jacobs, 28, was arrested yesterday on charges of selling illegal drugs to high school students. A local police officer posed as a high school student was approached by Jacobs in the parking lot of Smith Hill High School. Jacobs asked the undercover cop if he would like to buy some marijuana. Before the undercover cop could answer, Jacobs pulled some out of his pocket and showed it to the officer. Jacobs said to the officer “Look at this stuff, Colombians couldn’t grow it better! My supplier not only sells it direct to me, he grows it himself.”
Jacobs has been seen on numerous occasions hanging out at various local high school parking lots around 2:30pm, the time school usually ends for the day. School officials from multiple high schools have called the police regarding Jacobs’ presence at their school and noted an increase in drug use among students, since his arrival.
The police need your help. They want to try and determine if Joe Jacobs has been selling drugs to students at other schools besides Smith Hill. The problem is no students will come forward and help the police. Based on Joe’s comment regarding the Colombians, the police are interested in finding Joe Jacob’s supplier/producer of marijuana.

Jacobs has denied selling drugs at any other school besides Smith Hill and refuses to provide the police with the name of his drug supplier/producer. Jacobs also refuses to validate the statement that he made to the undercover officer right before his arrest. Upon issuing a search warrant and searching of the suspect’s house the police were able to obtain a small amount of marijuana. The police also seized a single floppy disk, but no computer and/or other media was present in the house.

The police have imaged the suspect’s floppy disk and have provided you with a copy. They would like you to examine the floppy disk and provide answers to the following questions. The police would like you to pay special attention to any information that might prove that Joe Jacobs was in fact selling drugs at other high schools besides Smith Hill. They would also like you to try and determine if possible who Joe Jacob’s supplier is. Jacob’s posted bail set at $10,000.00. Afraid he may skip town, the police would like to get him locked up as soon as possible. To do so, the police have asked that you have the results fully completed and submitted by

October 25, 2002. Please provide the police with a strong case consisting of your specific findings related to the questions, where the findings are located on the disk, processes and techniques used, and any actions that the suspect may have taken to intentionally delete, hide and/or alter data on the floppy disk. Good Luck!

Vragen
1. Who is Joe Jacob’s supplier of marijuana and what is the address listed for the supplier? (staat in een document, gemakkelijk te vinden)
2. What crucial data is available within the coverpage.jpg file and why is this data crucial? (de coverpage is het voorblad van een drugstijdschirft, bekijk plaatjes)
3. What (if any) other high schools besides Smith Hill does Joe Jacobs frequent? (In de image bevindt zich een excel spreadsheet waarin adressen van scholen, dit is de moeilijkste om te kraken, de spreadsheet is wachtwoord beveiligd. Het wachtwoord bevindt zich op de floppy en in deze post)

Als je de lijst met scholen hebt geopend heb je de casus gekraakt.

Wil je alles weten? mail naar info {@} digon.nl