Thomas.will am 23. Juni 2026 um 09:25 Uhr

2026-06-23T09:25:32Z

Thomas.will: Die Seite wurde neu angelegt: „= Forensik-Szenario präparieren (Disk Salting) = Anleitung zum gezielten Pflanzen von Artefakten auf einem Windows-Target (hier: Tiny11), damit Teilnehmer da…“

2026-06-23T09:18:27Z

Die Seite wurde neu angelegt: „= Forensik-Szenario präparieren (Disk Salting) = Anleitung zum gezielten Pflanzen von Artefakten auf einem Windows-Target (hier: Tiny11), damit Teilnehmer da…“

Neue Seite

= Forensik-Szenario präparieren (Disk Salting) =

Anleitung zum gezielten Pflanzen von Artefakten auf einem Windows-Target
(hier: Tiny11), damit Teilnehmer das Image anschließend in
[[Autopsy]] forensisch zerlegen und die Spuren rekonstruieren.

Prinzip: nicht wahllos Dateien ablegen, sondern eine '''kohärente Story'''
inszenieren. Jeder Fund muss in die Erzählung passen, sonst entsteht kein
Ermittlungs-Narrativ. Am Ende steht ein [[#Lösungsschlüssel|Lösungsschlüssel]],
ohne den das Lab nicht bewertbar ist.

== Szenario-Konzept ==

;Beispiel-Story (Insider-Exfiltration)
:Mitarbeiter ''C. Mueller'' will vor der Kündigung Firmendaten mitnehmen.
:Er recherchiert eine Tauschplattform, lädt ein Pack-Tool, archiviert
:interne Dokumente, kopiert sie auf einen USB-Stick, löscht die Spuren
:und manipuliert Zeitstempel.

Daraus ergeben sich automatisch die zu pflanzenden Artefakt-Klassen
(Browser, Execution, Dateisystem, USB, Anti-Forensik). Wer die Story
zuerst schreibt, säet konsistent.

;Alternativ
:Malware-Infektion (Download → Ausführung → Persistenz → C2) – verzahnt
:sich gut mit der [[VulnSite]]-Angriffskette: das präparierte Image ist
:das Opfer-System, die Teilnehmer finden ihren eigenen Angriff wieder.

== Vorbereitung ==

;Saubere Ausgangslage sichern (Rückfallpunkt)
*VM herunterfahren, Snapshot anlegen
;Realistisches Benutzerprofil anlegen (nicht der Default-Admin)
*Konto ''cmueller'' anlegen, einloggen, kurz "leben" lassen

Alle folgenden Schritte als ''cmueller'' interaktiv ausführen –
nur dann entstehen die userbezogenen Registry- und Prefetch-Spuren.

== Artefakte säen ==

=== Browser-Aktivität ===

;Recherche + Download inszenieren (Edge/Firefox normal bedienen)
*Tauschplattform googeln, ein paar typed URLs erzeugen
*Pack-Tool (z.B. 7-Zip) "verdächtig" herunterladen
*ggf. Lesezeichen setzen

Findbar später: History, Downloads, typed URLs, Cache.

=== Execution-Artefakte ===

;Programme mehrfach starten (erzeugt Prefetch + UserAssist)
*heruntergeladenes Tool 2–3x per Doppelklick ausführen
;Win+R-Befehle absetzen (RunMRU)
<pre>
powershell
cmd
\\2XX.2XX.2XX.2XX\share
</pre>
;Dokumente öffnen (RecentDocs, JumpLists, LNK)
*ein paar .docx/.pdf öffnen

Findbar: Prefetch, UserAssist, ShimCache/AmCache, RecentDocs, LNK.

=== Dateisystem & Exfil ===

;Interne Dokumente archivieren (das "Diebesgut")
<pre>
"C:\Program Files\7-Zip\7z.exe" a C:\Users\cmueller\Desktop\projekt_export.7z C:\Daten\*.docx
</pre>
;Datei mit irreführender Endung tarnen
*projekt_export.7z → urlaubsfotos.jpg umbenennen
;Alternate Data Stream verstecken (klassischer Finde-Trick)
<pre>
cmd /c "echo PASSWORT: 2Xstreng-geheimX2 > C:\Users\cmueller\Desktop\notiz.txt:hidden.txt"
</pre>
;Datei löschen → später recovern
*ein belastendes Dokument erstellen, dann in den Papierkorb
;Papierkorb teilweise leeren (erzeugt $I/$R bzw. gelöschte Reste)

Findbar: gelöschte Dateien (Carving), Recycle Bin, ADS, Extension-Mismatch.

=== USB-Artefakte ===

;USB-Stick virtuell durchreichen und Datei drauf kopieren
*in VirtualBox/Proxmox USB-Device an die VM binden
*projekt_export auf den Stick kopieren, Stick "abziehen"

Findbar: USBSTOR-Registry, setupapi.dev.log, MountedDevices, ShellBags.

=== Kommunikation / Credentials (optional, Hollywood-Würze) ===

;Verräterischen Text ablegen
*Mailentwurf oder notiz.txt: "Stick ist abholbereit, Treffpunkt 2X Uhr"
;Passwortdatei "vergessen"
*passwoerter.txt im Profil

=== Steganografie (CTF-Element, optional) ===

;Flag in einem Bild verstecken (auf einer Linux-Box vorbereiten)
<pre>
steghide embed -cf urlaub.jpg -ef flag.txt -p 2Xgeheim2X
</pre>
*Bild danach auf das Target legen

== Anti-Forensik (Fortgeschrittene) ==

Macht das Lab realistischer und liefert eigene Lernziele (Manipulation
erkennen). Bewusst dosieren.

;Zeitstempel manipulieren (Timestomping)
<pre>
$f = Get-Item C:\Users\cmueller\Desktop\urlaubsfotos.jpg
$f.LastWriteTime = "2020-01-01 02:00:00"
$f.CreationTime = "2020-01-01 02:00:00"
$f.LastAccessTime = "2020-01-01 02:00:00"
</pre>
;Eventlog leeren (hinterlässt selbst eine Spur: Event 1102)
<pre>
wevtutil cl Security
</pre>

Hinweis: Anti-Forensik nur, wenn die Auswertung das auch thematisiert –
sonst frustriert es ohne Lernziel.

== Settling & Imaging ==

;Artefakte setzen lassen (Registry-Flush, Prefetch)
*System normal weiternutzen, 1–2x sauber neu starten
;Sauber herunterfahren (KEIN Imaging im laufenden Betrieb)
*konsistentes Dateisystem ist Pflicht
;Acquiring (Detail siehe [[Autopsy]])
<pre>
qemu-img convert -O raw tiny11.qcow2 tiny11.raw
ewfacquire tiny11.raw # optional → E01 mit Hash + Metadaten
</pre>
;Hash vor Verteilung ziehen (Integrität / Chain of Custody)
<pre>
sha256sum tiny11.E01
</pre>

== Lösungsschlüssel ==

Für DICH als Dozent – nicht an Teilnehmer ausgeben. Tabelle pflegen,
sonst ist das Lab nicht bewertbar.

{| class="wikitable"
! Nr !! Artefakt !! Fundort !! Autopsy-Modul
|-
| 1 || Download Pack-Tool || Edge/Firefox History || Web Artifacts
|-
| 2 || Tool-Ausführung || Prefetch / UserAssist || Recent Activity
|-
| 3 || Exfil-Archiv (getarnt) || Desktop, Extension-Mismatch || File Type / Hash
|-
| 4 || ADS hidden.txt || notiz.txt:hidden.txt || File System
|-
| 5 || Gelöschtes Dokument || Recycle Bin / unallocated || Deleted Files
|-
| 6 || USB-Insertion || USBSTOR, setupapi.dev.log || Recent Activity
|-
| 7 || Timestomping || urlaubsfotos.jpg (MAC inkonsistent) || Timeline
|-
| 8 || Eventlog-Löschung || Security Event 1102 || Keyword / Logs
|-
| 9 || Steg-Flag || urlaub.jpg || (manuell, steghide)
|}

== Aufgaben ==

;Stub – noch zu bauen (analog [[theHarvester]]/[[nmap]]-Aufgaben)
:Geführte Discovery: Teilnehmer rekonstruieren die Story chronologisch
:über die Timeline und belegen jeden Schritt mit dem passenden Artefakt.

[[Kategorie:Forensik]]
[[Kategorie:Cybersec-2]]
[[Kategorie:Autopsy]]

Autopsy Aufgabe - Versionsgeschichte

Thomas.will am 23. Juni 2026 um 09:25 Uhr

Thomas.will: Die Seite wurde neu angelegt: „= Forensik-Szenario präparieren (Disk Salting) = Anleitung zum gezielten Pflanzen von Artefakten auf einem Windows-Target (hier: Tiny11), damit Teilnehmer da…“