Tout le monde en parle. Des blogs, des présentations, des formations y sont consacrés. Pourquoi pas Lexfo ? :)

Lire la suite

Il est enfin arrivé.

J'avais auparavant fait des tests de lecture et d'écriture sur cartes à puces avec d'autres lecteurs. Mais il me fallait un connecteur smartmouse pour facilement lire une carte SIM. Ce n'est certes peut-être pas le meilleur lecteur, mais il répond à mes besoins. Un client m'a justement demandé de récupérer un maximum d'information sur la carte SIM et le mobile d'un de ses anciens employés sur lequel il avait des soupçons.

Par contre, le lecteur a une connectique USB. Un port virtual com (ou VCom) peut être utiliser qui consiste à émuler un port série via un port USB. C'est plutôt utile puisque la plupart des outils utilisent un port série. Sous Linux, il y a une option dans le noyau qui permet de faire du USB2serial. Sous Windows, le driver est fourni avec le lecteur.

Lexfo a publié un court article dans MISC 30 dans lequel est décrit la procédure pour récupérer les event logs effacés d'un système Windows :

Tout le monde connait les journaux d'évènements (ou event logs) sous Windows. C'est en quelque sorte l'équivalent des fichiers de logs sous Linux. Ces journaux sont visualisables via l'outil Event Viewer et sont au nombre de trois: le journal des applications, de sécurité et du système. Les noms sont assez significatifs pour éviter d'expliquer leurs rôles respectifs.

Via l'application Event Viewer, il est possible d'effacer totalement tous les enregistrements de chaque journal d'évènements. La problématique est alors la suivante: comment récupérer ces enregistrements ? Une telle problématique peut se présenter typiquement dans le cadre d'une analyse forensique lorsqu'une personne a volontairement effacé les évènements dans le but de "cacher" son activité sur le serveur en question.

La procédure expliquée ne s'applique pas à Windows Vista, le format des event logs ayant changé. Ces derniers sont maintenant basés sur une technologie XML.

La technique décrite dans l'article a été utilisée lors d'une analyse forensique chez un client, mais sans une dose de patience et une connaissance des outils adéquats, il aurait été difficile d'aboutir à un résultat concluant.

Ce billet fut court mais intense.