1. Asservierung & Schreibschutz: Der Forensiker dokumentiert Seriennummern und Zustand (Chain of Custody). Die Platte wird über einen Hardware Write-Blocker angeschlossen, um Datenveränderungen physikalisch zu unterbinden.
2. Imaging: Mit dem FTK Imager wird eine bit-genaue Kopie im E01-Format erstellt. Das Original wandert danach sicher in den Tresor.
3. Die Analyse (Der Fund): Das Image wird in Autopsy geladen. Bei der Auswertung fällt auf: Der Ordner Downloads ist scheinbar leer. Der PhotoRec Carver bringt jedoch aus dem unallocated space eine gelöschte Datei namens ``invoice_2026.pdf.exe`` zum Vorschein. Der Abgleich der Zeitstempel beweist: Diese Ransomware wurde exakt 3 Minuten vor der Verschlüsselung der Benutzerdateien aus einer Phishing-Mail ausgeführt.

1. Live-Analyse (vor dem Shutdown): Der Admin nutzt das ``/proc``-Verzeichnis, um flüchtige Daten im RAM zu sichern. Er findet einen verdächtigen Prozess:

# Prüfung des Binaries des Prozesses PID 8892:
ls -l /proc/8892/exe
# Ausgabe: lrwxrwxrwx 1 root root 0 Aug 8 22:15 /proc/8892/exe -> /tmp/.hidden/rshell (deleted)
 
# Sichern der gelöschten Malware direkt aus dem RAM auf einen forensischen USB-Stick:
cp /proc/8892/exe /mnt/forensic_usb/rshell_dump.bin
sha256sum /mnt/forensic_usb/rshell_dump.bin > /mnt/forensic_usb/rshell_dump.sha256

1. Log-Analyse: Die Auswertung von ``/var/log/secure`` zeigt den SSH-Login des AD-Users. ``/var/log/nginx/access.log`` bestätigt, dass die Webanwendung nicht gehackt wurde (Passwort stammte z.B. aus Phishing). Die gelöschte ``.bash_history`` umgeht der Forensiker durch die Auswertung des auditd-Logs (``/var/log/audit/audit.log``), welches den Download der Reverse-Shell auf Kernelsebene dokumentiert.

Der FTK Imager von AccessData ist ein Standardwerkzeug. Er dient primär dazu, eine bit-genaue, forensisch saubere Kopie (Image) eines Datenträgers zu erstellen.

• Schreibschutz: Das Original-Medium muss über einen Hardware-Write-Blocker angeschlossen werden.
• Dokumentation: Protokoll führen (Datum, Zeit, Personen, Fotos, Seriennummern).
• Ziel-Laufwerk: Muss ausreichend groß und leer (forensisch „gewiped“) sein.

1. Quelle wählen: File → Create Disk Image. Wählen Sie als Source Type Physical Drive (Sichert MBR und unpartitionierte Bereiche. Logical Drive würde nur Partitionen wie C: sichern).
2. Image-Typ: E01 (EnCase Evidence File) wird empfohlen. Es komprimiert, splittet in Segmente und bettet Metadaten sowie Hashwerte manipulationssicher ein. (Alternativen: Raw/dd oder AFF).
3. Beweismittel-Infos: Case Number, Evidence Number (Asservat), Unique Description und Examiner ausfüllen.
4. Start & Verify: Zielordner wählen. WICHTIG: Option „Verify images after they are created“ aktivieren! Danach auf „Start“ klicken.

• Nachweis der Integrität: FTK Imager stellt am Ende Original- und Image-Hashes (MD5/SHA1) gegenüber. Sind sie identisch, ist die 1:1-Kopie gerichtlich bewiesen.
• Erste Image-Sichtung: Sie können das Image im FTK Imager als Evidence Item laden, versteckte/gelöschte Dateien sehen, MAC-Times (Modified, Accessed, Created) prüfen oder bei Memory-Dumps nach Klartext-Passwörtern suchen.

Guymager ist ein grafisches Werkzeug (z.B. in Kali Linux), das forensische Prinzipien strikt einhält.

1. Laufwerk wählen: Guymager mit ``sudo guymager`` starten. Quell-Laufwerk identifizieren (z.B. ``/dev/sdb``), Rechtsklick → Acquire image.
2. Format: „Expert Witness Compression Format (EWF/E01)“ wählen. Split image files auf z.B. 2048 MiB setzen.
3. Hash-Verifizierung: Unter „Hash calculation“ MD5 und SHA256 aktivieren. Die Option „Verify image after acquisition“ ist zwingend erforderlich.
4. Metadaten: Fallnummer, Asservat und Examiner ausfüllen. Prozess starten.

Guymager erstellt neben den Image-Dateien (``.E01``, ``.E02``) eine .info-Datei. Diese Textdatei ist essentiell für die Chain of Custody und enthält:

• Exakte Start-/Endzeiten und Hardwaredetails.
• Die berechneten Hashwerte (Quelle vs. Image) – der mathematische Beweis der Integrität.
• Protokollierte Lesefehler (Bad Sectors).

# 1. Gerätedateien exakt identifizieren
lsblk -o NAME,SIZE,MODEL,SERIAL
 
# 2. Hashwert des Originals berechnen (Referenzwert dokumentieren!)
sudo sha256sum /dev/sdb

Die Optionen ``noerror`` (ignoriert Lesefehler) und ``sync`` (füllt Lücken mit Null-Bytes, um Offsets zu wahren) sind forensisch Pflicht!

# 3. Imaging starten (mit pv für eine Fortschrittsanzeige)
sudo dd if=/dev/sdb bs=4M conv=noerror,sync | pv | sudo dd of=/mnt/forensic_drive/image.dd
 
# 4. Hashwert der Kopie berechnen und mit dem Referenzwert vergleichen
sha256sum /mnt/forensic_drive/image.dd

Stimmen beide Hashes überein, haben Sie ein forensisch korrektes RAW-Image.

1. New Case: Fallnamen (z.B. Fall-001) und Basis-Verzeichnis für Metadaten anlegen.
2. Data Source: Das E01-Image auswählen und die korrekte Zeitzone des Zielsystems einstellen.
3. Ingest Modules: Aktivieren Sie die Analyse-Roboter:
   • Recent Activity (Bash-History, Logs)
   • Hash Lookup (Gleicht Hashes mit NSRL oder Malware-Datenbanken ab)
   • PhotoRec Carver (Wichtig: Stellt gelöschte Dateien aus dem unallocated space wieder her!)

• Sichten der Dateisysteme: Prüfen Sie ``/home/<user>`` (versteckte Dateien), ``/etc/`` (Konfigurationen) und ``/var/log/`` (wer war wann eingeloggt?).
• Timeline (Zeitstrahl-Analyse): Eines der mächtigsten Tools. Visualisiert alle Dateiaktivitäten (MAC-Times). Perfekt, um Aktivitätsspitzen rund um den Tatzeitpunkt zu finden.
• Ergebnisse sichten: Unter Results finden sich extrahierte Web-Artefakte, Keyword-Treffer und wiederhergestellte Dateien.

Rechtsklicken Sie auf Funde und wählen Sie „Tag and Comment“ (z.B. als „Beweisstück“). Über „Generate Report“ (HTML/PDF) erstellt Autopsy am Ende automatisch ein Gutachten mit allen getaggten Dateien, deren Hashes und Ihren Kommentaren.

Verwendung von KI-Tools KI dient Forensikern zunehmend als „Trüffelschwein“: Sie erkennt Anomalien in riesigen PCAP-Netzwerkmitschnitten, clustert Logfiles oder hilft beim De-obfuskieren (Entschlüsseln) verschleierter Skripte. Aber: Die Ergebnisse sind eine Black-Box und vor Gericht nicht gerichtsverwertbar. Die Beweisführung muss am Ende durch den Forensiker manuell und reproduzierbar (z.B. via Autopsy) nachgewiesen werden.

Zurück zu: Teil 1: Theoretischer Teil