Universidad Mariano Gálvez De Guatemala

Facultad de Ingeniería de Sistemas de Información

Maestría en Seguridad Informática

Metodologías para el análisis informático forense

Ing. Emilio Marroquín Guevara

Tarea 5

Práctica de seguridad semana #5

Sindy Paola Batz García 1293-15-07254

Yosselin Karina Yos Arias 1293-15-14950

Abner Gabriel Juárez Hernández 1293-16-22542

Heber Ariel Ramos Felipe 1293-06-19348

Christian Alessandro Paredes Barenos 1293-15-00354

Plan Diario Vespertino

Sección “B”

10 de agosto de 2021
 Índice
Objetivo ............................................................................................................................ 3

Ejercicio 1 ......................................................................................................................... 3

Ejercicio 2 ....................................................................................................................... 14

Ejercicio 3 ....................................................................................................................... 16
Objetivo
Hacer un análisis profundo de las dos imágenes compartidas para ver que es lo que
contiene, utilizando 3 herramientas para cada uno de los escenarios presentados. Además
de generar un informe de resultados y la recuperación de un tipo de archivo de datos
específicos, permitiendo así la revelación de información importante.

Ejercicio 1
Paso 1: Con la herramienta Autopsy crear un nuevo caso.
Paso 2: cargar la imagen “DiskPartitionRawImage.dd”
Aquí podemos ver todos los archivos básicos de la imagen, que están categorizados por
extensión.
Analizaremos los archivos que se recuperaron por cada extensión, empezamos por las
imágenes.

Podemos ver la miniatura de las imágenes.

También analizamos los metadatos de los archivos.

Ahora exploramos los archivos y podemos extraerlos para analizar su contenido.

Al extraer el archivo podemos ver que contiene un pdf pero tiene una contraseña
Utilizando la herramienta “passware kit forensic” obtenemos la contraseña del archivo y
con eso ver el contenido del pdf.

Ahora se pueden ver los archivos eliminados que aún se pueden recuperar
Los archivos también son clasificados por tamaño

Todo el contenido que ha sido extraído se clasifica a detalle, en este caso están los
metadatos y las descargas web.
Las palabras clave especifica en la imagen del disco y como se pueden ver las búsquedas
fueron realizadas con respecto a correos electrónicos.

Autopsy tiene una función para poder ver a través de una línea de tiempo la información
del uso del sistema de manera detallada.
Paso 3: Se generará el reporte del análisis en formato HTML, para eso hacemos lo
siguiente.

Y como podemos ver se crea el reporte en formato HTML.

Paso 4: Generaremos la lista md5 de los archivos que contiene la imagen, para esto vamos
a las opciones de las herramientas de Autopsy.
Seleccionamos “New Hash Set” para crear un nuevo conjunto de Hash y seleccionamos
donde se guardará la nueva base de datos.

A continuación, seleccionamos “Import Hash set” y utilizaremos un índice prefabricado

para usar NSRL que lo hemos descargado de la siguiente ruta
http://sourceforge.net/projects/autopsy/files/NSRL
Y vemos que no tiene conjunto de hash la imagen ya que no aparece el árbol llamado
“Hashset hits” que se muestra cuando se tiene un conjunto de hash.

Ejercicio 2
Para recuperar los archivos de tipo imagen de la imagen de disco “TestRawImage.dd”
se utilizó la herramienta WinHex, realizando los siguientes pasos.
Paso 1: abrimos la imagen de disco

Paso 2: Seleccionamos las herramientas de Disco y la opción para recuperación de

Archivos.
Paso 3: Seleccionamos que vamos a recuperar todos los archivos de imagen y la ruta
donde las deseamos guardar.

Y podemos ver que se recuperaron todas las imágenes.

Ejercicio 3
Utilizando la herramienta “The Sleuth Kit” analizaremos la imagen
“DiskPartitionRawImage.dd”, para esto veremos los resultados que se muestran en la ejecución
de los siguientes comandos.
• Detalles del sistema de archivos
fsstat -f ntfs

• MFT FILE OVERVIEW

istat -f ntfs 0
• MFT POR CADA ARCHIVO Y DIRECTORIO
istat -f ntfs 1

• BOOT FILE OVERVIEW

istat -f ntfs 7

• FILE VOLUME OVERVIEW

istat -f ntfs 3
• DEFINICIÓN DE ATRIBUTOS
istat -f ntfs 4

• BITMAP OVERVIEW
istat -f ntfs 6

• BAD CLUSTERS FILE OVERVIEW

istat -f ntfs 8
• SECURE FILE OVERVIEW
istat -f ntfs 9

• LISTAR ARCHIVOS Y DIRECTORIOS

fls -f ntfs

• VER ARCHIVOS BORRADOS

fls -d ntfs

• DETALLES DE LA IMAGEN
img_stat