Q1. What is the MD5 hash value of the suspect disk?

Nhật ký tạo tệp sẽ là nơi chúng ta cần tìm kiếm , kiểm tra tệp DiskDrigger.txt bạn sẽ tìm thấy mã MD5.

Q2. What phrase did the suspect search for on 2021-04-29 18:17:38 UTC? (three words, two spaces in between)

Trong mục Data Artifacts > Web History, bạn sẽ nhận được tất cả thông tin, sắp xếp theo thời gian và bạn sẽ tìm thấy hai URL tại thời điểm được cho: password cracking lists - Google Search.

Trong mục Data Artifacts > Installed Programs, ta thấy FileZilla được tải về.
Dữ liệu ứng dụng nằm tại Users/<Username>/AppData/Roaming(Local)/AppData/. Sự khác biệt chính là dữ liệu roaming sẽ "theo dõi" người dùng còn dữ liệu Local thì không. Thư mục Roaming/FileZilla/ chứa các tệp xml và đặc biệt là recentservers.xml chứa đáp án của chúng ta!

Sử dụng Artifast Window Câu trả lời có thể được tìm thấy trong dữ liệu của Windows Recycle Bin artifact .

Tiến hành điều tra các prefetch file được lưu trong Windows\Prefetch và sau đó tìm kiếm thông tin liên qua đến Tor Browser, thấy rằng không có tiến trình nào thực sự liên quán đến Tor Browser mà chỉ có tiến trình liên quan đến Tor Installer được chạy 1 lần, vì vậy đáp án là 0.

Sau khi điều tra qua Data Artifacts > Web History, ta thấy có 6 emails.
Tiếp tục điều tra trong Data Artifacts > Web Form Autofill, ta thấy có 1 username là dreammaker82 giống với 1 trong 6 emails, vì vậy đây chính là emails cần tìm.

Trong các bước điều tra sơ bộ đầu tiên, ta biết rằng Nmap đã được tải về máy. Vì đây là 1 CLI-tool nên chúng ta có thể kiểm tra lịch sử PowerShell để xem lịch sử khi nào command của Nmap được sử dụng!
Lịch sử PowerShell được lưu tại Users\John Doe\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

Ý tưởng ban đầu đơn giản là sử dụng 1 vài tool cơ bản để kiểm tra metadata của ảnh nhưng có vẻ như không trả về đáp án. Vì vậy mình lên mạng search 1 vài tool liên quan đến metadata và sử dụng tool này để dump metadata của ảnh và có đc đáp án!

Khi xem metadata của tệp trong Autopsy, chúng ta thấy nó được chụp bằng LG Electronics LM-Q725K. Kiểm tra trong USB Device Attached, chúng ta cũng thấy thiết bị này: LG Electronics, Inc. LM-X420xxx/G2/G3 Android Phone (chế độ MTP/tải xuống).
Sau 1 thời gian research, biết được nhiều máy ảnh lưu ảnh trong thư mục DCIM hoặc một thư mục con của nó.Nếu tìm kiếm DCIM, chúng ta sẽ thấy một dữ liệu Shell Bags liên quan đến bức ảnh này: My Computer\LG Q7\Internal storage\DCIM\Camera.

Câu này thì đơn giản là dùng các tool cơ bản như Hashcat hoặc dùng tool online đều sẽ cho ra đáp án!

Autopsy có một mục dành cho Operating System User Accounts, nơi chúng ta có thể tìm thấy John Doe. Chúng ta có thể thấy dữ liệu được tìm thấy từ tệp SAM, /Windows/System32/config/SAM.
Sử dụng Mimikatz, ta có đc hash NTLM của John Doe. Vứt vào Hashcat hoặc bất kì tool nào khác để có đáp án.