---
title: Компьютерная экспертиза. Лабораторная работа №1.
---
Компьютерная экспертиза. Лабораторная работа №1.
---
**Цель лабораторной работы:** получить навыки восстановления доступа к скомпрометированной системе и утраченных в результате действий злоумышленника данных.

**Входные данные:** виртуальная машина с Windows 10, в котором пользователь не может войти в одну из учетных записей (кто-то сменил пароль). Скачать образ виртуальной машины можно ТУТ.

**Задание:**

1. Сбросить пароль пользователя Alex и установить новый (загружаемся с Live USB, можно воспользоваться утилитой Lazer Soft Recovery или любой другой).
1. Провести анализ действий злоумышленника в системе, понять, какие данные подверглись воздействию (Пользователь говорит что не может найти свою курсовую, которая лежала на рабочем столе).
1. В случае отстутствия некоторых файлов - восстановить их (Основной предмет поиска - курсовая работа. Пробуйте различные утилиты восстановления, обращайте внимание на документацию к ним).

Сброс пароля.
---

Для начала необходимо восстановить доступ к OC, для этого сбросим пароль при помощи утилиты Lazersoft Recovery Suit.

Далее запускаем программу и выбираем в ней пуск Disk Image & Clone.

Рис. №1 - начальное окно программы.

Теперь переходим в раздел создания загрузочного диска.
Рис. №2 - Создание загрузочной флешки.

Выбираем параметры ОС, которыми обладает наша виртуальная машина, в данном случае Win 10 x64
Рис. №3 - Выбор конфигурации системы

Тут выбираем ISO Image для того, чтобы создать образ загрузочного диска.
Рис. №4 - Создание загрузочного диска.

В итоге получаем загрузочную флешку.
Рис. №5.

Теперь необходимо выбрать созданный нами файл .
Рис. №6.

Теперь в BIOS (для входа в BIOS используем клавишу F2) необходимо выбрать CD-ROM Drive (переместить его на самый верх) для запуска при помощи образа диска. После чего сохраняем при помощи нажатия клавиши F10. И пеерзапуска.
Рис. №7 - Выбор Boot Device.

---
Переходим к восстановлению файла.
---

Выбираем Zalersoft Live CD.
Рис. №8.

В данном меню выбираем пункт Password Recovery.
Рис. №9 - Начальное меню программы.

Рис. №10 - выбор параметров восстановления.
Выбираем Интерисующего нас пользователя AlexM и жмем Next.
Рис. № 11.

Теперь выюираем Convert/Insert.
Рис. №12.

Результат выполнения сброса пароля:
Рис. №13.

Теперь мы можем вернуть параметры загрузки в BIOS. Для этого установим пункт Hard Drive в самом верху.
Рис. №14.

Теперь мы можем войти в учетную запись пользователя AlexM.
Рис. №15.

Проанализировать деятельность злоумышленника можно при помощи утилиты "Просмотр событий". В ней было обнаружено множество ошибок.
Рис. №16.

Для восстановления утраченного файла курсовой работы, запустим утилиту Heatman Partition Recovery.
Рис. №17 - Настройка Heatman Partition Recovery.

Выбираем для сканирования локальный диск С.
Рис. №18.

Теперь проведем быстпый анализ локального диска C.
Рис. №19.

Проводится сканирование.
Рис. №20 - быстрый анализ.

После завершения сканирования перейдем в раздел "Глубокий Анализ"
Рис. №21.

Теперь поищем в этом разделе подходящий тип файлов (формата "Docx").
Рис. №22.

Восстановленный файл.
Рис. №23.

Выполнил Студент БСБО-06-19,
Денис Игнатенко.