# IFN - Labo 4 (Autopsy)
Auteurs: Léo Zmoos, Leonard Klasen, Nathan Rayburn
Son identifiant se trouve donc dans le GPT Header, il faut déterminer dans quel secteur celui-ci se trouve. Pour faire cela j'ai utilisé la commande ```mmls```qui provient de Sleuth Kit:
On peut donc affirmer que le GPT header se trouve dans le secteur 1 (offset 0x200).
L’identifiant unique du disque est le GUID GPT suivant :
5108B98A-CA3D-4D1A-8940-03DA29E689BE
Il a été extrait à l’offset 0x238 dans l’en-tête GPT (secteur 1).
## Questions:
**Comment est découpé le disque (offset et taille des partitions)?**
Le disque est découpé comme suit :
- Partition 1 (EFI) : commence au secteur 2048 (offset 1 048 576 octets), taille 204800 secteurs (~100 MB).
- Partition 2 (MS Reserved) : commence au secteur 206848 (offset 105 906 176 octets), taille 32768 secteurs (~16 MB).
- Partition 3 (Basic Data) : commence au secteur 239616 (offset 122 683 392 octets), taille 267071902 secteurs (~127 GB).
- Partition 4 (Recovery) : commence au secteur 267313152 (offset 136 980 343 296 octets), taille 1118208 secteurs (~547 MB).
Des zones non allouées sont présentes :
- Avant la première partition : secteurs 0–2047 (0 à 1 048 575 octets).
- Entre certaines partitions (vol7, etc.).
- Après la dernière partition : secteurs 268431360–268435455 (~2 MB).
### Questions sur la partition système (NTFS) :
- **Quel est la taille de l’espace allouable en Bytes ?**
Réponse: 512 * 204800 = 104'857'600 Bytes => prendre le volume 6 pas l'EFI
- **Combien y a-t-il de secteurs défectueux ?**
Réponse: Nous pouvons trouver cette information en allant regarder la valeur de $BadClus qui se trouve dans la partition contenant le C: (vol6):
Nous remarquons donc qu'il n'y a aucun secteurs déféctueux.
- **Sur le bureau de Xavier il y a un fichier YPenser.txt, est-il résident ?**
Réponse: Oui, le fichier YPenser.txt est résident car il est stocké dans une entrée de la MFT, cela signifie que son contenu est stocké sans allouer de clusters supplémentaires sur le disque.
- **Donner 2 raisons qui peuvent indique l’exactitude de votre réponse.**
Réponse:
- le fichier fait 51 byte
- indication de MFT entry
- **Extraire son entrée dans la $MFT (Commence par FILE0 et fait 1024 Bytes) et créer un fichier Ypenser.bin**
Réponse:
Pour se faire on peut ouvrir la MFT dans HxD et chercher le fichier Ypenser.txt et une fois trouvé il suffit de remonter jusqu'au FILE0 du dessus > clique droit > select block > 1024 et de copier ceci dans le fichier Ypenser.bin (dans les fichiers de rendu du tp).
- **Quel est le nom du volume (ou la lettre) de la partition système, d’où tirez-vous l’information?**
Réponse:
La partition système est le volume vol6, correspondant à la lettre C:\.
Cette conclusion est tirée du fait que ce volume contient les répertoires standards du système Windows (Users, Windows, Program Files), typiquement localisés à la racine de C:\. TODO: modifier cela en allant checker dans la base de registre pour une vraie preuve
Par exemple, le fichier YPenser.txt se trouve dans :
```/vol6/Users/Xavier/Desktop/YPenser.txt```
Ce chemin indique que vol6 est bien la partition système montée habituellement sous C:\
- **Quels sont les utilisateur que vous avez trouvés dans le système (renseigner la provenance des informations) ?**
Réponse:
On peut déjà trouver ces users là directement dans ```/vol6/Users```:
Pour une liste plus exhaustive, il faut directement aller regarder dans la base de donnée SAM qui est accessible via ce chemin: ```/vol6/Windows/System32/config/SAM```
Voici donc la liste complète des utilisateurs de la machine:
- Xavier
- Mathibou
- Administrator
- DefaultAccount
- Guest
- WDAGUtilityAccount
- **Quels sont les fichiers que l’on retrouve à l’identique de ceux sur la clé?**
Réponse:
Voici les fichiers identiques que ceux sur la clé:
- **Comment Parure.webp est-il arrivé sur le disque ?**
Réponse: Le fichier se trouve dans: ```/img_TP04_HDD_Laptop.E01/vol_vol6/Users/Xavier/AppData/Local/Temp/VirtualBox Dropped Files/2025-03-02T15_25_00.697556800Z/Comptesse Sarah/Parure.webp```
Le fichier Parure.webp a été déposé sur le disque via une opération de glisser-déposer (drag-and-drop) effectuée depuis l’hôte vers une machine virtuelle VirtualBox, comme l’indique son emplacement dans le dossier VirtualBox Dropped Files du répertoire Temp.
# Questions (suite) :
## Base de registre
- Quel est le ControlSet du système ?
Réponse: Le ControlSet du système est ControlSet001, comme indiqué par la valeur Current de la clé Select, on peut le voir sur le screenshot ci-dessous:
- Sur quel fuseau horaire est-il (tzres et name) ?
Réponse: Le système utilise le fuseau horaire : "W. Europe Standard Time", tel qu’indiqué dans la clé TimeZoneKeyName de SYSTEM\ControlSet001\Control\TimeZoneInformation. Ce fuseau correspond à UTC+1 (heure standard), avec un passage à UTC+2 lors de l’heure d’été.
Dans le fichier tzres.dll, ce fuseau correspond à l’identifiant de ressources de texte :
Display Name : (UTC+01:00) Amsterdam, Berlin, Bern, Rome, Stockholm, Vienna
- Combien de minutes de différence avec UTC (clé et interprétation)?
Réponse:
La clé Bias trouvée dans ```HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\TimeZoneInformation\ActiveTimeBias``` permet de "corriger" les heures locales en UTC et a pour valeur 0xFFFFFFC4, soit -60 en décimal signé.
Cela signifie que le système a 60 minutes d'avance sur UTC, soit UTC+1.
Ce paramètre est cohérent avec le fuseau défini dans la clé TimeZoneKeyName, qui est "W. Europe Standard Time".
- Est-il à l’heure d’été ou d’hivers ?
Réponse:
Le système est actuellement en heure d’hiver.
Cela est confirmé par la valeur de ActiveTimeBias (-60), qui est égale à la valeur de Bias, indiquant qu’aucun ajustement pour l’heure d’été n’est appliqué.
En heure d’été, ActiveTimeBias serait égal à Bias + DaylightBias, soit -120.
- Quand est-ce qu’il va changer d’heure (date et clé de registre) ?
Les informations concernant le changement d’heure sont stockées dans SYSTEM, sous la clé :
```HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\TimeZoneInformation```
---
### **StandardStart**
**Valeur** : `00 00 0A 00 05 00 03 00 00 00 00 00 00 00 00 00`
**Interprétation** :
| Champ | Valeur hexa | Décimal | Interprétation |
|---------------|--------------|---------|-------------------------------|
| Année | `00 00` | 0 | chaque année |
| Mois | `00 0A` | 10 | octobre |
| Jour semaine | `00 05` | 5 | vendredi |
| Semaine | `00 03` | 3 | 3e semaine |
| Heure | `00 00` | 0 | 00h |
| Minute | `00 00` | 0 | 00 min |
| Seconde | `00 00` | 0 | 00 s |
| Millisecondes | `00 00` | 0 | 0 ms |
Le passage à l'heure d'hiver a lieu chaque année, le **3ᵉ vendredi d’octobre à 00:00**
---
### **DaylightStart**
**Valeur** : `00 00 03 00 05 00 02 00 00 00 00 00 00 00 00 00`
**Interprétation** :
| Champ | Valeur hexa | Décimal | Interprétation |
|---------------|--------------|---------|-------------------------------|
| Année | `00 00` | 0 | chaque année |
| Mois | `00 03` | 3 | mars |
| Jour semaine | `00 05` | 5 | vendredi |
| Semaine | `00 02` | 2 | 2e semaine |
| Heure | `00 00` | 0 | 00h |
| Minute | `00 00` | 0 | 00 min |
| Seconde | `00 00` | 0 | 00 s |
| Millisecondes | `00 00` | 0 | 0 ms |
Le passage à l'heure d'été a lieu chaque année, le **2ᵉ vendredi de mars à 00:00**
**Remarque:** Les champs DaylightStart et StandardStart ne correspondent pas aux dates définies officiellement pour le fuseau W. Europe Standard Time. Cette incohérence peut être due au fait que Windows ne met pas toujours ces valeurs à jour dynamiquement, préférant utiliser le champ TimeZoneKeyName pour appliquer les règles issues de sa base interne.
---
- Quel est la clé permettant d’identifier C: ?
Réponse:
La clé permettant d’identifier la lettre de lecteur `C:` est :
```HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices```
Elle contient une valeur nommée :
```\DosDevices\C:```
Dans notre cas, `\DosDevices\C:` est associé au volume :
```\??\Volume{0659eaf9-c4e1-11ef-9db2-806e6f6e6963}```
Cela signifie que le volume identifié par ce GUID est monté comme **C:** par le système Windows au moment du démarrage.
- Quel est l’identifiant du disque (pas du volume) contenant C: ?
l’identifiant est donc le suivant : \DosDevices\C: = \??\Volume{0659eaf9-c4e1-11ef-9db2-806e6f6e6963}
- Quel est l’offset de la partition sur le disque ?
Offset de la partition système (`C:`) : 239616 (secteurs).
- Quel est la version affichée de Windows (Produit et version) ?
- productName = Windows 10 pro
- Current build = 19045
- ReleaseId = 2009
- DisplayVersion = 22H2
- De quelle clé provient cette information ?
\SOFTWARE\Microsoft\Windows NT\CurrentVersion
- Où se trouve la racine système ?
SystemRoot = C:\Windows
1. Quand a-t-il été installé ?
```
\SOFTWARE\Microsoft\Windows NT\CurrentVersion
```
- InstallDate = 0x676f94cc = Le système a été installé le **11 novembre 2024 à 22:32:12 (heure locale)**.
2. Quand a-t-il été éteint ?
On peut retrouver cette information en allant observer la valeur de `ShutdownTime` qui se trouve dans: ```HKLM\SYSTEM\ControlSet001\Control\Windows```
La valeur obtenue est: 8D 39 E4 CC A9 8E DB 01
Cette valeur est un timestamp Windows FILETIME représentant le nombre de 100 nanosecondes écoulées depuis le 1er janvier 1601 (UTC).
Après calcul, on obtient donc le résultat suivant: Le système a été arrêté le 6 mars 2025 à 15:09:47 (UTC).
3. Qui est l’utilisateur 1001 ?
Dans ce registre: ```HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList```
on peut y retrouver les SID ainsi que le RID et voir que 1001 correspond à Xavier :
4. Quel est son SID (où trouver l’information dans le registre) ?
Egalement dans ce registre: ```HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList```
## Corbeille:
1. Où se trouvait beautiful-high-quality.jpg ?
Nous avons retrouvé le fichier dans la corbeille de la session de Xavier. Voici le chemin complet:
```/img_TP04_HDD_Laptop.E01/vol_vol6/$Recycle.Bin/S-1-5-21-418190441-3205699501-2662971219-1001/```
Le nom des fichiers sont `$IUY2460.jpg` et `$RUY2460.jpg` (ils ont été encodés):
2. Quand a-t-il été créé ?
Pour obtenir la date/heure de création du fichier original, il faut regarder le fichier `$RUY2460.jpg`
Réponse: créé le 06.03.2025 à 14:09:25 (CET)
3. Quand a-t-il été effacé ?
Réponse: effacé le 06.03.2025 à 14:11:50 (CET)
4. D’où vient-il ?
Réponse: L'emplacement original est =>```C:\Users\Xavier\Downloads\beautiful-high-quality.jpg```
Ce fichier a été très probablement téléchargé sur internet. TODO: on peut facilement l'affirmer en checkant le zone identifier qui donne carrément le lien de là ou ça a été download
---
## Rapport.txt
```bash=
> 4:29 PM 25.3.2025 Ouverture d'Autopsy
4:37 PM 25.3.2025 Création d'un nouveau case: 2025-03-25-TP04-Groupe7-Autopsy dans Autopsy
4:38 PM 25.3.2025 Ouverture de l'image TP04_HDD_Laptop.E01 dans Autopsy
4:52 PM 25.3.2025 Découverte de 7 volumes sur le disque
5:20 PM 25.3.2025 Recherche des secteurs défectueux (BadClus)
5:34 PM 25.3.2025 Faire les calcules pour les tailles des partitions
5:40 PM 25.3.2025 Chercher le fichier YPenser.txt
5:45 PM 25.3.2025 Lire les metas données du fichier YPenser
5:47 PM 25.3.2025 Regarder si le fichier est résident
5:55 PM 25.3.2025 Export la MFT dans un fichier
5:58 PM 25.3.2025 Import dans HXD
6:04 PM 25.3.2025 Séparer le Fichier MFT
6:05 PM 25.3.2025 Exporter YPenser.bin
6:10 PM 25.3.2025 Parser dans le système de fichiers pour répondres aux questions (recherche des Users)
6:15 PM 25.3.2025 Import du hashset du TP03 dans Autopsy
11:15 AM 26.3.2025 Recherche des User en inspectant la SAM
11:30 AM 26.3.2025 Lancer l'analyser hash lookup
01:27 AM 28.3.2025 Rechercher les utilisateurs dans le SAM
01:37 AM 28.3.2025 Rechercher dans les logs
02:50 AM 28.3.2025 Installer https://ericzimmerman.github.io/#!index.md pour extraire les events
03:00 AM 28.3.2025 Rechercher les Events pour les shutdowns
03:15 AM 28.3.2025 Recherche les Events ID pour tout les shutdown possible
03:21 AM 28.3.2025 Recherche dans les Events, l evenement le plus récent concernant un shutdown
03:17 AM 28.3.2025 Noter le dernier Event pour que la machine s'éteigne
03:17 AM 28.3.2025 Noter d'autres informations pertinentes en fouillant dans les logs, par exemple un SID qui a été trouvé pour l'utilisateur Xavier
03:20 AM 28.3.2025 Chercher dans les registres pour confirmer si les données SID correspond bien à Xavier
03:42 AM 28.3.2025 Noter le SID de Xavier et son ID
01:05 PM 29.3.2025 Ouverture du projet sur Autopsy
01:07 PM 29.3.2025 Navigation dans les dossiers pour ouvrir le registre TimeZoneInformation
01:10 PM 29.3.2025 Recherche et collecte d'informations pour répondre aux différentes questions
10:30 AM 30.03.2025 Identification de la clé et l'identifiant pour identifier C:
10:32 AM 30.3.2025 Découverte de l'offset de la parition du disque C:
10:35 AM 30.3.2025 Récupération des informations de version, product name, et build de la machine windows.
10:36 AM 30.3.2025 Identification de la racine du système.
10:40 AM 30.3.2025 Date d'installation de windows sur la machine.
10:42 AM 30.3.2025 Date et heure de la mise hors tension du système.
10:55 AM 30.3.2025 Emplacement de l'image dans la corbeille.
11:01 AM 30.3.2025 Date de création et de suppression de l'image dans la corbeille.
11:03 AM 30.3.2025 Provenance originale de l'image présente dans la corbeille.
```
---
# Correction du prof
(-) pas tag de fichier
partie NTFS => table allouable en byte => 127 ou 237 GB ???
quel est le nom du volume partition systeme => lnk, autopsy car sinon réponse bancal
tableau date changement horaire => faux mais cool
05 = semaine
0000 à la fin = premier jour de la semaine => dimanche
dl sur internet => mais d'ou ?
notes intégré direct = COOL
Google Drive
Gist
Clipboard
Sign in with Wallet
