Registry – Tizian Kohler

Forensik IT-Forensik, Registry, USB-Geräte

Registry: Wie finde ich heraus, welche USB-Geräte am Rechner angeschlossen waren?

Januar 15, 2020

In diesem Artikel zeige ich dir, wie du herausfinden kannst, welche USB-Geräte am Rechner angeschlossen wurden. Cool ist, dass du hier nicht nur sehen kannst, welche Geräte angeschlossen waren, sondern auch herausfinden kannst, wann und von welchem Benutzer. Hast du keine Ahnung, was die Registry ist, dann gehe hier zu meinem Artikel „Windows-Registry-Forensik: Aufbau und und Tools“.

Angeschlossene USB-Geräte herausfinden

Unter den Schlüsseln HKEY_LOCAL_MACHINESYSTEMCurrentControlSetUSBSTOR und HKEY_LOCAL_MACHINESYSTEMCurrentControlSetUSB kannst du die Auflistung der einzelnen Geräte als Unterschlüssel finden, die in der Vergangenheit angeschlossen wurden.

Für den einfachen Einstieg habe ich einfach „regedit“ von Windows aufgerufen und bin in die entsprechenden Schlüssel navigiert. Wie im Screenshot hier ersichtlich, kannst du dort einen ersten Überblick über die Geräte gewinnen.

Hier siehst du, dass drei Geräte angeschlossen waren/sind. Die Ordner sind entsprechend mit den Namen der Geräte oder deren Hersteller benannt. Ich bin zur näheren Bestimmung dann in den Unterschlüssel „Disk&Ven_&Prod_USB_DISK_2.07B61401647AD2B4&0“ navigiert, wo die genauen Werte verzeichnet sind. Der blau markierte Unterschlüssel „07B61401647AD2B4“ auf der linken Seite ist zugleich auch die Serial Number des Geräts. Der Wert „FriendlyName“ zeigt den Namen des Geräts an, der Wert „HardwareID“ zeigt häufig den Namen des Herstellers an. Über die „DeviceGUID“ kann man in Google recherchieren, um welchen spezifischen Gerätetyp es sich handelte. Ich benutzte hierzu die Seite von Microsoft und fand heraus, dass es sich bei meinem Gerät um ein „Disk Drive“ handelte.

Zeitpunkt des letzten Gebrauchs herausfinden

In der IT-Forensik ist es zudem häufig wichtig, wann ein Gerät das erste Mal und das letzte Mal am untersuchten Rechner angeschlossen wurde. Um den Zeitpunkt des letzten Gebrauchs herauszufinden, kann der Registry-Pfad HKEY_LOCAL_MACHINESYSTEMCurrentcontrolsetEnumUSB nützlich sein.

Der Unterschlüssel „USB“ enthält alle angeschlossenen USB-Geräte und die „LastWriteTime“, also die letzte Zeit an welchem hier was geändert wurde. Hierzu muss dieser mittels Rechtsklick als Text-Datei exportiert werden. Hiernach öffnest du die Datei in einem Text-Editor und suchst mit der Tastenkombination „Strg+F“ nach der Serial Number (hier: 07B61401647AD2B4). Wie im Screenshot ersichtlich, war das Gerät zuletzt am 15.01.2020 um 11:36 Uhr verbunden!

USB Last Use IT-Forensik

Um den Zeitpunkt herauszufinden, an dem das Gerät das erste Mal angeschlossen wurde musst du unter einem Windows 10 Gerät die Datei „C:WindowsINFsetupapi.dev.log“. Dort suchst du ebenfalls nach der Serial Number nach dem Eintrag [Device Install (Hardware initiated) …..]. Aus dem dort verzeichneten Zeitstempel ist die erste Installation und damit dem ersten Anschluss des Geräts ersichtlich.
Mein Gerät wurde das erste Mal am 12.01.2020 um 20:30 Uhr angeschlossen. Wenn du im oberen Screenshot genau hingesehen hast, konntest du auch dort schon dieselbe Zeit erkennen, wobei ich empfehlen würde wirklich in der Datei „setupapi.dev.log“ nachzusehen. Nur um sicher zu sein.

setupapi_dev_log_Security

Das USB-Gerät einem Nutzer zuordnen

Unter dem Pfad HKEY_LOCAL_MACHINESYSTEMMountedDevices kann man die gemounteten Geräte ansehen.

Über einen Rechtsklick auf die Werte in der Spalte „Name“ können die „Binärwerte bearbeitet“ werden. Wir bearbeiten hier gar nichts, sondern sehen uns in der Hex-Ansicht nur die aufgelösten ASCII-Strings an. Im Screenshot könnte ich meinen USB-Stick finden, wodurch wir nun auch die Geräte-ID haben (Durch Klick auf den Screenshot, kannst du die genauen Werte einsehen). Gleicht man in dem Schlüssel noch die Werte aus der Spalte „Daten“ mit den im Screenshot unten stehenden Einträgen ab, kann man den Laufwerksbuchstabe sehen, unter dem das Gerät gemountet war (hier E: ). Auch hier können die Binärdaten betrachtet werden, nur um sicherzugehen, dass es wirklich der USB-Stick war! Wenn man nun die Geräte-ID (genauer genannt Globally Unique Identifier = GUID) im Schlüssel HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerMountPoints2 sehen kann, dann war das Gerät unter dem aktuell angemeldeten Nutzer gemountet. Das ist doch eine sehr nützliche Erkenntnis.

Tools zur Vereinfachung

Für die Vereinfachung der obigen Analyse kann man die Tools FTK-Imager und FRED (Forensic Registry EDitor) benutzen. Mittels FTK können die Hive-Files extrahiert werden. Dazu öffnest du den FTK-Imager und gehst du über den Menüpfad „File – Obtain Protected Files“ und wählst die Zielordner aus. Beim Bestätigung werden die Hive-Files extrahiert. Danach öffnest du den FRED und darin den Hive „system“. Dann klickst du auf den Menüeintrag „Report“ und wählst „SYSTEM – UsbStorageDevice“. Im Report siehst du dann die „Unique ID“, den „FriendlyName“ und sogar auch die „MountPoints“ inkl. dem Verzeichnisnamen. Also perfekt automatisiert mit weniger Schreibarbeit. Die Zuordnung zu einem Benutzer muss man jedoch noch selbst vornehmen!

Ein weiteres Tool hierzu ist „USBDeview“ aus dem Nirsoft Bundle. Insgesamt findest du in dem Nirsoft Bundle sehr gute und forensisch nützliche Tools.

Im Screenshot kannst du den hier untersuchten USB-Stick auch sehen.

Forensik IT-Forensik, Registry

Windows-Registry-Forensik: Aufbau und Tools

Tizian Kohler

Januar 12, 2020

Möchte man in einem Windows-Betriebssystem ein Informationen über Nutzer- und Anwendungsaktionen so bietet die Registry einen idealen Ansatzpunkt.

Die Registry wird von den meisten Forensikern als „Goldgrube“ bezeichnet, da dort fast jede Aktion am Rechner registriert wird. In diesem Artikel möchte ich einen Überblick über die Registry und passende Analyse-Tools geben. In einem weiteren Artikel will ich zeigen, wo Du als IT-Forensiker alle USB-Geräte finden kannst, die jemals am Rechner angeschlossen waren!

Aufbau der Registry

Die Registry hat eine hierarchische Baumstruktur und in der ersten Ebene fünf sog. Wurzelschlüssel, die Daten unterschiedlicher „Gebiete“ abbilden.

Diesen Wurzelschlüssel sind weitere Schlüssel und Unterschlüssel nachgeordnet, die jeweils über Pfade zugänglich sind. Ein Unterschlüssel hat letztlich die Registry-Einträge mit den konkreten Werten. Diese teilen sich in drei Spalten „Name“, „Typ“ und „Daten“.

Die Schlüssel enthalten die für die Forensiker interessanten Informationen, wie z.B. Zeitstempel des letzten Schreibzugriffs sowie Pfade. Meist in hexadezimaler Schreibweise. Die Namen dieser Werte sind in der Regel aussagekräftig genug, um Rückschlüsse zu den Werten ziehen zu können.

Die 5 Wurzelschlüssel:

HKEY_LOCAL_MACHINE (HKLM): Speichert Systemeinstellungen, die den lokalen Rechner, und damit alle Benutzer hiervon, betreffen. Forensisch sehr wertvollen Informationen finden sich bspw. in dem Unterschlüssel „SECURITYSAM“ (= Windows-Sicherheitsdatenbank mit Benutzer- und Gruppeninformationen) oder „SYSTEM“ (=Informationen zu Gerätetreibern und Diensten –> Wichtig für unsere USB-Analyse)
HKEY_USERS (HKU): Enthält Nutzerinformationen zu allen aktiv geladenen Nutzern. Jeder angemeldete Nutzer wird in einem Unterschlüssel unter seinem sog. SID (=Security Identifier) abgelegt. In diesen Unterschlüsseln werden für jeden Benutzer gesondert alle relevanten Informationen gespeichert.
HKEY_CURRENT_ROOT (HKCR): Speichert Informationen zu den Dateierweiterungen, der OLE-Datenbank sowie zu den installierten Applikationen. Z.B. wird gespeichert, welches Programm bei welcher Dateierweiterung benutzt wird. Der Schlüssel ist eine Zusammensetzung aus HKU und HKLM.
HKEY_CURRENT_USER (HKCU): Spiegelt den aktuell angemeldeten Nutzer aus HKU
HKEY_CURRENT_CONFIG (HKCC): Speichert die Konfigurationsdateien für das aktuelle Hardwareprofil (bei jedem Boot neu geladen) und spiegelt den Schlüssel „HKLMSYSTEMCurrentControlSetHardware ProfilesCurrent“

Hive-Dateien

Die Registry ist im Dateisystem in sog. Hive-Files abgelegt, die Dateien in verschiedenen Verzeichnissen darstellen. Ein Hive-File ist jedoch nicht immer gleich wie die oben genannten Wurzelschlüssel. Die Wurzelschlüssel können über mehrere Hives verteilt sein. Ich erwähne das hier, da einige Analyse-Tools genau diese Hive-Dateien für die Analyse heranziehen, weshalb Du mal davon gehört haben solltest. Da die Hive-Files in den unterschiedlichen Windows-Versionen an unterschiedlichen Pfaden/Orten liegen verweise ich auch den Wikipedia-Artikel zu Hive-Dateien und dort die Überschrift „Dateien der Registry (Hives)“, wo Übersichtstabellen zusammengestellt wurden. Diese Pfade sind für die forensische Untersuchung durchaus hilfreich! Eine Übersicht über die Hive-Files des Systems lässt sich über den Pfad „HKLMSYSTEMCurrentControlControlhivelist“ einsehen.

Analyse-Tools

Die Registry verändert sich im Betriebssystem natürlich im sekundentakt. Wie in der IT-Forensik allgemein können auch hier die bekannten zwei Methoden der Ereignis- und der Zustandsanalyse angewendet werden. Für jede Methode gibt es auch bestimmte Tools. FTK-ImagerDer FTK-Imager dient in der Regel dazu, ein Abbild eines Laufwerks oder einzelner Partitionen zu erstellen. Es ist jedoch auch möglich die Hive-Files zu extrahieren. Hierzu geht man über folgenden Menüpfad „File-Obtain Protected Files“. Um möglichst ausgiebige Registry-Files zu erhalten, sollte das Programm im Administrationsmodus gestartet werden. Der FTK-Imager kann hier heruntergeladen werden. RegRipper

Die kostenlose Software „RegRipper“ dient dem Extrahieren spezifischer Informationen aus der Registry bzw. den Hive-Files. Diese können dann in eine Report-Datei ausgegeben werden. Hierzu brauchst du jedoch durch den FTK-Imager erzeugte Hive-Files. Erweitern kannst du die Extraktionsmöglichkeiten über Perl-Skripte. RegRipper kann hier heruntergeladen werden.

Regshot

Das Tool „Regshot“ ist kostenlos und dient zur Analyse der Registryänderungen durch Aktionen (z.B. Ausführung einer Anwendung) oder über einen bestimmten Zeitraum. Die hier angewandte Methode wird auch Zustandsanalyse genannt.Regshot nimmt über den Button „1st shot“ einen erste

n Schnappschuss vom Zustand der Registry vor der Anwendungsausführung (z.B. Ausführung einer Malware). Dann wird die zu testende Anwendung ausgeführt und ein zweiter Schnappschuss (Button „2nd shot“) wird genommen. Die zwei Schnappschüsse können dann über den Button „Compare“ automatisch abgeglichen werden. Die Unterschiede sind die aus der Anwendung resultierenden Änderungen an der Registry und können in einem Report ausgegeben werden. Das Tool ist hier zu finden.

FRED (Forensic Registry EDitor)

FRED ist eine frei verfügbares Tool und dient der Untersuchung und Bearbeitung der Hive-Dateien eines Systems zu einem Zustand bzw. Zeitpunkt X.

Um ein Hive-File zu untersuchen, muss es zuerst z.B. mit dem FTK-Image extrahiert werden und dann in FRED über den jeweiligen Pfad im Programm aufgerufen werden. Klicke auf das Bild, um die Oberfläche von FRED zu betrachten.

Nachdem es aufgerufen wurde, können mit der Report-Funktion diverse Daten ausgelesen werden.Eine Übersicht über die Hive-Files kann man über den Pfad „HKLMSYSTEMCurrentControlControlhivelist“ bekommen.Usernames und Accountdaten lassen sich bswp. über das Hive-File unter dem Pfad „WindowsSystem32configSAM“ aquirieren. In FRED geht dies über den Menüpfad „Reports-SAM-UserAccounts“. (Screenshot)
Der FRED ist hier zu finden.

Registierungs-Editor (regedit)

Auch über das Bordwerkzeug von Windows „regedit“ kann die Registry eingesehen werden. Dieses sollte für eine ausführliche Ansicht im Admin-Modus gestartet werden. Hier lässt sich auch sehr gut der Aufbau der Registry nachvollziehen. Über die jeweiligen Pfade kommt man letztlich an die einzelnen Informationen. Die Wurzelschlüssel können bei Bedarf auch als Text- oder Strukturdatei extrahiert werden (Menüpfad: Datei – Exportieren). Ein Vorteil davon ist, dass Zeitstempel in der extrahierten Dateien sichtbar werden. Über den Menüpfad „Bearbeiten – Suchen“ kann auch in der Registry gesucht werden, was teilweise sehr praktisch ist.Vorsicht: Einträge können hier auch dauerhaft verändert werden, was die Funktionalität des Gesamtsystems zerstören könnte!

Procmon

Procmon ist ein tolles Tool, um die Veränderungen und Ereignisse auf einem System über einen vom IT-Forensiker ausgewählten Zeitraum aufzuzeichnen und später zu analysieren (sog. Ereignismethode). Der Prozess Monitor ist ein frei verfügbares Tool und kann unter dem Link hier heruntergeladen werden. Das Tool eignet sich außerdem auch für viele andere forensische Untersuchungszwecke, z.B. Malware-Analyse. Um die Registry-Veränderungen zu analysieren, muss man die Aufzeichnung in Procmon starten. Hiernach führst Du das zu untersuchende Programm aus. Am besten solltest du die Ausgabe aber nur auf diese EXE-Datei filtern (Menüpfad: „Filter…“ und dem Filter „Process Name – is -„). Nach fertiger Aufzeichnung kannst Du in der Symbolleiste die Ausgabe nur auf „Registry“ filtern, indem du nur dieses Symbol auswählst. Danach kannst du übersichtlich die Aktionen ansehen! Solltest Du nun Lust auf die praktische Anwendung bekommen haben empfehle ich dir meinen Artikel Registry: Wie finde ich heraus, welche USB-Geräte am Rechner angeschlossen waren?, wo ich exemplarisch zeige, wie Du alle jemals am Rechner angeschlossenen USB-Geräte herausfinden kannst. Dort kannst du noch weitere Informationen zu wertvollen Registry-Pfaden finden.