Elcomsoft Quick Triage: новый инструмент для быстрого анализа компьютеров
Elcomsoft Quick Triage - мощный инструмент для сбора и анализа цифровых улик, поддерживающий сотни источников данных и тысячи артефактов. Продукт извлекает данные множества популярных приложений и компонентов Windows, которые могут содержать критически важную информацию о действиях пользователя и активности системы. Инструмент ориентирован на артефакты, наиболее востребованные криминалистами и сотрудниками правоохранительных органов на раннем этапе расследования: действия пользователя, системные активности, коммуникации, работа с файлами, подключённые устройства и сетевые подключения.
Ключевую роль играют системные артефакты, позволяющие быстро восстановить хронологию событий. EQT обрабатывает журналы событий Windows, Prefetch, Shimcache, SRUM, данные планировщика задач, сведения о запусках приложений и сервисов, а также информацию о USB-устройствах, сетевых интерфейсах и Wi-Fi-подключениях. Эти данные показывают, как и когда использовалась система.
Значительный объём составляют пользовательские данные. Elcomsoft Quick Triage извлекает документы, файлы из пользовательских каталогов, историю недавних действий, содержимое корзины, а также данные из популярных мессенджеров, почтовых клиентов и офисных приложений. Дополнительно собираются данные браузеров, включая историю посещений и поисковые запросы.
Отдельно обрабатываются учётные данные и средства защиты Windows, включая Windows Vault, DPAPI-ключи, криптографические ключи и сертификаты. Все артефакты сохраняются с указанием источника, что позволяет эксперту быстро сосредоточиться на наиболее значимых данных и принять обоснованные решения уже на этапе расследования.
Открытый формат контейнера
Формат VHDX, в который сохраняются данные, это мультиплатформенный формат, позволяющий сохранить как структуру файловой системы, так и метаданные. В отличие от большинства аналогов, в которых собранные данные сохраняются в проприетарных, недокументированных и зачастую зашифрованных форматах, EQT хранит все данные в открытом, документированном виде.
В лаборатории контейнеры VHDX можно смонтировать как в "сыром" виде, так и с восстановленными путями к каждому источнику данных. Открытый, подробно документированный формат контейнера позволяет использовать для доступа к данным как сам EQT, так и сторонние инструменты.
Ключевые возможности
Быстрый сбор ключевых данных из Windows-систем
EQT выполняет сбор данных о системе, пользователях и подключённых носителях как с загруженных Windows-компьютеров с активной пользовательской сессией, так и с подключённых дисков и томов.
Агрегация и объединение данных из разных источников
Однотипные артефакты (переписка, история браузера, пароли и т.д.) автоматически объединяются, даже если они получены с разных дисков или компьютеров одного и того же пользователя.
Индексация и быстрый поиск
В процессе сканирования наиболее значимые данные индексируются на лету, что обеспечивает быстрый поиск по содержимому документов, электронной почты и текстовых файлов без ожидания завершения полного анализа.
Фильтрация по временным диапазонам и анализ активности
Артефакты с временными метками можно отфильтровать по заданному периоду, восстанавливая хронологию событий. Обрабатываются данные о запуске приложений, открытии файлов, веб-активности и других действиях пользователя.
Встроенный просмотр файлов и двоичных данных
EQT содержит встроенный инструмент для просмотра текстовых и бинарных файлов с поддержкой поиска по строкам и по шестнадцатеричным данным (hex).
Прозрачное происхождение артефактов и быстрый доступ к источникам
Для каждого артефакта сохраняется информация о его происхождении: исходный файл, путь и источник данных. Доступен мгновенный переход к файлу-источнику внутри контейнера.
Единый контейнер для хранения данных
Все собранные материалы сохраняются в одном контейнере на основе открытого формата VHDX с дополнительными метаданными.
Атаки на пароли Windows
EQT включает встроенный механизм атак на пользовательские пароли Windows с поддержкой словарных, масочных, гибридных атак и полного перебора, что позволяет быстро проверить наличие слабых или распространённых паролей на раннем этапе расследования.
Экспорт данных
Результаты анализа могут экспортироваться в формат PDF по отдельным категориям. Хэши паролей экспортируются в формат .pwdump для восстановления паролей в Elcomsoft Distributed Password Recovery.
Снятие образа оперативной памяти
EQT позволяет сохранять образ оперативной памяти работающего компьютера.
