Pisałem ostatnio, że na podstawie dat plików w Prefetch (i pewnych informacji zaszytych w tych plikach), można ustalić jakie programy były kiedy uruchamiane. Teraz inny przykład pozyskiwania informacji o uruchamianych programach. Tajna wiedza znajduje się w kluczu UserAssist (HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist).
Kto co kliknął, czyli więcej niż Prefetch
O co chodzi?
Wraz z Windows 2000 system zaczął śledzić użytkownika. Nie po to, by złośliwie wysyłać dane do siedziby Microsoftu, ale po to, by lepiej się dostosować do zwyczajów użytkownika. Na przykład po to, by w sensowny sposób dostosować prezentowaną użytkownikowi listę programów. Dane na temat uruchamianych programów muszą być oczywiście gdzieś umieszczane. Ponieważ jest to śledzenie "per user", stąd klucz HKCU, a ponieważ śledzi Explorer, to reszta ścieżki staje się chyba jasna.
HRZR_EHACNGU... co jest, ROT13?
Tak, tam jest wykorzystany rot13. Konkretnie nazwy zapisanych wartości "zaciemnione" są (bo o szyfrowaniu trudno tu mówić) za pomocą rot13.
Ale co tam jest zawarte?
Każdej wartości towarzyszą binarne dane. Ciężko z nich coś wyciągnąć? Nie do końca, wystarczy skorzystać z tego prostego narzędzia. Można tam zresztą znaleźć dokładniejsze opisy tego, co jest zawarte w kluczu UserAssist. W tym przypadku podchodzę do sprawy w bardzo użytkowy sposób - ktoś to przeanalizował, dostarczył narzędzie. Korzystam z niego, ale nie specjalnie interesuje mnie co jest na poszczególnych bitach danej wartości.
W każdym razie z przydatnych informacji, można odczytać:
- nazwę (ścieżkę) uruchamianej aplikacji,
- ilość uruchomień danej aplikacji,
- datę ostatniego uruchomienia,
Narzędzie to może być przydatne na przykład wtedy, gdy "ofiara" zarzeka się, że to coś samo się zainstalowało. Po przejrzeniu historii może się nagle okazać, że wcale nie samo, tylko wspomniana "ofiara" sama to coś uruchomiła.
Tym razem kontynuacja wpisu (Prawie) każde szyfrowanie można złamać, która dotyczy śladów, jakie pozostawiają w systemie Windows narzędzia do szyfrowania. Konkretnie dwa: TrueCrypt oraz FreeOTFE, przy czym w przypadku FreeOTFE skupię się na FreeOTFE Explo
Przesłany: Mar 09, 07:35