Tag: DFIR

Dans l'une de mes récentes investigations numériques, j'ai été confronté à un cas bizarre. Une partition était chiffrée avec bitlocker : Normalement, dans ce genre de cas, je lance bitlocker2john.exe (issu de John the Ripper) ou bitcracker_hash (issu de bitcracker) pour récupérer les hash Plus...

Du 12 décembre au 19 décembre, hexpresso organisait un CTF en ligne. Il s'agissait de se pré-qualifier pour un challenge pendant le FIC. Sans intention de vraiment participer au challenge pendant le FIC, je voulais tout de même essayer de voir jusqu'où je pouvais aller. Je suis loin d'être un Plus...

Mi-aout, j'ai publié le tweet suivant : Find the flag in this picture : https://t.co/HGXIkiM4IR(I'll give hint if needed)— Lemnet (@lemnet_fr) August 13, 2019 J'ai caché des données (un flag au format FLAG{[MD5]}) dans ce fichier : https://lemnet.fr/img/lena_std.jpg Il s'agit d'une photo de Plus...

Dans l'un des cas que j'ai traité récemment, j'ai été confronté à un document pdf dans lequel une partie du texte avait été caviardée. Voici ce à quoi le document ressemblait : . Les métadonnées indiquaient que le fichier était issu de Word. Il semblerait donc que la personne en charge Plus...

Après près d'une quinzaine d'années d'expérience dans le domaine, dont une bonne partie en tant que formateur, je viens d'obtenir ma première vraie certification forensique. Je suis maintenant X-PERT : X-Ways Professional in Evidence Recovery Techniques. Plus...

J'avais envie de jouer avec les miniatures intégrées aux photos au format jpg pour voir comment les différents OS réagissaient... J'ai donc pris deux photos avec mon smartphone. Il s'agit d'une feuille blanche sur laquelle j'ai écrit une fois "petite" et l'autre fois "grande" : J'ai donc deux Plus...

Lorsqu'on réalise une image d'un disque dur, il peut arriver que l'on soit confronté à des secteurs défectueux. Il s'agit généralement de secteurs dont le CRC ne correspond pas aux données. C'est surtout un signe que le disque est en fin de vie. Dans ce cas, c'est donc particulièrement une Plus...

Le Data Interpreter de X-Ways Forensics fonctionne aussi avec le Registry Viewer... Sur l'image au dessus le Data Interpreter nous indique un décalage de -60 minutes pour la valeur 0xFFFFFFC4. On en apprend tous les jours... Plus...

La semaine dernière, une équipe du CWI et de Google Research a publié le site shattered.io. Ils montrent la première collision SHA1 réelle. Il s'agit de générer deux fichiers différents présentant le même hash, SHA1 dans ce cas. L'objet de cet article est l'analyse en profondeur de ces Plus...