A user reported strange browser behavior and missing files on their Chromebook. SOC analysts suspect unauthorized access and data theft. You’ve received a forensic image for review. Investigate user activity, application data, and browsing artifacts to uncover what happened.

Resources:

Author: @Magnet Forensics, Jordan Kimball, Danlan Navarro,Haykey Froio, Alayna Cash, Jessica Hyde

Q1: The folder to store all your data in - How many files are in Eli’s downloads directory?

Yêu cầu: Có bao nhiêu tập tin trong thư mục tải xuống (downloads directory) của Eli?

Để kiểm tra số lượng file trong thư mục download của người dùng Chromebook, chúng ta cần duyệt đến phần dữ liệu đã được giải mã của hệ thống. Đường dẫn lưu trữ mặc định nằm tại decrypted/mount/user/Downloads. Mở thư mục này ra và đếm số lượng các mục hiển thị

6

Q2: Smile for the camera - What is the MD5 hash of the user’s profile photo?

Yêu cầu: Mã băm MD5 của ảnh đại diện (profile photo) của người dùng là gì?

Vì được yêu cầu tìm ảnh đại diện của người dùng (avatar), ta điều hướng đến thư mục quản lý tài khoản theo đường dẫn decrypted/mount/user/Accounts/Avatar Images. Tại đây, chúng ta tìm thấy một tập tin hình ảnh gắn liền với địa chỉ email của người dùng

Sử dụng lệnh md5sum đối với tập tin hình ảnh này để tính toán giá trị băm

5DDD4FE0041839DEB0A4B0252002127B

Q3: Road Trip! - What city was Eli’s destination in?

Yêu cầu: Eli có điểm đến là thành phố nào trong chuyến đi đường bộ (road trip)?

Quay lại thư mục Downloads đã kiểm tra ở Q1, chúng ta chú ý thấy một số ảnh chụp màn hình. Trong đó, có một bức ảnh chụp giao diện bản đồ đường đi của Google Maps

Mở hình ảnh này lên và quan sát kỹ bảng điều khiển lộ trình ở góc trái. Tại ô “Add destination”, hệ thống ghi nhận rõ ràng địa điểm điểm đến là một địa chỉ thuộc NY-3. Tên thành phố nằm ngay phía sau tên đường

Plattsburgh

Q4: Promise Me - How many promises does Wickr make?

Yêu cầu: Ứng dụng Wickr đưa ra bao nhiêu “lời hứa” (promises) về bảo mật?

Vẫn tiếp tục kiểm tra các tập tin bên trong thư mục Downloads. Tại đây có lưu một tài liệu định dạng PDF mang tên Wickr-Customer-Security-Promises-November-2020.pdf

Mở tập tin PDF này lên, ta thấy một bảng liệt kê chi tiết các điều khoản được gọi là “Wickr’s Customer Security Promises”. Chỉ cần đếm số lượng các gạch đầu dòng/hàng trong bảng này

9

Q5: Key-ty Cat - What are the last five characters of the key for the Tabby Cat extension?

Yêu cầu: 5 ký tự cuối cùng của khóa (key) dành cho tiện ích mở rộng Tabby Cat là gì?

Để tìm key của một extension trên Chrome/Chromebook, ta cần định vị thư mục cài đặt của extension đó. Sử dụng tính năng tìm kiếm để dò tìm thư mục chứa dữ liệu của tiện ích mở rộng có tên “Tabby”. Kết quả trả về cho thấy thư mục của extension này có chuỗi định danh bắt đầu bằng mefhakmg...

Truy cập vào đúng đường dẫn thư mục đã tìm được (decrypted/mount/user/Extensions/mefhakmgclhhfbdadeojlkbllmecialg)

Bên trong thư mục extension, mở tệp tin cấu hình chính là manifest.json

Dò tìm đến trường dữ liệu "key": bên trong cấu trúc JSON. Lấy 5 ký tự cuối cùng của chuỗi giá trị (value) tương ứng với khóa này

DAQAB

Q6: Time to jam out - How many songs does Eli have downloaded?

Yêu cầu: Eli đã tải xuống bao nhiêu bài hát?

Để đếm số lượng bài hát, ta cần truy cập vào khu vực lưu trữ đa phương tiện. Mở thư mục Music của hệ thống (decrypted/mount/user/MyFiles/Music) lên và đếm số lượng tệp tin âm thanh có trong đó. Dữ liệu hiển thị có 2 file MP3

2

Q7: Autofill, roll out - Which word was Autofilled the most?

Yêu cầu: Từ (word) nào được tính năng tự động điền (Autofill) sử dụng nhiều nhất?

Dữ liệu Autofill là một phần của bộ nhớ đệm trình duyệt web. Do đó, ta cần tìm đến tệp cơ sở dữ liệu Web Data của trình duyệt Chrome trong thư mục gốc của người dùng

Sử dụng công cụ xem database SQLite để mở tệp này. Truy vấn bảng autofill và đếm số lần xuất hiện ở cột count của các giá trị. Từ khóa email có tần suất xuất hiện cao nhất (3 lần)

email

Q8: Dress for success - What is this bird’s image’s logical size in bytes?

Yêu cầu: Kích thước logic (tính bằng bytes) của bức ảnh “con chim” là bao nhiêu?

Tìm kiếm các hình ảnh liên quan đến loài chim trong các thư mục lưu trữ của hệ thống. Một trong những tập tin phù hợp là hình ảnh logo của chim cánh cụt Linux (Tux) nằm trong thư mục Downloads

Kiểm tra thông tin chi tiết qua lệnh ls -l hoặc bảng thuộc tính của tệp tin ảnh, ta thấy kích thước logic chính xác của tệp tux.png là 46791 bytes

46791

Q9: Repeat customer - What was Eli’s top-visited site?

Yêu cầu: Trang web nào được Eli truy cập nhiều nhất?

Để phân tích lịch sử duyệt web, mở dữ liệu hoạt động của người dùng trong Google Takeout (Takeout/My Activity/Chrome/MyActivity.html)

Rà soát các trang được ghi nhận lịch sử truy cập trên giao diện HTML, ta thấy địa chỉ mail.protonmail.com xuất hiện với tần suất và số lượt tương tác dày đặc nhất

protonmail.com

Yêu cầu: Tên của chủ đề (theme) trình duyệt có liên quan đến xe hơi là gì?

Việc tìm kiếm bằng tên không khả thi vì thư mục theme thường sử dụng mã ID ngẫu nhiên. Bằng cách tìm kiếm thủ công vào các thư mục quản lý theme, mở tệp manifest.json của theme nghi ngờ lên để đọc trường "name". Thông tin này sẽ cung cấp tên chính xác của theme.

Lamborghini Cherry

Q11: You got mail - How many emails were received from notification@service.tiktok.com?

Yêu cầu: Có bao nhiêu email được nhận từ địa chỉ notification@service.tiktok.com?

Tìm đến thư mục lưu trữ email bên trong dữ liệu Google Takeout (Takeout/Mail/All mail Including Spam and Trash.mbox)

Thực hiện tìm kiếm nội dung tệp mbox với chuỗi notification@service.tiktok.com. Đếm số lượng dòng tiêu đề From: khớp với địa chỉ người gửi này để ra tổng số thư

6

Q12: Hungry for directions - Where did the user request directions on March 4, 2021, at 4:15:18 AM EDT?

Yêu cầu: Người dùng đã yêu cầu chỉ đường (request directions) đến đâu vào ngày 4 tháng 3 năm 2021, lúc 4:15:18 AM EDT?

Dữ liệu này liên quan đến hoạt động định vị, nên ta kiểm tra tệp hoạt động của Google Maps trong phần Google Takeout (Takeout/My Activity/Maps/MyActivity.html)

Dò tìm bản ghi ứng với mốc thời gian Mar 4, 2021, 4:15:18 AM EDT. Bản ghi ghi nhận thông tin yêu cầu chỉ đường (Directions to) đến một địa điểm cụ thể

Xác minh lại thông tin qua bản đồ chi tiết, địa điểm đích được hiển thị rõ ràng là cửa hàng ăn nhanh Chick-fil-A tại Plattsburgh.

Chick-fil-A

Q13: Who defines essential? - What was searched on Mar 4, 2021, at 4:09:35 AM EDT?

Yêu cầu: Người dùng đã tìm kiếm (search) từ khóa gì vào lúc 4:09:35 AM EDT ngày 4 tháng 3 năm 2021?

Chuyển sang kiểm tra dữ liệu hoạt động tìm kiếm trong Google Takeout (Takeout/My Activity/Search/MyActivity.html)

Đối chiếu với mốc thời gian chỉ định (Mar 4, 2021, 4:09:35 AM EDT), ta dễ dàng trích xuất được nguyên văn chuỗi từ khóa mà người dùng đã tra cứu trên thanh tìm kiếm.

is travelling to get chicken essential travel

Q14: I got three subscribers, and counting - How many YouTube channels is the user subscribed to?

Yêu cầu: Người dùng đang đăng ký (subscribe) bao nhiêu kênh YouTube?

Truy cập vào bộ dữ liệu liên quan đến YouTube trong Google Takeout (Takeout/YouTube and YouTube Music/subscriptions/subscriptions.json)

Kiểm tra nội dung của tệp JSON này. Việc mảng dữ liệu bên trong tệp hoàn toàn trống ([]) xác nhận người dùng không đăng ký theo dõi bất kỳ kênh YouTube nào

0

Q15: Time flies when you’re watching YT - What date was the first YouTube video the user watched uploaded?

Yêu cầu: Ngày đăng tải (upload date) của video YouTube đầu tiên mà người dùng đã xem là ngày nào?

Truy cập vào phần lịch sử xem YouTube trong Takeout (Takeout/YouTube and YouTube Music/history/watch-history.html) để tìm video đầu tiên mà Eli đã xem

Cuộn xuống mục ghi nhận video cũ nhất, ta xác định được liên kết và tiêu đề của video.

Sau khi dã có URL của video mình tiến hành kiểm tra thông tin siêu dữ liệu (metadata) của video này qua công cụ Fake News Debunker, ngày tải lên (Upload time) hiển thị chính xác là ngày 27 tháng 1 năm 2021

2021-01-27