6、物联网与勒索软件的数字取证调查

物联网与勒索软件的数字取证调查

物联网设备取证

在数字取证领域，物联网（IoT）设备正逐渐成为重要的证据来源。下面通过两个具体场景来详细介绍物联网设备的取证过程和方法。

场景一：树莓派相关设备调查

在这个场景中，我们需要对与树莓派有接触的设备进行调查。具体操作步骤如下：
1. 获取设备MAC地址 ：通过特定方法获取设备的MAC地址，该地址包含供应商ID等信息。
2. 检测设备与树莓派的接触情况 ：利用Autopsy的搜索功能，将获取的MAC地址作为搜索参数，检测设备是否与树莓派有过接触。例如，某Dash按钮在系统中使用，其IP地址为192.168.99.131。
3. 深入调查特定时间的事件 ：使用Autopsy Timeline（4.1.0版本及以上可用），调查2017年3月15日上午9点左右（+0100）发生的事件。我们发现，在设备被Python脚本关闭之前，它不仅向“朋友”发送了一条短消息，还修改了/var/www/owncloud/data/hiddenadmin/files/Photos路径下的数据。同时，在搜索过程中发现“Photos”文件夹被删除。
4. 分析可能的数据存储位置 ：
- $CarvedFiles文件夹 ：Autopsy在处理文件时会创建$CarvedFiles文件夹，其中可能包含删除的文件或未分配空间中的文件。但该文件夹中的结果可能较多，处理起来较为复杂。
- 缩略图文件夹