Autopsy · Extração e investigação de evidências

Registre a origem da imagem, o responsável, o estado conhecido da máquina virtual e o caminho de armazenamento. Compare o hash SHA-256 com um valor de referência, caso exista.

PowerShell no host Windows

$Imagem = 'D:\UC15\Evidencias\WIN11_EVIDENCIA.raw'
Get-Item -LiteralPath $Imagem | Select Name,Length,FullName
Get-FileHash -LiteralPath $Imagem -Algorithm SHA256

Substitua o caminho pelo arquivo real. Se não houver hash anterior à transferência, descreva o resultado como o primeiro hash conhecido da cópia recebida.

Registrar: nome, tamanho, SHA-256, origem, data/hora e fuso.

1. Abra o Autopsy 4 no host Windows 11.
2. Escolha Create New Case.
3. Nome: TSC02_WIN11_DOCUMENTOS. Número: TSC02-UC15-001.
4. Use uma pasta de casos separada da imagem RAW.
5. Escolha Add Data Source → Disk Image or VM File.
6. Selecione a imagem RAW e informe o fuso conhecido da máquina examinada.
7. Confirme partições e volume NTFS reconhecidos.

Evidência da etapa: captura do caso aberto e da fonte de dados carregada.

No assistente de Ingest Modules, habilite os que estiverem disponíveis e forem relevantes:

• File Type Identification — classifica arquivos.
• Keyword Search — pesquisa de texto; configure a indexação ou lista de termos conforme sua instalação.
• Recent Activity — examina artefatos do sistema e aplicações compatíveis.
• Extension Mismatch Detector — aponta extensões incompatíveis.
• PhotoRec Carver — opção complementar para espaço não alocado, caso necessária.

Para uma VM grande, o processamento completo pode exigir tempo adicional. Não declare ausência definitiva de vestígios antes de finalizar os módulos pertinentes.

Registrar: módulos selecionados, status de execução, falhas ou limitações.

1. Navegue em Data Sources → volume NTFS → Users.
2. Examine pastas de perfis, especialmente Documents e Desktop.
3. Consulte Views → File Types → Documents, se disponível.
4. Utilize Tools → File Search by Attributes para procurar nomes/extensões como .docx, .xlsx, .pptx.
5. Selecione um documento e verifique as abas de propriedades e Extracted Text, quando disponível.

Registrar: nome, caminho, tamanho, tipo e horários observados. Se examinar metadados internos do Office, distinga-os dos horários NTFS.

1. Abra Views → Deleted Files e examine os agrupamentos disponíveis.
2. Procure documentos do Office e nomes relacionados aos arquivos existentes.
3. Selecione um item e registre estado, caminho, metadados e possibilidade de visualização.
4. Se possível, clique com o botão direito em Extract File(s) e escolha uma pasta de extrações fora da imagem RAW.
5. Calcule o hash SHA-256 do arquivo extraído e registre o resultado.

Get-FileHash -LiteralPath 'D:\UC15\Extracoes\arquivo_recuperado.docx' -Algorithm SHA256

Substitua pelo arquivo realmente extraído. Nunca abra diretamente documentos recuperados habilitando macros.

1. Abra Keyword Search ou a busca da interface, conforme os módulos ativos.
2. Comece por um termo que tenha sido observado em um arquivo real.
3. Depois procure, quando fizer sentido, palavras como relatorio, financeiro, cliente, contrato.
4. Abra os hits, consulte o contexto e o arquivo associado.
5. Compare conteúdo, caminho e metadados com os documentos existentes e excluídos.

Uma correspondência textual pode ter origem em cache, cópia, conteúdo incorporado ou outros artefatos: não presuma que ocorreu exfiltração.

1. Abra Tools → Timeline (Autopsy 4).
2. Escolha o intervalo relacionado aos dados reais da VM.
3. Examine as visualizações disponíveis, como Counts, Details e List.
4. Relacione criação, modificação e outros eventos aos arquivos já identificados.
5. Registre o tipo de timestamp e seu fuso horário. Não interprete uma alteração de metadados NTFS como prova direta de exclusão.

Em Kali/Parrot com Autopsy 2.24, esta parte poderá exigir uma linha do tempo manual e ferramentas complementares.

1. Selecione os arquivos ou artefatos relevantes.
2. Utilize Add File Tag → Tag and Comment (ou opção equivalente).
3. Crie categorias como UC15_DOCUMENTO, UC15_EXCLUIDO e UC15_RELEVANTE.
4. Acrescente comentários objetivos, sem afirmar autoria não demonstrada.
5. Confirme as marcações em Results → Tags.

Exemplo de nota: “Registro de arquivo marcado como excluído no NTFS. Conteúdo verificado parcialmente; não há elementos suficientes para atribuir intenção à exclusão.”

1. Abra Generate Report.
2. Escolha, se disponível, HTML Report e inclua os itens marcados.
3. Revise nome da fonte, hash de referência, ferramentas, caminhos, datas e achados.
4. Redija a conclusão separando: fatos observados, hipóteses e limitações.
5. Responda explicitamente às perguntas periciais da missão.

Não conclua intenção maliciosa somente porque um documento foi excluído. Registrar uma ausência de resultados ou uma hipótese não comprovada também faz parte do trabalho.