IT-kriminalteknik – Windows

Forensisk analyse af Windows-papirkurven ($Recycle.Bin) – Gendannelse af slettede filer

Windows-papirkurven er et vigtigt beviselement i Windows-forensik. Når filer slettes via papirkurven, opstår der metadata, der kan give oplysninger om den oprindelige placering, tidspunktet for sletningen og yderligere filoplysninger. Disse oplysninger kan yde et vigtigt bidrag til rekonstruktionen af en sag.

I de nyeste Windows-versioner findes papirkurven i den skjulte systemmappe $Recycle.Bin. Afhængigt af Windows-versionen kan man herfra rekonstruere metadata såsom den oprindelige placering, filstørrelsen og tidspunktet for sletningen. Eventuelle eksisterende Volume Shadow Copies inddrages desuden i analysen.

Uforpligtende forespørgsel

I forbindelse med en professionel IT-forensisk undersøgelse analyseres papirkurven aldrig isoleret. Først sammenholdet med andre artefakter, såsom Master File Table (MFT), USN-journalen, Windows-registreringsdatabasen, hændelseslogfiler og LNK-filer, muliggør en pålidelig teknisk vurdering.

Hvorfor LanCologne?

Siden grundlæggelsen har LanCologne primært beskæftiget sig med professionel IT-kriminalteknik. Vores medarbejdere har flere årtiers erfaring inden for informationsteknologi og bistår virksomheder, advokater, privatpersoner samt jævnligt også domstole med den tekniske afklaring af komplekse digitale sager.

Undersøgelsen foretages udelukkende på en retsmedicinsk kopi eller et retsmedicinsk aftryk. Det originale bevismateriale forbliver uændret og opbevares på en måde, der sikrer dets bevismæssige værdi.

Vores tjenester

Vi analyserer filer i papirkurven, rekonstruerer sletningsprocesser og sammenholder resultaterne med andre digitale spor. Alle trin i undersøgelsen dokumenteres på en måde, der gør det muligt at følge med.

Typiske anvendelsesområder

•Gendannelse af slettede filer
•Datatyveri
•Undersøgelse af beskyldninger om manipulation
•Håndtering af sikkerhedshændelser
•Arbejdsretlige sager
•Retsmedicinske udtalelser

Sådan foregår en teknisk undersøgelse af papirkurven

Efter oprettelsen af et forensisk billede analyseres de relevante artefakter fra papirkurven. Derefter foretages der en sammenholdelse med yderligere Windows-artefakter for at kunne placere sletningerne i en tidsmæssig og teknisk sammenhæng.

Hvorfor er papirkurven vigtig i forbindelse med kriminalteknisk efterforskning?

De metadata, der er gemt i papirkurven, kan give værdifulde oplysninger om sletningsprocesser. Deres betydning fremgår dog først af den samlede analyse af alle relevante artefakter i det undersøgte system.

Ofte stillede spørgsmål

Hvilke oplysninger indeholder papirkurven i Windows?+
Blandt andet metadata om den oprindelige placering, filstørrelse og tidspunktet for sletning.
Undersøges det oprindelige system?+
Nej. Der analyseres udelukkende en retsmedicinsk kopi eller et retsmedicinsk aftryk.
Kan papirkurve, der allerede er tømt, undersøges?+
Afhængigt af de foreliggende data kan yderligere artefakter eller spor i filsystemet give yderligere oplysninger.
Er en analyse af papirkurven i sig selv tilstrækkelig til at udarbejde en ekspertvurdering?+
Nej. Den vurderes altid sammen med andre Windows-artefakter.

LanCologne – Windows-forensik i Köln

Har du brug for en professionel analyse af Windows-papirkurven eller andre Windows-artefakter? LanCologne hjælper dig med at sikre digitale bevismidler på en retligt holdbar måde samt med at foretage en objektiv analyse af komplekse Windows-systemer.

Kontakt os nu