MOBILFORENSIK

Statstrojanere (f.eks. Pegasus) – muligheder og begrænsninger i efterforskningen

Mistanke om en såkaldt statstrojan – for eksempel Pegasus – stiller særligt høje krav til en it-forensisk undersøgelse. Sådanne skadelige programmer er udviklet til at efterlade så få spor som muligt. En undersøgelse skal derfor være strengt faktabaseret og klart skelne mellem tekniske fund og formodninger.

Retsmedicinske udtræk
System- og diagnoselogfiler
Kendte indikatorer på kompromittering (IoC’er)
Netværks- og kommunikationsartefakter
Databaser og systemfiler
Yderligere tekniske uregelmæssigheder set i den samlede sammenhæng

TEKNISK BAGGRUND

Tekniske grundlag

Afhængigt af enhed, operativsystem og tilgængelige data kan man blandt andet undersøge:

  • •Retsmedicinske udtræk
  • •System- og diagnoselogfiler
  • •Kendte indikatorer på kompromittering (IoC’er)
  • •Netværks- og kommunikationsartefakter
  • •Databaser og systemfiler
  • •Yderligere tekniske uregelmæssigheder set i den samlede sammenhæng

VORES TILGANG

Sådan foregår din undersøgelse

En gennemsigtig proces – fra den første henvendelse til afleveringen af ekspertvurderingen.

1
Undersøgelsen foretages på baggrund af egnede forensiske sikkerhedskopier og en struktureret analyse af relevante artefakter. Kendte IoC’er kan – hvor det er relevant – kontrolleres med egnede værktøjer. Derudover foretages der en manuel plausibilitetskontrol af alle relevante fund. Manglende beviser betragtes ikke som bevis for, at en enhed med sikkerhed ikke er blevet kompromitteret; ligeledes betragtes et enkelt tegn ikke som bevis for infektion uden yderligere undersøgelse.
2
LanCologne udarbejder private ekspertudtalelser til privatpersoner, virksomheder og advokater. Vores ekspertudtalelser er allerede blevet anvendt i retssager. I enkelte sager er vi blevet direkte pålagt at udarbejde IT-forensiske ekspertudtalelser. På anmodning kan vi fremlægge anonymiserede uddrag fra vores referencer.

TYPISKE SPØRGSMÅL

Hvornår er denne analyse nødvendig?

  • ✔Er der tekniske tegn på, at systemet er blevet kompromitteret?
  • ✔Kan der påvises kendte IoC'er?
  • ✔Er der usædvanlige systemfejl?
  • ✔Hvilken betydning har de foreliggende spor?
  • ✔Hvilke begrænsninger er der i forbindelse med undersøgelsen?

GRÆNSER & KONKLUSION

Hvad du bør vide

Avanceret skadelig software kan målrettet undgå at efterlade spor eller kun efterlade begrænsede spor efter et angreb. Begrænsninger i operativsystemet, slettede data og hidtil ukendte angrebsteknikker kan begrænse en undersøgelses pålidelighed. Disse begrænsninger dokumenteres på en gennemsigtig måde.

Undersøgelsen af en formodet statstrojan kræver en objektiv og teknisk gennemsigtig analyse. Målet er en pålidelig vurdering af de foreliggende digitale spor – ikke en bekræftelse af forudfattede antagelser.

KUNDEVURDERINGER

Det siger vores kunder

4,8 ud af 5 stjerner på Trustpilot · 54 anmeldelser

★★★★★

“Højeste professionalisme, hurtig sagsbehandling og fremragende kommunikation. Det, der tilsyneladende var umuligt, blev gjort muligt. Sådan forestiller man sig ægte kundeservice – helt enestående i Tyskland!”

idalein

Bekræftet anmeldelse på Trustpilot

★★★★★

“Meget venlig rådgivning, fremragende tilgængelighed og kommunikation. Mit problem blev løst fuldstændigt, og de mistede data kunne gendannes. Jeg er meget tilfreds og selvfølgelig lettet!”

Layla Pankratz

Bekræftet anmeldelse på Trustpilot

★★★★★

“Mit problem blev løst professionelt og hurtigt, personalet var altid venligt, og jeg kan stadig henvende mig, hvis jeg har spørgsmål – det er jeg meget taknemmelig for!”

kvinde fra Köln

Bekræftet anmeldelse på Trustpilot

Forespørg nu – gratis indledende rådgivning

Mistænker du, at din smartphone er blevet kompromitteret af avanceret skadelig software? LanCologne hjælper dig med en objektiv IT-forensisk undersøgelse og en gennemsigtig teknisk vurdering.

RELATEREDE EMNER

Det her kunne også interessere dig

OFTE STILLEDE SPØRGSMÅL

Ofte stillede spørgsmål

Klik på et spørgsmål for at se svaret.

Kan Pegasus altid påvises?

Nej. Muligheden for at påvise det afhænger af de tilgængelige artefakter og det konkrete tilfælde.

Betyder et negativt resultat, at man kan udelukke en infektion?

Nej. At der mangler dokumentation, er ikke nødvendigvis et bevis på, at der ikke er sket nogen kompromittering.

Bliver kendte IoC’er undersøgt?

Ja, i det omfang de er egnede til det pågældende tilfælde.

Er det muligt at udarbejde en ekspertvurdering?

Ja, forudsat at der gives ordre hertil.

Bliver iPhones og Android-enheder undersøgt?

Ja, i det omfang det er teknisk muligt og indgår i opgaven.